Bezpečnostní přehled: Bez administrátorských práv jsou Windows málem neprůstřelná

Pavel Houser , 09. březen 2017 12:35 1 komentářů
Bezpečnostní přehled: Bez administrátorských práv jsou Windows málem neprůstřelná

Je problém Cloudfare nový HeartBleed? Zranitelný Internet Explorer a MS Edge. Další díry a opravy. Pozor při instalaci fontů. Kolik je na světě zranitelných chytrých varných konvic a kávovarů? Není insider jako insider.

Následuje pravidelný bezpečnostní přehled vytvářený především podle webů ZDNet, CNet, The Register, SecurityWeek a HelpNet Security.

Neopravená chyba v Internet Exploreru a MS Edge

V rámci Google Project Zero byly publikovány informace o další dosud neopravené zranitelnosti (CVE-2017-0037) ve webových prohlížečích Microsoftu – Internet Exploreru i Edge. Google upozornil Microsoft na problém, který objevil jeho výzkumník Ivan Fratrick, 25. listopadu a po 90 dnech byly informace zveřejněny, i když záplata dosud vydána nebyla. Ke kompromitování počítače stačí navštívit podvodný web, Google předvedl jako proof-of-concept k dispozici 17 řádků kódu HTML, které pouze shodí prohlížeč, nicméně poté může dojít i ke spuštění útočníkova kódu.

Podvodný web jako rozsypaný čaj

Podvodníci začali používat další trik, jak přimět uživatele k instalaci malwaru. Na webových stránkách se zobrazí nesmyslné znaky, přičemž uživatelé jsou pak vyzváni k instalaci fontů (program inzerován jako Chrome Font Pack; nesmyslné zobrazení ale nezávisí na použitém prohlížeči), které jim umožní stránku zobrazit správně. Jak lze čekat, namísto toho si tak lidé dostanou do počítače malware, útočníci už takto šíří trojské koně i ransomware. Útok často probíhá prostřednictvím legitimních webů, které se podvodníkům předtím podařilo kompromitovat. Týká se to v tuto chvíli především webů, které jsou postavené na redakčním systému WordPress.

Rick Orloff, CSO firmy Code42, upozorňuje na HelpNet Security, že statistiky o insiderech jsou dnes často matoucí. Velké množství útoků opravdu vychází zevnitř podnikové sítě, využívají ovšem kompromitovaných uživatelských účtů – nejde tedy o úmyslnou činnost nepřátelských zaměstnanců. Podrobnější analýza útoků připisovaných insiderům mnohdy ukazuje, že scénář byl ve skutečnosti jiný.

Chyba služeb Cloudfare, názory na závažnost se různí

Bezpečnostní problém potvrdila firma Cloudfare. „V požadovaných odpovědích od reverzní proxy byla odesílána také data z neinicializované paměti. Útočník tak mohl získat cookies, autentizační tokeny, data posílaná přes HTTP POST a další citlivé informace.“ *Zdroj: ABCLinuxu.cz * Na problém byl provozovatel upozorněn výzkumníky z Google Project Zero, objevil ho jeden z nejznámějších lidí z tohoto týmu Tavis Ormandy. Samotná chyba spočívala prostě v přetečení zásobníku, náhodný návštěvník při tom získával HTML kód určený i pro někoho jiného. Některé komentáře přirovnávají problém až ke známé zranitelnost HeartBleed („CloudBleed“) a zdůrazňují, že data se navíc dostala i do pamětí vyhledávačů. Jiné komentáře význam incidentu spíše bagatelizují, Google i Bing tento obsah odstraňují atd. K zákazníkům, jimž Cloudfare poskytuje hosting, patří např. Uber, Fitbit nebo Bitcoin.de, Bitdefender.com či Pasetebin.com. Cloudfare tvrdí, že zákazníci nemusejí v reakci na chybu sami přijímat žádná opatření. (Také: Ne všech, kdo mají doménu pod Cloudfare, se problém vůbec nějak týkal, bylo potřeba používat proxy službu.)

Mnozí uživatelé služeb Google včetně GMailu byli odhlášeni ze svých účtů a obdrželi oznámení o změnách údajů u svého účtu a výzvu, aby se znovu přihlásili prostřednictvím telefonu (tj. jako kdyby se objevilo např. k podezření z phishingu či jiné neoprávnění manipulace s účtem), po opětovném přihlášení vše běželo normálně. Google odmítá, že by došlo k nějakému bezpečnostnímu incidentu (průnik do dat), firma výslovně popřela i souvislost s výše uvedeným problémem Cloudfare.

