Hunger blogja

Agyfasz az Apple fasizmusa

Ahhoz, hogy az Apple AppStoreba új appot lehessen feltölteni, vagy egy korábbi apphoz updatet, szükség van a frissült Apple Developer Program License Agreement elfogadására.

A Developer oldalon viszont nem lehet elfogadni a szerződést, hiába van bejelentkezve a user, mert nincs beállítva neki kétfaktorú autentikáció.

Természetesen a kétfaktorú autentikáció (amelyik nem azonos a kétlépcsős - pl. SMS-alapú - bejelentkezéssel) kizárólag Apple termékkel valósítható meg. Vagy Mac kell hozzá legalább OS X El Capitan alapú rendszerrel, vagy iOS alapú eszközre van szükség, de mindenképp beállított iClouddal, hisz az elképzelhetetlen, hogy valaki enélkül használja az Apple eszközét. Természetesen az Apple 2FA véletlenül sem váltható ki semilyen third-party megoldással, ahogy a Google Authenticator, vagy a RedHat FreeOTP.

"Mindent kihallgat és felvesz a Google Home Mini"

Szerencsére a PR részleg gyorsan kezelte a hibát és kiadtak egy szoftverfrissítést, amelynél már nem hallgatozik a kütyü, csak "kizárólag" az okgugli kezdetű szövegekre áll rá a füle... :)

https://ipon.hu/hir/mindent_kihallgat_es_felvesz_a_google_home_mini/423…

Szép új világ, ahol az emberek már pénzt is fizetnek azért, hogy be legyenek poloskázva.

CVE-2017-1000112 - Linux kernel: Exploitable memory corruption due to UFO to non-UFO path switch

Below is a link to a proof-of-concept exploit, that gets root on a
range of Ubuntu kernels. The exploit triggers an out-of-bounds write
on a socket buffer and overwrites
skb_shared_info.destructor_arg->callback with a pointer to shellcode.
The exploit includes a SMEP and KASLR bypasses, but no SMAP bypass.

Link: https://github.com/xairy/kernel-exploits/blob/master/CVE-2017-1000112/p…

CVE-2017-12762 - Linux kernel: buffer overflow in ISDN linux driver

In /drivers/isdn/i4l/isdn_net.c: A user-controlled buffer is copied into a
local buffer of constant size using strcpy without a length check which can
cause a buffer overflow. Patched in the Linux kernel 4.9-stable tree,
4.12-stable tree, 3.18-stable tree, and 4.4-stable tree.

Reference:
https://patchwork.kernel.org/patch/9880041/

Heti Linux sebezhetőség

This is an announcement of CVE-2017-2636, which is a race condition in
the n_hdlc Linux kernel driver (drivers/tty/n_hdlc.c). It can be exploited
to gain a local privilege escalation.

The bug was introduced on 22 June 2009:
https://git.kernel.org/cgit/linux/kernel/git/torvalds/linux.git/commit/?id=be10eb7589337e5defbe214dae038a53dd21add8

I will publish my PoC exploit later, giving people some time to update
their systems.

I've found this bug investigating a suspicious kernel crash made by syzkaller

[0day] Új mérföldkő a biztonságban: Grsecurity a 4.9 Linux kernelhez, világelső teljes CFI-védelemmel a PaX/RAP jóvoltából

Ahogy közel egy éve írtam róla, az IT ipar évtizedek óta küzd a puffer túlcsordulás és a hozzá hasonló memóriakorrupciós hibák ellen. Az információbiztonság offenzív és defenzív oldala örök harcban áll ezeknek a hibáknak a kihasználása miatt. A hacker életműdíjjal is jutalmazott pipacs a PaX Team név mögött, több mint másfél évtizedes munkássága nagy befolyást gyakorolt a szoftveriparra és mára a hardveriparra egyaránt. Fejlesztései nagyban befolyásolták a mai modern operációs rendszerek védelmi képességeit és a legújabb processzorok biztonsági funkcióit. Az ötletei manapság megtalálhatók a legújabb Android, Apple iOS és Windows verziókban egyaránt. A szoftverek azonban egyre bonyolultabbak és univerzalitásuk, funkciógazdagságuk a blackhat hackerek malmára hajtja a vizet. Manapság egy Windows már nagyon sok proaktív biztonsági megoldással rendelkezik, azonban - ahogy a Pwn2Own versenyeken folyamatosan bizonyítják - a rendszerek bonyolultsága és a védelmek tökéletlensége még mindig lehetőséget teremt egy sandbox mechanizmusokkal is ellátott böngésző kompromitációjához és rajta keresztül a teljes oprendszer feletti irányítás átvételéhez.

nyílt forráskódú terrorizmus

Az önradikalizáción és önképzésen alapuló módszert a szakirodalom igen találó módon „nyílt forráskódú terrorizmusnak” (open source terrorism) hívja; utalva arra, hogy a nyílt forráskódú szoftverek fejlesztőihez hasonlóan a terrorszervezetek is kiengedik kezükből „termékük” titkait, és egyenesen biztatnak a know-how szabad és kreatív felhasználására.

