• Technologie
  • Byznys
  • Software
  • Hardware
  • Internet
  • Telco
  • Science
  • České IT
  • Události
Žádné výsledky
Zobrazit všechny výsledky
ITBiz.cz
ITBiz.cz
Žádné výsledky
Zobrazit všechny výsledky

Zero day chyby na každém kroku

Pavel Houser
6. 3. 2015
| Články

V posledních dnech byla úroda nově objevených zranitelností opravdu bohatá. Podnikový software, kritická infrastruktura, operační systémy i populární aplikace, to vše bylo útočníkům vydáno málem na milost. Někteří výrobci zareagovali rychle a vydali opravy, i tak zde ale existovala „okna“, kdy příslušné chyby měly povahu zero day a proti zneužití prakticky neexistovala ochrana.
Směrovače, úložné systémy NAS či plug-iny pro WordPress se v přehledech zranitelností objevují pravidelně, nyní přibyla i řada dalších typů produktů.

Plug-iny pro CMS hrozí

Další plug-in pro WordPress je zranitelný a vystavuje útoku přes milion webů. Tentokrát se jedná o WP-Slimstat (analytika, obdoba Google Analytics), který útočníkům umožňuje ukrást celou databázi včetně uživatelských oprávnění. Vlastní problém je v šifrovacích klíčích a zneužití se pak realizuje přes SQL injection, i když provedení nemá být zrovna triviální. Záplata už byla vydána, ale mnoho správců systémů s WordPressem neaktualizuje, nebo aktualizuje pouze samotný redakční systém, nikoliv používané plug-iny.

O chybě v jiném plug-inu WordPressu, FancyBox, viz také: jeden z nedávných bezpečnostních přehledů

Bezpečnostní problém se objevil i u dalšího redakčního (CMS) systému Joomla, tentokrát nicméně neohrožuje přímo uživatele systému. I zde je na vině plug-in, konkrétně modul propojující Joomlu a Google Maps. Zranitelnost umožňuje, aby tento modul fungoval současně jako proxy. Útočníci tedy mohou provádět DDoS útoky se zamaskováním jejich skutečného původu, záplava žádostí vypadá, že pochází od systémů Joomla. Podvodníci nabízející provádění DDoS útoků jako služby již této možnosti údajně využívají, alespoň to tvrdí analýza firem RAID PhishLabs a Akamai/PLXsert.

Samba i SAP

Nově objevená zranitelnost v protokolu Samba (technologie pro sdílení souborů a tiskáren v heterogenních sítích Windows/Linux) umožňuje vzdálené spuštění kódu. Klient může na server zaslat požadavek, který se zde vykoná s právy roota, aniž se vyžaduje jakékoliv ověření. Kritická chyba CVE-2015-0240 se vyskytuje ve verzí Samby 3.5.0 až 4.2.0rc4. Opravené verze mají čísla 3.6.25, 4.0.25 a 4.1.17, aktualizace by měly být již obsaženy v nejnovějších verzích linuxových distribucí. Problém objevil Richard van Eeden z Microsoft Vulnerability Research, který rovněž vyvinul záplatu.

V SAP BusinessObjects jsou tři kritické bezpečnostní chyby, z nichž jedna umožňuje neautorizovaným uživatelům vzdáleně přepisovat podniková data, druhá je číst a třetí odstranit informace o těchto akcích, tj. smazat audity/logy. Hlavní problém má způsobovat výchozí konektor protokolu CORBA. Na rizika upozorňuje společnost Onapsis. Méně závažné zranitelnosti byly reportovány i pro platformu SAP Hana.

Riziko by v tomto případě mohlo zmírnit, že systémy SAP nebývají obvykle nastaveny pro vzdálený přístup z webového rozhraní na základě pouhé autorizace jménem/heslem, takto se dá přihlašovat jen z místní sítě/VPN. Na podobné téma: Vývoj bezpečnosti systémů SAP

Hypervisor Xen dělá vrásky provozovatelům cloudů

Velkým problémem pro provozovatele i těch největších služeb se může stát zranitelnost v hypervisoru Xen, který užívá např. Amazon – jak pro vlastní služby, tak i pro zákazníky výpočetního prostředí Compute Elastic Cloud. V rámci open source projektu Xen sice byla již vydána oprava, nicméně její nasazení můře být docela komplikované, systémy je třeba restartovat a během té doby zajistit kontinuitu služeb, před aktualizací otestovat opravu pro řadu hardwarových konfigurací atd.

