• Technologie
  • Byznys
  • Software
  • Hardware
  • Internet
  • Telco
  • Science
  • České IT
  • Události
Žádné výsledky
Zobrazit všechny výsledky
ITBiz.cz
ITBiz.cz
Žádné výsledky
Zobrazit všechny výsledky

Bezpečnostní přehled: Hackerská soutěž Pwn2Own

Pavel Houser
29. 3. 2016
| Články

Co říkají čísla o vývoji zero day útoků? Chyba Badlock. Jak se sdílí informace o zranitelnostech? Objevena byla hromada chyb, mimo jiné v Androidu a v iOS, vydána záplava oprav.
Následuje pravidelný bezpečnostní přehled vytvářený především podle webů ZDNet, CNet, The Register a HelpNet Security.

USA stíhají v nepřítomnosti 7 íránských hackerů, kteří měli provádět např. útoky na americké banky. Akce byla podle amerických úřadů přímo zorganizována teheránským režimem.

Rovněž zpráva z USA: Medializovaný spor „FBI vs. Apple“ pokračuje. Objevují se informace, že k prolomení hesla telefonu asistence Appplu ani nemusí být nezbytná. Viz také: Kauza Apple vs. soud USA dále bobtná http://www.itbiz.cz/zpravicky/kauza-apple-vs-soud-usa-dale-bobtna

Google uvolnil BinDiff, svůj nástroj pro porovnávání binárních souborů, který má firma údajně nasazeni i interně. Bezpečnostní specialisté BinDiff využívají pro kontrolu oprav i analýzu malwaru. Software Google získal v roce 2011 spolu s akvizicí německé společností Zynamics. Tehdy se BinDiff prodával za více než 1 000 dolarů, cena licence před uvolněním softwaru byla 200 dolarů.

Proběhlo pravidelné klání Pwn2Own

Na každoroční hackerské soutěži Pwn2Own si autoři exploitů přišli na 460 000 dolarů. John Leyden na The Register spočítal, že Windows byly prolomeny celkem šestkrát, OS X pětkrát, Flash Player čtyřikrát, Safari třikrát, Microsoft Edge dvakrát a Chrome jednou. Hlavním sponzorem byla společnost Trend Micro, která od HP koupila TippingPoint, jednu z firem tradičně vykupujících bezpečnostní zranitelnosti. Nicméně HP (respektive HP Enterprise) finančně letos akci podpořila také.

Objevila se diskuse, zda Wassenaarské smlouvy nějak brání se na této akci účastnit lidem z EU (exploit lze prý chápat jako vývoz zbraní apod.).

Zranitelnosti a opravy: třikrát Android

Google vydal mimořádnou záplatu pro chybu v jádře Androidu. Zranitelnost CVE-2015-1805 se primárně týká linuxového jádra ve verzi 3.18. Problém spočívá v eskalace oprávnění, aplikace může spouštět kód na úrovni jádra. Distribuce záplaty závisí na jednotlivých dodavatelích zařízení/telekomunikačních operátorech. Dalším krokem Google je pochopitelně odstraňování aplikací, které problém zneužívají, z Google Play.

Loni objevenou chybu v knihovně Stagefright lze zneužít. Příslušný postup byl zveřejněn a zranitelné jsou tímto způsobem miliony (podle některých odhadů až 850 milionů) zařízení se systémem Android. Stačí navštívit podvodný web, kompromitace zařízení se provádí pomocí videosouboru. Útočník přitom dokáže obejít i obrannou techniku znáhodnění adresního prostoru ASLR.

Chybu CVE-2015-3864 Google opravil loni v říjnu, otázka však je, na kolika zařízeních tato aktualizace dnes chybí.

Podle firmy Dr.Web je v asi 40 modelech levnějších telefonů s Androidem ve firmwaru přítomen adware Gmobi, provádějící především shromažďování citlivých informací a doručování další reklamy. Stejně tak se prý nachází v celé řadě jinak legitimních aplikací na Google Play, a to proto, že ho jeho autoři přidávají do vývojových nástrojů pro Android. Mezi takto „upravenými“ aplikacemi byly údajně mj. Trend Micro Dr.Safety (bezplatná verze) nebo Asus WebStorage. Dodavatelé již zjednali nápravu.