MySpace hivatalos levele az orosz hacker szivárogtatása kapcsán

Néhány hete jöttek az első hírek, hogy 427 millió MySpace jelszó szivárgott ki egy hacker fórumon az orosz 'Peace' nevű hacker által. Néhány nappal később ugyanez a hacker 100 millió clear-text jelszót szivárogtatott ki a VK.com oldalról. Korábban pedig a Tumblr, LinkedIn és Fling.com érintettsége is szóba került.

A MySpace most hivatalos levelet küldött ki a felhasználóinak. Ez áll benne:

https://hunger.hu/myspace/

"Close but No Cigar"

Aki ismeri a kifejezést az nyugodtan ugorhat a következő fejezetre... :) Amerikában a 19. században népszerűvé vált, hogy cigarettákat osztogattak díj gyanánt és amikor egyesek közel kerültek a megfejtéshez, akkor ezt a választ kapták az ajándék helyett: "Close but No Cigar". A kifejezés annyira népszerű USA egyes területein, hogy Weird Al Yankovic méltán népszerű humoristának külön videója van ilyen címmel egy 10 évvel ezelőtti Cake nevű rock csapat bukásáról.

Amely viszont a blog topic eredeti hivatkozásáról szól az egy PaX Team által publikált véleményezés, mely az Intel és a Microsoft által kiadott állitólagos ROP-védelem technikai részleteinek elemzéséről szól. Az általam is nagy csalódásként elkönyvelt bejelentés mögött egy olyan technológia áll, amelyhez egy egyelőre nem létező processzor architektúra szükséges, valamint a teljes fejlesztőkörnyezet frissítése és minden korábbi szoftver újrafordítása.

Vámnak hívott rablás

Már nem először járok úgy, hogy műszaki eszközt rendelek nem EU-s országból és több mint 40% adót kell rá fizetnem.

Egy USÁ-ból rendelt 99 USD értékű kis USB-s kütyüre jelenleg 11432 Ft vám és/vagy ÁFA, valamint 4725 Ft szolgáltatási díj fizetendő. Ha az utóbbi sarctól el is tekintünk - pedig nem kis összeg, vele együtt már 50%-nál is többről beszélünk jelen esetben -, de akkor se értem, hogy a 99 dollárra hogy jön ki az 11432 ft vám/ÁFA.

Elvileg EU-n kívüli országból származó termékre 150 EUR alatti érték esetén nincs is vám, csak a 27% ÁFA. A NAV tarifa információ lekérdezője természetesen olyan, hogy feketeöves adó- és vámszakértőnek kell lenni ahhoz, hogy értelmezni tudja az ember a találatokat.

Hoax? Grin ezen már tényleg befonná a szemöldökét...

Nem tudom ki emlékszik még azokra a hoaxokra, hogy "küldd tovább ezt a levelet és Bill Gates minden továbbküldött levél után 10 dollárt adományoz a szegény gyerekeknek".

Na most aki emlékszik még erre és már akkoriban is fogta a fejét a dolgokon, ahogy grin, azok ezen fognak csak igazán meglepődni:

https://twitter.com/BillGates/status/733332967540461568

Igen, Bill Gates valóban 10 dollárt ad a szegény gyerekeknek, ha továbbítasz egy tweet üzenetet...

Szívesen megnézném az eredeti hoax kitalálójának az arcát, amikor rádöbben, hogy Bill Gates még ezt az ötletet is lenyúlta! :D