Windows pouze s aplikacemi z Windows Store

Beta nové verze Windows (Windows Insider Preview Build 15042) obsahuje funkci, která administrátorům umožňuje zakázat jiné aplikace než ty instalované z Windows Store; jde o obdobu nastavení známou ze světa Applu (iOS i Gatekeeper na MacOS). Další možností je také nastavit výstrahy, které by se zobrazovaly při instalaci softwaru z jiných zdrojů. Na již nainstalované aplikace by toto nastavení vliv nemělo. Zatím není jisté, zda se příslušná možnost dostane do nové verze Windows, která se očekává v dubnu. Bezpečnostní výhody i na druhé straně nevýhody příslušného nastavení jsou zřejmé.

Produkty Blue Coat (respektive Symantec) mají problém s protokolem TLS 1.3, který např. Google Chrome začal podporovat od verze 56 z počátku letošního roku. Zaznamenány byly problémy při použití produktů Blue Coat na chromeboocích (počítače nešly spustit, nefungovalo připojení k internetu...), i když spíše v závislosti na konkrétním nastavení u zákazníka. Google nicméně jedná s řadou dalších dodavatelů, aby se podobným situacím předešlo, nasazování TLS 1.3 může být různě odkládáno.

Bez administrátorských práv jsou chyby Windows málem neškodné

Analýza firmy Avecto praví – zakázat na podnikových počítačích práci pod administrátorskými účty znamená vyhnout se velké části zranitelností v produktech Microsoftu. Dokonce i bez instalace záplat ja pak prostředí docela bezpečné. Ze 189 loni opravených kritických zranitelností v produktech Microsoftu vyžadovalo účet administrátora až 94 % souvisejících zneužití. U veškerých oprav byl tento poměr 66 %. Speciálně u chyb ve Windows 10 šlo o 93 %, 90 % u podporovaných serverových verzí Windows a hned 100 % to bylo u zranitelností prohlížečů Internet Explorer i Edge, téměř 100 % pak i v případě MS Office.

John Leyden na The Register upozorňuje, že makra instalující malware jsou stále větším problémem i na platformě MacOS. Uživatel musí stále makra povolit, tato „ztráta výtěžnosti“ ale při masových útocích podvodníky neodradí.

Zranitelnosti a opravy

Opravena byla zranitelnost CVE-2017-6206 v přepínačích D-Link pro podnikový sektor, která útočníkovi dovolovala vzdálený přístup k systému bez nutnosti autorizace - až po plné ovládnutí zařízení. Výrobce již svůj firmware DGS Enterprise Switch 1510 opravil.

Kritická zranitelnost byla objeveno v oblíbeném plug-inu pro CMS systém Wordpress – NextGEN Gallery. Podle statistik samotného WordPressu tento plug-in používá více než milion webů. Chyba umožňuje pomocí útoku SQL injection potenciálně neautorizovaný přístup k celé instalaci WordPressu. Opravená verze komponenty NextGEN Gallery má číslo 2.1.79.

Chyba v Eset Endpoint Antivirus 6 umožňovala man-in-the-middle útoky na uživatele MacOS, až po vzdálené spuštění kódu. Zranitelnost CVE-2016-0718 je opravena ve verzi 6.4.168.0.

Ze světa firem

Nově představený procesor Samsung Exynos 8895. Mj. obsahuje samostatnou jednotku pro rozšířené bezpečnostní opatření využívané pro mobilní platby, které rozeznává otisky prstů. Zdroj: tisková zpráva společnosti Samsung

Eset jmenoval do dvou nových funkcí v top managementu dlouholeté členy svého týmu. Dosavadní technologický ředitel Palo Luka byl jmenován do funkce provozního ředitele a Ignacio Sbampato do funkce obchodního ředitele. Na místo technologického ředitele se přesouvá Juraj Malcho, dosavadní ředitel pro výzkum a vývoj. Eset zároveň na veletrhu Mobile World Congress v Barceloně představil svoji novou službu Threat Intelligence, která umožňuje administrátorům propojit informace o IT bezpečnosti z interní sítě s poznatky, které Eset získává z celého světa pomocí technologie LiveGrid. Zdroj: tisková zpráva společnosti Eset

Avast při příležitosti barcelonského veletrhu představil výsledky svého nového experimentu, který se zaměřil na zranitelnost chytrých zařízení včetně veřejných kamer ve Španělsku a zejména v Barceloně. Avast odhalil, že ve městě je více než 22 000 webových kamer a dětských chůviček, které mohou útočníci snadno napadnout a zneužít třeba tak, že z nich budou vysílat živá videa na internetu. Experiment dále identifikoval přes 493 000 chytrých zařízení v Barceloně a 5,3 milionu v celém Španělsku – včetně chytrých ledniček, termostatů, varných konvic (79 000 chytrých varných konvic a kávovarů náchylných k útokům ), garážových dveří a dalších zařízení – která jsou připojená k internetu a náchylná k útokům. Experiment Avastu vznikl ve spolupráci se společností Shodan.io, která se specializuje na vyhledávání IoT zařízení Zdroj: tisková zpráva společnosti Avast