Z dalších velkých zákazníků The Register zmiňuje, že Xen používají také cloudové služby IBM a Rackspace.

Zranitelné směrovače…

D-Link slíbil vydat aktualizace pro své domácí směrovače. Kanadský výzkumník Peter Adkins objevil zero day zranitelnosti umožňující neautorizovaný vzdálený přístup k několika modelům (podle všeho 626L; 636L; 808L; 810L; 820L; 826L; 830 a 836L). Pokud byl povolen vzdálený přístup (ve výchozím nastavení dle výrobce povolen pouze v rámci LAN, ne přes internet), útočník mohl spustit svůj kód a například nastavit DNS tak, aby pak mohl zachytávat přístupové údaje do internetového bankovnictví. Další méně zásadní zranitelnosti umožňovaly neoprávněné vsunutí příkazu (přes ping) nebo zjištění konfigurace zařízení.

Atkin uvádí, že základ firmwaru domácích směrovačů, jako je např. OpenWRT, představuje obvykle celkem spolehlivou platformu, jenže na ni výrobci nalepují služby s „přidanou hodnotou“, které ale z hlediska bezpečnosti staví všechno na hlavu. Popsaná zranitelnost se může týkat i jiných modelů D-Link, ba i dalších výrobců.
Viz také: Vzdálená správa směrovačů je rizikem

Další chyba byla objevena v softwaru Cisco pro hi-end směrovací systémy této společnosti. Jedná se o zařízení, která používají poskytovatelé internetu a telekomunikační operátoři. Zranitelnost umožňovala útok na dostupnost služeb pomocí paketů IPv6 se speciálně upravenou hlavičkou, podle všeho se však o zneužití nikdo nepokusil – jinak by následky mohly být celkem citelné a těžko přehlédnutelné, protože by se týkaly kritické infrastruktury. Cisco již pro své systémy (software iOS XR pro Cisco Network Convergence System 6000 a Cisco Carrier Routing System) vydalo příslušné záplaty.

…i úložiště NAS

NAS servery od společnosti Seagate jsou ohroženy zranitelností nultého dne. Chyba v zařízeních Seagate Business Storage 2-Bay NAS, která se používají v domácnostech i podnikovém sektoru, umožňuje vzdálené spuštění kódu – bez ověřování a s právy roota. Podstata problému má spočívat v tom, že jsou zde použity staré a zranitelné verze PHP 2.2.12 (a navíc taktéž neaktuální verze CodeIgniter 2.1.0 a Lighttpd 1.4.28), jako provizorní řešení se doporučuje zakázat vzdálený přístup z internetu; další tipy jsou dát server za firewall, povolit přístup k webovému rozhraní pro správu jen z IP adres na whitelistu apod. Jinak může být výsledkem třeba i extrakce šifrovacích klíčů, souborů cookies apod. Zranitelná zařízení přístupná přes internet může útočník pomocí různých nástrojů (Shodan apod.) poměrně snadno dohledat.

Bezpečnostní výzkumník O. J. Reeves zranitelnost objevil již loni v srpnu a upozornil na ni výrobce včetně principu zneužití proof-of-concept a samotného funkčního exploitu. Seagate problém přiznal a přislíbil opravu, když ale nebyla vydána do letošního 1. března, Reeves informace o chybě zveřejnil.
Viz také: Systémy NAS jsou podobně zranitelné jako směrovače

Freak, další problém s knihovnami SSL

Objevena byla nová zranitelnost v implementaci SSL, označovaná jako Freak. Zneužití je možné pomocí útoku typu man-in-the-middle, vyžaduje však současný problém na straně klienta i serveru. Zranitelných je nicméně asi 36 % webových serverů nabízejících SSL, z klientů pak výchozí prohlížeče v systémech iOS (Safari) a Android (prohlížeč AOSP u starších verzí OS Android, ne Chrome).