[0day] Új időszámítás: Grsecurity 4.5 kernel, egyedülálló PaX RAP védelemmel

Az IT ipar évtizedek óta küzd a puffer túlcsordulás és a kapcsolódó memóriakorrupciós hibákkal. Ugyan ezek a problémák még jó ideig velünk is maradnak, azonban egyre fontosabb szerepet tölt be az ezekhez köthető biztonsági problémák kihasználásának ellehetetlenítése. A 16 éve fejlesztés alatt álló PaX védelem ezeknek a hibáknak a kihasználását hivatott ellehetetleníteni, vagy legalábbis annyira megnehezíteni, hogy a támadóknak már ne érje meg az ilyen tipusú sérülékenységeknek a kihasználására erőforrást fordítani. Ahogy a hadi iparban, úgy a manapság zajló "kiber" háborúban is a közgazdaságtan a fő mozgatórugója azoknak a fegyvereknek, amelyeket a virtuális térben arra használnak, hogy a célpont infrastruktúrájába behatolhassanak, vagy a már megszerzett területeken a hatókört kiszélesíthessék. Ezeknek az "exploit" elnevezéssel illetett támadókódoknak az értéke annak függvényében változik, hogy a támadásra kiszemelt rendszereket mennyire könnyű sikeresen megtámadni. Egy elhanyagolt, évek óta nem frissített általános operációs rendszeren elérhető szolgáltatásokat sokkal kisebb erőforrással lehet sikeresen megtámadni, mint egy naprakészen tartott, proaktív biztonsági elemekkel védett lebiztosított rendszert.

A PaX védelmi patch ennek az elgondolásnak a mentén próbálja a támadások cost-benefit arányát olyan szinten elmozdítani, hogy a sikeres támadásokhoz jóval több időre és ezáltal pénzre legyen szükség. Ennek köszönhetően egy sérülékenység megjelenésekor a rendszerüzemeltetőknek több idejük marad a már publikussá vált sebezhetőségek befoltozására és a levédett rendszerek nagyobb valószínűséggel állnak ellen a nem ismert, nulladik napi támadásoknak is. Ezeket az exploit mitigációs technikákat manapság már széles körben alkalmazzák, nem csupán a szoftver, de mostanra már a hardvergyártók is. Azokat az innovációkat, amelyeket a PaX több mint egy évtizede szoftveresen valósított meg, jelenleg az Intel és az ARM processzorokban külön funkcionális, vagy utasításkészlet bővítéssel oldanak meg, így általánosságban elmondható, hogy az újabb rendszerekkel könnyebben implementálhatók biztonságosabb környezetek.

NapiMalware #2

Régi Word 97-2003 formátumnál már azt gondolná az ember, hogy a makrókat és az abba ágyazott vírusgyanús kódokat, valamint mindenféle más .doc gyengeségeket és parser hibákat a mai antivirus termékek már magabiztosan felismerik. Ennek ellenére a ma emailben érkezett spambe csatolt dokumentum szintén elég elkeserítő képet ad arról, hogy mennyire lesznek védettek az ilyen típusú támadások ellen azok, akik víruskeresőkre bízzák a biztonságukat:

Érdemes megfigyelni, hogy a legutóbbi teszthez hasonlóan a szintén népszerű Windows desktopon futtatott víruskergető termékek azok, amelyek abszolút nem ismerik fel a Word .doc fájlba ágyazott trójai letöltőt. Se az Avast, se az ESET NOD32, se a Sophos, se a Panda, se a Kaspersky, se a Symantec nem ismeri fel, hogy tovább ne soroljam...

NapiMalware - avagy mennyire hatékonyak a vírusírtók

Legutóbbi "Szerinted kell Windowsra virusirtó?" szavazás és újra fellángolt "Vírusírtó: belső céges hálózat" fórumbejegyzés apropóján leteszteltem a ma érkezett malwaret a virustotal által elérhető 58 különböző antivirus termékkel. Az AV motorok között megtalálható az összes népszerű - és itt a hupon is ajánlott - víruskergető, az Avasttól a Kasperskyn át a Symantecig.

Naponta jönnek emailben "vírusok" és még maga a Google sem képes hatékonyan kíszűrni őket. A Gmail sok esetben blokkolja a letöltését az olyan csatolmányoknak, amelyek felismerhető kártevőt tartalmaznak, de akár csak ártatlan .exe állományok és jelszavas archívumok fogadását is, próbálva meggátolni ezzel az ismeretlen kártékony programok terjedését és sokszor a hétköznapi munka elvégzését is.

Hamarosan megvalósulhat locsemege és hokuszpk álma

Igaz továbbra sem SHA-256 hash ütközés lesz és pláne nem a családi fotóalbumban található baba-mama képek között, meg nem is SHA-1 és MD5 ütközés egyszerre kovacsani biztonsági mentésénél...

Az RSA 2016 konferencián Adi Shamir (az S az RSA-ból) megemlítette, hogy Marc Stevens és munkatársai a gyakorlatban is dolgoznak olyan 2-blokkos SHA-1 ütközés generálásán, amelynél az első blokkpárt már megtalálták és a következő néhány hónapban képesnek kell lenniük arra, hogy megtalálják a második blokkpárt ahhoz, hogy egy valódi, tényleges ütközés megvalósuljon.