Cisco představilo řešení Umbrella. Podle dodavatele jde o tzv. bezpečnou internetovou bránu (SIG z anglického secure internet gateway), která uživatele chrání z cloudu a umožňuje i ochranu podnikových zařízení, která jsou připojena k jiné než firemní síti bez využití virtuálních privátních sítí (VPN). Dále Cisco uvádí na trh řadu firewallů Firepower 2100, která je určena pro organizace pracující s velkým množstvím důvěrných transakcí (např. bankovnictví či maloobchod), a které zároveň vyžadují vysoký výkon. Cisco Firepower 2100 je dle dodavatele první řešení na trhu s duálními vícejádrovými komplexy CPU. Zdroj: tisková zpráva společnosti Cisco

Panasonic uvedl na trh prémiovou řadu bezpečnostních kamer, které podle dodavatele jdou nad rámec funkcí samotného dohledu. Nová kamerová platforma iPro Extreme stojí na kodeku H.265. Ve spojení s dalšími použitými technologiemi lze pak podle výrobce docílit snížení šířky pásma až o 75 % ve srovnání s předchozím standardem H.264. Zdroj: tisková zpráva společnosti Panasonic

Nová série AirLive Topology POE je určena speciálně pro přepínače v IP dohledových systémech; zatím byla představena 3 zařízení POE-GSH2624-370, POE-GSH1816R-250 a POE-GSH1008R-120. Zdroj: tisková zpráva společnosti AirLive

Psali jsme na ITBiz.cz

110 grafických karet vytvořilo kolizi pro SHA-1 - za rok. Google informoval o nalezení reálného způsobu generování kolizí hashovací funkce SHA-1. Jako ukázka už jsou k dispozici 2 PDF soubory, jejichž obsah se liší, ale otisk SHA-1 mají stejný.

Bezpečnostní přehled: Jak obejít ochranu ASLR


Komentáře

Jamicon #0
Jamicon 12. březen 2017 12:27

Ten nadpis je teda riadny humor. Vo wydlách je milión chýb, pomocou ktorých proces pod bežným užívateľom eskaluje svoje práva. Vidím to takmer denne: zavírený neprivilegovaný účet eskaluje práva, vypne M$SQL aby dokázal zakryptovať aj databázu.

RSS 

Komentujeme

Telefony vodní i podvodní

Pavel Houser , 16. červen 2017 13:00
Pavel Houser

Jako zajímavou technickou kuriozitu lze uvést, že všech 28 států NATO schválilo protokol Janus, kter...

Více






Kalendář

25. 06.

29. 06.
Cisco Live 2017
22. 07.

27. 07.
Black Hat 2017
27. 07.

30. 07.
Defcon 2017
RSS 

Zprávičky

BlackBerry se vrací k zisku, tržby však zaostaly za očekáváním

ČTK , 24. červen 2017 09:46

Kanadský výrobce chytrých telefonů BlackBerry v prvním finančním čtvrtletí vydělal 671 milionů dolar...

Více 0 komentářů

Operátoři díky výměně kmitočtů zrychlí mobilní internet

ČTK , 23. červen 2017 12:36

Mobilní operátoři O2, T-Mobile a Vodafone si vyměnili kmitočty v pásmu 1800 MHz pro provoz rychlých ...

Více 0 komentářů

Toshiba a Western Digital stále ve sporu

ČTK , 23. červen 2017 08:39

Toshiba chce prodat čipovou divizi skupině, za kterou stojí vláda. ...

Více 0 komentářů

Starší zprávičky

CETIN vyplatí PPF za loňský rok dividendu 2,36 miliardy Kč

ČTK , 23. červen 2017 08:00

CETIN loni zvýšil čistý zisk o 16 % na 2,26 miliardy Kč....

Více 0 komentářů

VMware Horizon v cloudu Microsoft Azure

Pavel Houser , 22. červen 2017 11:50

Řešení pro poskytování desktopu jako služby za poslední roky vyzrála....

Více 0 komentářů

Akcelerátor StartupYard získal 26 milionů Kč

Pavel Houser , 22. červen 2017 11:00

Pražský startupový akcelerátor společně s Fundliftem oznámil investici, kterou získal formou neveřej...

Více 0 komentářů

Česká asociace pojišťoven k pojištění kybernetických rizik

Pavel Houser , 22. červen 2017 10:00

Policie ČR v roce 2016 šetřila 5 344 kybernetických zločinů, což je o 321 (resp. 6,4 %) více než v p...

Více 0 komentářů