Bezpečnostní přehled: Google a Microsoft se hádají o zveřejňování zranitelností

Pavel Houser , 19. leden 2015 11:30 1 komentářů
Rubriky: Security, Internet
Bezpečnostní přehled: Google a Microsoft se hádají o zveřejňování zranitelností

První letošní záplaty Microsoftu, po dlouhé době není látán Internet Explorer. Opravy Adobe, chyba v produktech Corelu. Nakolik se lze spolehnout na prohlížeč WhiteHead Aviator? V Praze vzniká nové datové centrum. Jaké byly nejvýznamnější bezpečnostní incidenty v ČR v loňském roce? A měly by oficiální instituce vůbec komunikovat přes Facebook a Twitter, když nedokáží garantovat bezpečnost svých účtů? Následuje pravidelný bezpečnostní přehled vytvářený především podle webů ZDNet, CNet, The Register a HelpNet Security.

Spotlight ignoruje Apple Mail

Spotlight, desktopový vyhledávač pro Mac OS X, prý při zobrazení výsledků vyhledávání ignoruje nastavení Apple Mail. Což může znamenat, že zobrazí a stáhne třeba vzdálený obsah v podobě neviditelných obrázků, i když samotný Mail byl nastaven tak, by to nedělal. Spammer v tu chvíli pozná, že adresa je aktivní. Navíc když uživatel na výsledky vyhledávání kliká, hrozí i třeba exploity prováděné pomocí grafických souborů, i když je Mail dal do karantény nebo je nastaven tak, aby nezobrazoval připojené soubory.

Není jasné, jak (nebo zda vůbec, možné zneužití je spíše náhodné) by měl Apple reagovat. Pro uživatele je nejjistější ochranou odškrtnout v nastavení Spotlight, aby se prohledávala pošta a zprávy.

Google proti Aviatoru

Google se hádá s tvůrci open source prohlížeče WhiteHead Aviator, který vychází z Chrome. Dva výzkumníci Googlu Justin Schuh a Tavis Ormandy tvrdí, že Aviator je vyvíjen mizerně, oproti Chrome je o 2 verze pozadu a nebyly do něj navíc implementovány různé ochranné funkce. Kód prý tvůrci přidávají bez toho, aby chápali, jak vlastně funguje Chrome – potíž má být třeba s tím, jak se bezpečně ukončují procesy běžící v sandboxu. Přitom tvůrci Aviator naopak prezentují jako ultrabezpečný prohlížeč s důrazem na ochranu soukromí. Schuh přímo napsal, že projekty jako Aviator dělají špatné jméno celému open source.

WhiteHead se brání, že nikdy netvrdili, že budou aktualizovat stejně rychle jako Google, nemají na to dostatečný tým – naopak implementovali funkce, které v Chrome nejsou (třeba práce s odkazy v URL proti pokusům o cross domain). Google se prý bojí odlivu uživatelů od Chrome, což je ale dost směšné tvrzení, když o Aviatoru prakticky nikdo nikdy neslyšel a reklamní systémy Googlu nejsou závislé na prohlížečích, alespoň ne přímo. Schuh víceméně zopakoval, že na Aviatoru je prakticky všechno špatně, přidané funkce jen generují další zranitelnosti, kód má špatnou úroveň a velikost společnosti není důvodem, aby v prohlížeči zůstávaly známé chyby. To, že kód je zveřejněn, podle Schuha tvůrce rozhodně nezbavuje odpovědnosti.

Corel má problémy se zranitelností

Marcos Accossatto ze společnosti Core Security upozorňuje na zero day zranitelnost v produktech Corelu, především v Corel Draw, ale i v dalších (ověřeno pro Paint Shop Pro X7, CAD 2014 a VideoStudio PRO, může se týkat i jiných). Útok se provádí pomocí souboru ve formátu příslušné aplikace a jeho podstatou je podvržení DLL knihoven (především wintab32.dll). Corel byl na problém upozorněn na počátku prosince a když firma nereagovala, Core Security nyní vše zveřejnila. Produkty Corelu mají stále asi 100 milionů uživatelů.

