Bezpečnostní přehled: K čemu vykupovat již opravené zranitelnosti?

Pavel Houser , 13. únor 2017 07:00 0 komentářů
Bezpečnostní přehled: K čemu vykupovat již opravené zranitelnosti?

Kvantový počítač pro sledování pokročilých hrozeb. Microsoftu dlouho trvá opravit chybu v protokolu SMB, lze zneužít vzdáleně. Přehled záplat. Vývoj trhu IoT a biometrie.

Následuje pravidelný bezpečnostní přehled vytvářený především podle webů ZDNet, CNet, The Register, SecurityWeek a HelpNet Security.

Chystá se další oprava pro Windows/SMB

Všechny podporované verze Windows obsahují chybu, která umožňuje vzdálené zneužití. Oficiální varování před zranitelností vydal např. americký CERT. Vlastní problém je v protokolu SMB (Server Message Block), když klientská Windows nedokážou správně zpracovat speciálně vytvořenou odpověď serveru a dojde k porušení paměti. Zranitelnost byla ve stupnici CVSS původně oznámkována 10 body z 10, později bylo hodnocení ale sníženo na 7,8 bodu. Ke zneužití je třeba připojit Windows ke škodlivému serveru, to však může být i objekt na Internetu, stačí přimět oběť kliknout na odkaz. Následně by mělo dojít k restartu systému, nikoliv ještě spuštění kódu, nicméně útočník může porušení paměti zkusit zneužít i k dalším akcím.

Microsoft se o problému dozvěděl v září, oprava měla být původně součástí prosincových záplat, byla však přesunuta teď na únor, kdy Microsoft chce vydat i další záplaty právě pro protokol SMB. Kvůli tomuto odkladu pak objevitelé zranitelnosti zveřejnili i podrobnosti včetně možností zneužití ve formě proof-of-concept.

Nespoléhat na jedinou databázi

Různé metriky pro sledování zranitelností vedou k různým výsledkům. Statistika/databáze Risk Based Security např. za loňský rok obsahuje skoro dvakrát tolik zranitelností než seznam CVE/National Vulnerability Database (konkrétní čísla: 15 000 vs. 8 341). Závěr má znít, že na CVE určitě nelze spoléhat jako na jediný zdroj informací o bezpečnostních chybách. Pětina ze zranitelností, které scházejí v CVE, má přitom skóre CVSS (Common Vulnerability Scoring System) 9-10, umožňují vzdálené zneužití atd.

Sophos koupil za přibližně 100 milionů dolarů společnost Invincea, která dodává technologie pro ochranu koncových bodů na základě strojového učení.

Hrozby APT má detekovat kvantový počítač

Kvantový počítač má dalšího zákazníka, tentokrát z oblasti bezpečnosti IT. Systém D-Wave 2000Q nasadí firma TDS. Nikoliv ale v souvislosti s kryptografií (nejčastější uváděná aplikace kvantových systémů), nýbrž pro odhalování pokročilých hrozeb a při bezpečnostním monitoringu v reálném čase.

Podrobnosti: D-Wave 2000Q, nová verze kvantového počítače

Polský regulátor nakazil banky

Na počítačích několika polských bank byl objeven malware. Podle všeho se sem dostal od místního regulátora finančního trhu KNF. Tato instituce už potvrdila, že do jejich systému pronikli (zřejmě) zahraniční útočníci. Výsledkem byl pak škodlivý JavaScript na serverech KNF, který stahoval další malware a pronikl do více než 20 dalších institucí, jejichž počítače se servery regulátora komunikovaly. Poněkud ironické je, že KNF nad bankami vykonává dozor i z hlediska kybernetické bezpečnosti. Případ se samozřejmě vyšetřuje, nicméně k žádným škodám typu krádeží peněz z účtů dojít nemělo.