…a jednou iOS

Matthew Green, profesor z Johns Hopkins University, uvádí že v šifrování iOS se nachází chyba, která umožňuje přístup ke zprávám v iMessages. Podrobnosti zatím nebyly publikovány, dokud Apple chybu neopraví.

Aktualizace: Chyba je již opravena, Apple vydal záplaty pro prakticky veškeré své produkty včetně OS X, AppleTV a watchOS. Aktuální verze iOS má číslo 9.3. Na úrovni iOS další záplaty látají mj. potenciální rizika se zpracováním formátu PDF, fontů a připojení zařízení do podvodných sítí Wi-Fi.

Chyba v antiviru

Řešení Symantec Endpoint Protection obsahovalo tři bezpečnostní zranitelnosti, uživatelům se doporučuje aktualizovat. Např. chyby XSS a SQL injection ve správcovské webové konzoli umožňovaly zvýšit práva v systému (nikoliv ale přístup zcela bez přihlášení). Třetí chyba umožňovala obejít omezení, které na chráněném zařízení blokuje spouštění podezřelých kódů. Verze SEP v12.1 a starší se doporučuje aktualizovat na 12.1 RU6 MP4, Symantec též radí omezit vzdálený přístup ke konzoli pro správu.

Další záplaty: Java a Cisco

Oracle vydal opravu kritické zranitelnosti v Javě (CVE-2016-0636). Chyba je zneužitelná už při návštěvě podvodného webu, i když to vyžaduje mít Javu povolenou v prohlížeči. I přesto, že problém se označuje za velmi závažný, útoky zatím zaznamenány nebyly.

Sadu záplat vydalo také Cisco. Zranitelné jsou produkty se softwarem IOS, IOS XE a Unified Communications Manager. Chyba na úrovni protokolu SIP je zneužitelná i vzdáleně pomocí zaslání podvodné zprávy, je proto třeba aktualizovat (jedinou alternativou je zakázat na zařízení protokol SIP).

Microsoft oznámil, že jeho program odměn za reportované bezpečnostní zranitelnosti se rozšířil i na aplikaci OneDrive.

Zero day hrozby v roce 2015

Nejvýznamnější bezpečnostní incidenty roku 2015 podle Trend Micro: seznamka Ashley Madison, společnost Hacking Team, americký úřad Office of Personal Management a zdravotní pojišťovna Anthem. Bylo zaznamenáno více než 100 zero day hrozeb, z nichž velkou část využívala kampaň Pawn Storm. Mezi exploit kity získal největší podíl Angler.
Zdroj: tisková zpráva společnosti Trend Micro

*Obdobná analýza Secunia: *Množství zero day zranitelností loni zůstalo zhruba na úrovni roku 2014. Celkem Secunia loni evidovala 16 081 bezpečnostních chyb v 2 484 produktech od 263 dodavatelů. 2 573 z těchto chyb nebylo opraveno v den zveřejnění informace. Secunia nicméně do kategorie zero day zahrnuje jen zranitelnosti, u nichž došlo k pokusům o zneužití nebo byl mechanismus zneužití publikován alespoň formou proof-of-concept. Pak počet zero day hrozeb vychází na 25, stejně jako předloni. Na Windows dále pokračoval pokles zranitelností operačního systému na úkor aplikací třetích stran. V 5 webových prohlížečích bylo loni objeveno přes 1 000 bezpečnostních chyb, opět víceméně stejně jako v roce 2014.

CSIRT varuje/oznamuje

Vývojáři Samby a Microsoftu pracují na přípravě záplat pro několik zranitelností týkajících se téměř všech verzí Windows a Samby. Tyto zranitelnosti byly souhrnně nazvány Badlock.