Microsoft kritizuje Google

Microsoft kritizoval Google za automatické zveřejňování neopravených bezpečnostních zranitelností (včetně jedné ve Windows 8.1). Podle Microsoftu by se to mělo dít s přihlédnutím ke kontextu, povaze chyby. Vývoj každé opravy a její testování trvá různě dlouho.

Chris Betz, vrchní ředitel Microsoft Security Response Center, uvedl, že výslovně požádali Google, aby se zveřejněním počkal až do 13. ledna, kdy bude (respektive byla) uvolněna oprava. Google informoval Microsoft o chybě 30. září a automaticky byla publikována 29. prosince, podle Microsoftu šlo o schválnost. Google namítá, že dlouho neopravené chyby už mohli objevit a zneužívat i podvodníci, takže by uživatelé o nich měli vědět. V tomto případě jde spíše o přestřelku mezi konkurenty, chyba totiž nebyla zneužitelná vzdáleně, jindy však podobný střet přístupů může mít mnohem zásadnější dopad. Viz také jeden z předcházejících bezpečnostních přehledů

A Google si ještě přisadil, když jen 2 dny před lednovými aktualizacemi Microsoftu byla zveřejněna další zranitelnost, kvůli které může běžný uživatel získat při přihlašování k Windows 8.1 práva administrátora. Zde Google upozornil Microsoft na problém 13. října, takže to prostě tak opět z 90denního limitu automaticky vyšlo. Následovala hádka stejná jako v předešlém případě, kdy Bert popíchl Google nabídkou, ať se přidá k programu Microsoftu Coordinated Vulnerability Disclosure.

Nové aktualizace Microsoftu

Nyní tedy konečně k samotným posledním aktualizacím Microsoftu. Druhé lednové úterý bylo vydáno 8 bulletinů zabezpečení, z toho 1 kritický – balíček MS15-002 je určen pro Telnet server jako součást Windows. Zde může útočník pomocí poslání speciálního paketu na příslušný port způsobit vzdálené spuštění kódu. Ve skutečnosti tohle je ale problém, který se mnoha uživatelů týkat nebude. V některých verzích Windows musí být Telnet server speciálně doinstalován, ve Windows Serveru 2003 pak speciálně povolen, ve výchozím nastavení není aktivován nikde. Krom dvou záplat zmíněných výše (oznámených Googlem – MS15-001 a MS15-003) jsou nekritické opravy určeny pro specializované subsystémy (Windows Error Reporting – česky půvabně Služba zasílání zpráv o chybách systému Windows, Network Policy Server apod.). Jak poznamenává The Register, po dlouhé době není mezi záplatami ani jediná určena pro Internet Explorer.

Záplaty od Adobe

Adobe vydala opravy 9 bezpečnostních zranitelností v prohlížeči Flash Player a prostředí AIR. 6 z těchto chyb umožňuje vzdálené spuštění kódu, záplaty se týkají verzí pro Windows, Linux i Mac OS X. (Uživatelé MSIE i Chrome již dostanou příslušnou záplatu pro Flash od Microsoftu, resp. Googlu.)

Falešný e-mail Obchody24

Neznámí pachatelé rozesílají falešné e-maily tvářící se jako potvrzení objednávky z e-shopu Obchody24.cz. Přílohy e-mailů (zip, ve skutečnosti spustitelný soubor) obsahují malware, označovaný mj. jako winpe/Kryptik.CEDX. Zdroj: tisková zpráva portálu Obchody24.cz

Pozor na phishing Airbank

Nová phishingová kampaň v ČR míří na zákazníky AirBank. Plošně rozesílaná nabídka požaduje aktualizaci osobních údajů ve formuláři. (Poznámka: Útok není nijak sofistikovaný, link vede na zjevně nepodobnou adresu v brazilské doméně.) Zdroj: tisková zpráva společnosti AirBank