Odhad trhu IoT

Gartner odhaduje, že letos bude celosvětově 8,4 miliard „propojených věcí“, o 31 % víc než loni. V roce 2020 by mělo jít o 20,4 miliard. Gartner v rámci skupiny IoT za nejmasověji nasazené v tuto chvíli považuje chytré televize/set-top boxy a automobily (spotřebitelský segment), dále elektroměry/další měřiče a senzory a bezpečnostní kamery (ty se v rámci studie řadí do podnikového segmentu, objemy trhu pro oba segmenty se počítají i samostatně). Očekává se masivní zavádění IoT zařízení v domácnostech, kdy půjde i o levné součástky typu žárovek, dále větší používání propojených IoT zařízení v rámci zdravotní péče.

...a biometrie

Trh s biometrickými systémy by měl v roce 2025 dosáhnout výše 15,1 miliard dolarů, tvrdí prognóza společnosti Tractica. Odpovídá to meziročnímu růstu 23 % z loňských 2,4 miliardy. Hlavním motorem růstu má být zavádění biometrie pro autorizaci uživatelů masových služeb (bankovnictví, kontakt s mobilními operátory… - a v této souvislosti můžeme očekávat třeba rychlé zavádění těchto technik ve zdravotnictví).

Červ SQL Slammer projevil nečekaně novou aktivitu 13 let po svém prvním útoku. Chyba v SQL Serveru (ještě verze 2000), které červ zneužíval, byla přitom rovněž zalátána už tehdy před 13 lety. Nynější útoky vycházely především z Číny, Vietnamu a Mexika.

Další obchod se zranitelnostmi

Společnost Zimperium začala vykupovat zranitelnosti pro iOS a Android, jde ovšem o chyby, které již byly opraveny. Firma chce za tyto non-zero-day (N-day) zranitelnosti vyplatit letos až 1,5 milionu dolarů. Není úplně jasné, co z toho všeho bude mít Zimperium, nicméně cílem je prý vyvíjet tlak na výrobce telefonů, operátory a další firmy v mobilním ekosystému, který by je měl přimět opravy od Applu a Googlu skutečně instalovat svým zákazníkům. Zimperium bude exploity poskytovat svým partnerům, mezi nimž je např. Samsung nebo Blackberry, a po uplynutí určité časové lhůty je zcela uvolní. (Vlastně se tím platí za už jednou objevené, protože nějaký exploit byl nejspíš již součástí reportu o chybě, který dostaly Apple a Google.)

Sada exploitů Metasploit nově zahrnuje i zneužívání zranitelností propojených automobilů a dalších zařízení Internetu věcí.

Chyby a záplaty

Několik zranitelností bylo opraveno v systému Cisco Prime Home, nejvážnější z nich umožňovala vzdálenému útočníkovi obejít autentizaci a dostat se do systému s právy administrátora. Jedná se o řešení určené především pro poskytovatele Internetu, jimž umožňuje na dálku spravovat kabelové modemy, směrovače a set-top boxy zákazníků pomocí protokolů TR-069. V rámci metodiky hodnocení zranitelností CVSS má právě opravená chyba nejvyšší možnou známku 10, opravu je třeba nasadit co nejdříve.

Schneider Electric vydal záplatu pro svůj průmyslový řídicí systém StruxureWare Data Center Expert, který se používá především v datových centrech pro řízení podpůrné infrastruktury (chlazení, záložní generátory, protipožární hlásiče, UPS, kamerový dohled...). Chyba umožňovala vzdáleně získat přístup k heslům – obnovit je z paměti RAM na straně klienta. Na problém upozornili výzkumníci firmy Positive Technologies. Opravená verze StruxureWare Data Center Expert má číslo 7.4.

Záplaty byly vydány pro systém OpenBSD a knihovny SSL používané v rámci tohoto systému. Útočníci mohli v důsledku těchto chyb snadno vyřadit pomocí speciálního požadavku webový server postavený na tomto systému; ovládnout jej podle všeho možné nebylo.

Opraveny byly 2 bezpečnostní chyby (CVE-2016-6323 a CVE-2015-5180) v knihovně Glibc, nová verze má číslo 2.25.