FREAK znamená zkratku pro Factoring RSA Export Keys, útočník může tedy dešifrovat klíče obsahující přihlašovací údaje a pak ukrást příslušnou relaci. Problém je v tom, že se užívá 512bitový klíč, který dnes lze již prolomit. Podobně jako u zranitelnosti HeartBleed se jedná o „kostlivce ve skříni“, protože zranitelnost v knihovnách SSL existovala nepovšimnuta asi 10 let.
Viz také: 56 % firem stále používá knihovny OpenSSL ohrožené chybou Heartbleed

Ačkoliv se ale o chybě hodně píše, David Řeháček ze společnosti Check Point uvádí, že rizika zneužití v tomto případě nejsou velká, protože problém „neovlivňuje Google Chrome ani nejnovější verze Internet Exploreru nebo Firefoxu a uživatelé mohou jednoduše začít používat prohlížeč, který není zranitelností ovlivněn, a minimalizovat tak rizika.“

CSIRT.CZ varuje: Útoky přes Blu-ray

Stephen Tomkinson předvedl, jak vytvořit blu-ray disk, který detekuje přehrávač, v němž byl spuštěn, a podle toho zvolí jeden ze dvou exploitů k instalaci malwaru. Jedna z chyb se týká přehrávače PowerDVD. Raději tedy nepoužívat blue-ray disky z neznámých zdrojů a vypnout jejich automatické přehrávání.

Rubriky: Operační systémyPodnikový softwareSecurityTechnologie

Související příspěvky

Cloudové služby nejsou pro útočníky jen cílem, ale i prostředkem
Zprávičky

Kybernetické hrozby v roce 2021: RDP a těžba kryptoměn

20. 1. 2021
Helios Pantheon
Články

Helios Pantheon: Digitální chrám pro veřejnou správu

19. 1. 2021
Články

Digitalizace zrychlila s koronavirem raketově

19. 1. 2021
Zprávičky

České i světové organizace čelí nejčastěji útokům malwaru Emotet

18. 1. 2021

Zprávičky

Mobilní operátoři nabízejí vládě pomoc s provozem informačních systémů státu

Pavel Houser
21. 1. 2021

APMS (Asociace provozovatelů mobilních sítí) nabízí vládě ČR možnost konzultovat technické aspekty provozu informačních

LG chce investovat 303 milionů eur do továrny na baterie v Polsku

ČTK
21. 1. 2021

Po dokončení projektu by celková investice do továrny měla činit více než 3,1 miliardy

Server Ulož.to prohrál spor o stahování šesti českých filmů

ČTK
21. 1. 2021

Odvolání podaly obě strany sporu. Ze serveru Ulož.to nebude možné stáhnout Pelíšky a dalších

SpaceX vynesla další sérii 60 družic sítě Starlink

SpaceX vynesla další sérii 60 družic sítě Starlink

ČTK
20. 1. 2021

Aktuálně kolem Země už krouží 1015 družic Starlink. Americká soukromá společnost SpaceX dnes úspěšně

Cloudové služby nejsou pro útočníky jen cílem, ale i prostředkem

Kybernetické hrozby v roce 2021: RDP a těžba kryptoměn

Pavel Houser
20. 1. 2021

Hrozby pro firmy: útoky na cloudové služby a slabé zabezpečení práce na dálku. Mobilní

Analytici: LG možná prodá svou ztrátovou výrobu smartphonů

ČTK
20. 1. 2021

Pokud se LG rozhodne výrobu smartphonů ukončit, mohla by se tržní hodnota firmy zvýšit

Objem investic do českých startupů se loni zdvojnásobil na tři miliardy

ČTK
19. 1. 2021

Praha má potenciál stát se jedním z předních evropských technologických center. Investoři loni vložili