Podle statistik ČSOB a Ery útočí hackeři nejčastěji na účty klientů prostřednictvím podvodných e-mailů. Phishing a malware představují 78 % všech evidovaných útoků, zbytek tvoří útoky s využitím sociálních sítí, zejména Facebooku. Počet kybernetických útoků meziročně stoupl o desítky procent. Zdroj: tisková zpráva společnosti ČSOB/ERA

Kamery s tepelným alarmem

Nová řada Axis Q29 přináší síťové kamery s tepelným alarmem. Modely Q2901-E a Q2901-E PT mohou sloužit současně jak k detekci narušitelů, tak pro nepřetržité sledování teploty místa či zařízení, kde je třeba hlídat riziko přehřátí. Zdroj: tisková zpráva společnosti Axis Communications

TP-Link Archer C9

Na trh přichází bezdrátový směrovač TP-Link Archer C9 s celkovou přenosovou rychlostí na bezdrátové síti až 1,9 Gb/s. Co se týče zabezpečení, produkt nabízí šifrované standardem WPA-PSK/WPA2-PSK a podporuje zabezpečený přístup pro hosty oddělený od zbytku sítě. Zdroj: tisková zpráva společnosti TP-Link

VSHosting buduje datové centrum

Společnost VSHosting začala v pražské Hostivaři se stavbou nového datového centra (ServerPark). Co se týče bezpečnosti, „součástí ServerParku budou zesílené železobetonové konstrukce, čtyři bezpečnostní zóny, pancéřové dveře, sofistikovaný systém zabezpečení včetně laserové detekce, bezpečnostní kamery či protisabotážní elektronické prvky. Budova bude chráněna automatickým hasícím systémem s inertním plynem. ServerPark bude mít několik nezávislých záložních generátorů s možností zajištění až několikatýdenního provozu.“ Zdroj: tisková zpráva společnosti VSHosting Viz také: V Praze roste jedno z nejbezpečnějších datových center

Nový mainframe IBM

IBM představila nový mainframe z13. Systém podle dodavatele „urychluje šifrování mobilních transakcí v reálném čase, čímž zajišťuje bezpečnost dat a transakcí a zkracuje dobu zpracování. Využívá pěti set nových patentů včetně nových šifrovacích technologií.“ V rámci řešení je k dispozici také nástroj IBM MobileFirst Protect, který poskytuje zabezpečení a správu klientské infrastruktury a veškerých zařízení, aplikací, obsahu a transakcí. Zdroj: tisková zpráva společnosti IBM

Seznam bojuje proti spamu

Email Seznamu chce zpřísnit svoji antispamovou politiku. Od dubna veškerá hromadná korespondence mířící do schránek na seznam.cz, která nebude obsahovat platný digitální podpis DKIM (DomainKeys Identified Mail), bude automaticky vyhodnocována jako spam. Půjde o nutnou, nikoliv však postačující podmínku – na zprávy s platným digitálním podpisem budou aplikovány další mechanismy antispamové kontroly. Zdroj: tisková zpráva společnosti Seznam.cz, blog Seznam.cz

Comguard nabízí řešení Secunia

Distribuční firma Comguard oznámila, že rozšířila nabídku bezpečnostních řešení o produkty firmy Secunia. Konkrétně jde o produkty pro firemní zákazníky Secunia Corporate Software Inspector a Secunia Vulnerability Intelligence Manager, pro které Comguard zajišťuje také lokální technickou a obchodní podporu. Zdroj: tisková zpráva společnosti Comguard

Firmy uvažují o biometrickém podpisu

Podle posledních průzkumů 70 % velkých firem uvažuje o využití dynamického biometrického podpisu. Zdroj: tisková zpráva společnosti Ness