Zdroj: ABCLinuxu

Viz také: Zranitelnosti a opravy: WordPress, směrovače i čtečky e-knih

CSIRT varuje/oznamuje Uživatelé Windows používající Tor Browser mohou být deanonymizováni trikem využívajícím Microsoft DRM (Digital Rights Management). K odhalení skutečné IP adresy dojde, pokud člověk otevře .wmw soubor s touto ochranou.

Ze světa firem

Představena byla nová verze zabezpečení pro domácí počítače – bezplatný i prémiový Avast 2017. Produkt zahrnuje kombinaci technologií AVG i Avastu. K novinkám patří např. behaviorální štít, který monitoruje podezřelé chování jakéhokoliv softwaru běžícího na počítačích; má mj. bránit zachytávání hesel a detailů bankovních účtů i proti ransomwaru.

Zdroj: tisková zpráva společnosti Avast

Cisco rozšiřuje svoji platformu Tetration Analytics o automatizované zabezpečení podnikových aplikací (vynucování pravidel, policy enforcement). Pravidla pro každou aplikaci lze nastavovat bez ohledu na to, zda běží na fyzickém serveru, jiném zařízení, ve virtualizovaném prostředí nebo v cloudu. Nastavená pravidla lze předávat firewallům i uplatňovat na síťové vrstvě.

Zdroj: tisková zpráva společnosti Cisco

Před phishingovou kampaní, která se snaží o získání přihlašovacích údajů do internetového bankovnictví, varuje tentokrát Fio banka.

Zdroj: Fio banka

Psali jsme na ITBiz.cz

Na téma zabezpečení na ITBiz viz také

Bezpečnostní přehled: Podniky investují více, ne ale lépe

Synology DiskStation DS916+ | Vysoká dostupnost a bezpečnost dat


Komentáře

RSS 

Komentujeme

Deset minut s Einsteinem

Richard Jan Voigts , 18. listopad 2017 10:45
Richard Jan Voigts

Při návštěvě Švýcarska jsme strávili den na Eidgenoessiche Technische Hochschule Zurich – Swiss Fede...

Více







RSS 

Zprávičky

V zóně u Žatce by mohlo stát datové centrum za 15 miliard

ČTK , 23. listopad 2017 12:26

V průmyslové zóně Triangle u Žatce může vzniknout datové centrum pro společnosti a instituce z celé ...

Více 0 komentářů

ÚOHS schválil změnu vlastníka většiny v AutoContu

ČTK , 23. listopad 2017 09:00

Spojení AutoContu a KKCG nemá mít za následek podstatné narušení hospodářské soutěže...

Více 0 komentářů

Česká hra o atentátu na Heydricha se dostala do světové distribuce Steam

ČTK , 23. listopad 2017 08:30

Do distribuce českou hru dostali hlasováním sami hráči....

Více 0 komentářů

Starší zprávičky

Čína vyvíjí vlastní digitální měnu

ČTK , 23. listopad 2017 08:00

Čínské vedení vyvíjí vlastní kryptoměnu. Chce tak oslabit vliv bitcoinu a dalších virtuálních měn, n...

Více 0 komentářů

Hackeři ukradli Uberu data 57 milionů zákazníků a řidičů

ČTK , 22. listopad 2017 09:15

Incident společnost rok tajila a hackerům zaplatila....

Více 0 komentářů

Tuzemské banky útok trojského koně nezaznamenaly

ČTK , 22. listopad 2017 09:00

Banky ČSOB, Sberbank a Air Bank nezaznamenaly útok trojského koně BankBot na své aplikace mobilního ...

Více 0 komentářů

ODS chce otevřít diskusi o zavedení elektronických voleb

ČTK , 22. listopad 2017 08:00

Komisaři by také např. už při vkládání výsledků měli kontrolovat, zda na lístcích není nějaký abnorm...

Více 0 komentářů