Foxconn má ve Vietnamu zelenou na továrnu za 270 milionů doalrů

ČTK
19. 1. 2021

Na žádost Applu přesouvá Foxconn výrobu některých přístrojů iPad a MacBook z Číny do

Počet datových zpráv loni stoupl o 13 % na 112 milionů

ČTK
19. 1. 2021

Za posledních deset let se využívání datových schránek ztrojnásobilo. Češi poslali v minulém roce

Tiskové zprávy

Sophos: Jak zajistit bezpečnou domácí výuku

Infor lídrem v segmentu cloudových EAM aplikací

Vánoční slevy pokračují i v novém roce

Pandemie ransomware v Česku. Víte, na co se ptát, pokud jste obětí kyberútoku?

Fortinet kupuje společnost Panopta, dodavatele inovativních řešení pro monitoring a diagnostiku sítí

Sophos odhalil androidové aplikace změněné na spyware

Zpráva dne

Vánoční slevy pokračují i v novém roce

Vánoční slevy pokračují i v novém roce

Redakce
20. 1. 2021

Vánoční slevy na software produktivity od Microsoftu pokračují na tržišti i v novém roce, opět...

Odebírat newsletter

Zásady ochrany osobních údajů.

Zkontrolujte svoji doručenou poštu a potvrďte odběr.

Komentujeme

Chvála černých skřínek

Největší rizika umělé inteligence

Pavel Houser
26. 12. 2020

Tak jako dosud skoro každá technologie, i umělá inteligence se dostane do rukou zločincům. Jak s...

Slovník

Bazický bod

Assessment centre

Dodavatel

Nejpopulárnější články

Zero day chyby na každém kroku

Pavel Houser
6. 3. 2015

Analytici: Cena bitcoinu dál poroste, může ale přijít korekce

ČTK
17. 12. 2020

Operátoři musí nově uvádět přesnou rychlost internetu

ČTK
3. 1. 2021

Za bezpečnostní incidenty v cloudu mohou hlavně samotní zákazníci

Německá policie odhalila zřejmě největší obchod na darknetu

ČTK
12. 1. 2021

Zákony informatiky: Návštěva u Annie DeCaprio s Hofstadterem a Cheopsem

Zákony informatiky: Návštěva u Annie DeCaprio s Hofstadterem a Cheopsem

Petr Zavoral
24. 12. 2020

Kategorie

  • Články
  • Komentujeme
  • Slovník
  • Tiskové zprávy
  • Zprávičky

Portál ITbiz.cz přináší informace z IT a byznysu již od roku 2006. Provozuje jej internetové vydavatelství Nitemedia. Hosting zajišťuje společnost Greenhousing.cz. Mezi další naše projekty patří například ABClinuxu.cz a Sciencemag.cz. Na stránce Redakce naleznete informace o redakci a možnostech inzerce.

Rubriky

Akce a události Byznys Cloud Ekomerce Hardware Internet Marketing Operační systémy Podnikový software Právo Rozhovory Science Security Technologie Telekomunikace Veřejná správa Vývoj a HTML Zajímavosti Zpráva dne České IT

RSS abclinuxu – čerstvé zprávičky

  • Red Hat Enterprise Linux zdarma na 16 serverech
  • DNSpooq, 7 bezpečnostních chyb v dnsmasq
  • OpenWrt 19.07.6

RSS Sciencemag.cz

  • 2D materiály mají i okraje
  • Mléčná dráha dělá vlny
  • Nadýchanou exoplanetu tvoří skoro jenom plyn

Newsletter

Zásady ochrany osobních údajů.

Zkontrolujte svoji doručenou poštu a potvrďte odběr.

Žádné výsledky
Zobrazit všechny výsledky
  • Technologie
  • Byznys
  • Software
  • Hardware
  • Internet
  • Telco
  • Science
  • České IT
  • Události

© 2019 Vydává Nitemedia s.r.o. Hosting zajišťuje Greenhousing.cz.

Tento web používá cookies. Pokračováním dáváte souhlas s jejich používáním. Více na itbiz.cz/soukromi.