Coolhousing je členem bezpečnostního projektu FENIX

Sdružení NIX.CZ oznámilo přijetí nového člena bezpečnostního projektu Fenix. Již devátým subjektem se stala společnost Coolhousing, která provozuje vlastní datové centrum v Praze. Cílem projektu Fenix je umožnit v případě DoS útoku dostupnost internetových služeb s pomocí dalších subjektů. Zdroj: tisková zpráva sdružení NIX.CZ

Zranitelnost TP-LINK

CSIRT.CZ považuje za nejvýznamnější tuzemský incident loňského roku zranitelnosti ROM-0 v některých routerech TP-LINK a fakt, že tato zranitelnost začala být aktivně využívána k útokům na klienty bank v ČR. Přehled zmiňuje také kampaň proti najímání bílých koní pro převody ukradených peněz a fakt, že klienti bank začali žádosti o toto sami hlásit. Zdroj: blog sdružení CZ.NIC

Na téma bezpečnosti na ITBiz viz také:

Hackeři napadli Twitter amerického Centrálního velení (= velitelství ozbrojených sil USA pro Blízký východ, Perský záliv a severní Afriku)

Samozřejmě to neznamená žádný hack vojenských systémů, ale Twitteru. Už samotný fakt, že útočníci dokázali na tomto oficiálním profilu zanechat svou zprávu, je však dost tristní. Poznámka: Měly by za těchto okolností kritické instituce ale vůbec mít oficiální profily na Facebooku a Twitteru, když nedokáží garantovat jejich bezpečnost/autentičnost?


Komentáře

Pavel Šimerda #0
Pavel Šimerda 19. leden 2015 17:09

Myslím, že se v Googlu musejí dost smát, když jim z Microsoftu chodí brečet na rameno, že za devadesát dní nejde vydat bezpečnostní oprava.


RSS 

Komentujeme

Chatbot mluví za mrtvého – od nápadu k realizaci

Pavel Houser , 30. listopad 2016 13:00
Pavel Houser

Na webu The Verge popsala Casey Newton příběh dvou přátel (Eugenia Kuyda a Roman Mazurenko). Peripet...

Více





Kalendář

RSS 

Zprávičky

Tchajwanský Foxconn jedná o rozšíření svých aktivit v USA

ČTK , 07. prosinec 2016 15:00

Tchajwanská společnost Foxconn jedná o rozšíření svých aktivit ve Spojených státech. Oznámila to dne...

Více 0 komentářů

Nejvyšší soud USA se postavil na stranu Samsungu proti Applu

ČTK , 07. prosinec 2016 12:30

Americký nejvyšší soud se v mnohaletém patentovém sporu mezi výrobci chytrých telefonů Apple a Samsu...

Více 0 komentářů

Evropská komise Microsoftu schválila převzetí sítě LinkedIn

ČTK , 07. prosinec 2016 10:30

Evropská komise schválila americké softwarové společnosti Microsoft záměr koupit za 26 miliard dolar...

Více 0 komentářů

Starší zprávičky

Porozumění větám, konkurence pro Turingův test

Pavel Houser , 06. prosinec 2016 18:00

Konverzační roboti mají stále problémy pochopit věty, kde smysl nelze vyvodit ze samotné gramatické ...

Více 0 komentářů

Americká GoDaddy koupí evropský webhosting Host Europe

ČTK , 06. prosinec 2016 16:00

Americký registrátor internetových domén GoDaddy, který je ve svém oboru největší na světě, se dohod...

Více 0 komentářů

Ruská Centrální banka oznámila masivní útok hackerů

ČTK , 06. prosinec 2016 11:00

Do systému ruské Centrální banky se letos dostali hackeři a s pomocí zfalšovaných hesel se pokusili ...

Více 0 komentářů

CETIN vydal dluhopisy za 25 miliard Kč

ČTK , 05. prosinec 2016 18:00

Česká telekomunikační infrastruktura (CETIN) upsala dluhopisy v eurech a korunách v celkovém objemu ...

Více 1 komentářů