Další informace: Na chybu upozornil jeden z vývojářů Samby Stefan Metzmacher. Závažností se dle analytiků srovnává se zranitelností Heartbleed. Záplata by měla být uvolněna 12. dubna. Jak si glosátoři všímají, kolem zranitelnosti se podařilo vytvořit pěkné PR, má vlastní stránky, ba i logo… Podrobnosti známy nejsou, ale předpokládá se, že půjde o nějakou chybu na úrovni protokolu SMB; zřejmě už v jeho návrhu, proto se pak zranitelnost týká implementací jak v Sambě, tak i ve Windows.

Ze světa firem

Pouze 42 % dotazovaných profesionálů v oblasti kybernetické bezpečnosti využívá sdílených informací o hrozbách. Respondenti průzkumu uvádějí, že největšími bariérami pro sdílení informací o kybernetických hrozbách jsou firemní politiky (54 %), regulace v odvětví (24 %) a nedostatek informací (24 %). Při odpovědi na otázku, jaké typy dat o hrozbách jsou ochotni sdílet, uvedli respondenti chování malwaru (72 %), reputaci URL (58 %), reputaci externích IP adres (54 %), reputaci certifikátu (43 %) a reputaci souborů (37 %). (Zdroj: tisková zpráva společnosti Intel)

Podle analýzy McAfee Labs vzrostlo v posledním čtvrtletí roku 2015 zneužívání ransomwaru o 26 % oproti čtvrtletí předchozímu. (Zdroj: tisková zpráva společnosti Intel)

Průzkum společností Kaspersky Lab a B2B International ukázal, že pomocí DDoS útoků napadají počítačoví zločinci kromě zákaznických portálů a transakčních systémů i interní webové služby, operace nebo připojení. Zvláště náchylné k interním DDoS útokům byly podniky ve výrobní sféře. Čtvrtina z nich tvrdí, že kyberkriminálníci napadli její operační systém, a více než třetina si všimla změn na souborových serverech. Téměř každá pátá společnost zaznamenala napadení síťového připojení. (Zdroj: tisková zpráva společnosti Kaspersky Lab)

Nově schvalovaná evropská norma pro ochranu osobních údajů vstoupí v platnost na jaře 2018. Nové evropské obecné nařízení je ve stávající tuzemské legislativě ve velkém měřítku již obsaženo a uplatňováno. Norma ale přinese i změny: Podniky s více než 250 zaměstnanci nebo subjekty, jejichž hlavní činnost správce nebo zpracovatele spočívá ve zpracování osobních údajů (vztahuje se i na pouhá úložiště dat), budou povinny mít vlastního inspektora ochrany údajů. (Zdroj: tisková zpráva advokátní kanceláře Taylor Wessing Praha)

Psali jsme na ITBiz.cz

Na téma zabezpečení na ITBiz viz také:
Bezpečnostní přehled: Malware i pro iPhone bez jailbreakingu

Rubriky: ByznysCloudInternetPodnikový softwareSecurity

Související příspěvky

Zprávičky

Chatovací robot ChatGPT je nejrychleji rostoucí aplikace v historii

5. 2. 2023
Zprávičky

Američané silně investují do čínských firem na umělou inteligenci

4. 2. 2023
Zprávičky

Gen zvýšil ve 3. čtvrtletí tržby o 33 % na 936 milionů dolarů

3. 2. 2023
Zprávičky

Čtvrtletní zisk majitele Googlu klesl o třetinu, tržby zaostaly za očekáváním

3. 2. 2023

Zprávičky

Chatovací robot ChatGPT je nejrychleji rostoucí aplikace v historii

ČTK
5. 2. 2023

Chatovací robot ChatGPT, který využívá umělou inteligenci, se stal nejrychleji rostoucí spotřebitelskou aplikací v

Američané silně investují do čínských firem na umělou inteligenci

ČTK
4. 2. 2023

Američtí investoři, včetně investičních divizí firem Intel a Qualcomm, se v letech 2015 až

Gen zvýšil ve 3. čtvrtletí tržby o 33 % na 936 milionů dolarů

ČTK
3. 2. 2023

Antivirová firma Gen, jejíž součástí je i značka Avast, ve třetím čtvrtletí končícím 30.

Čtvrtletní zisk majitele Googlu klesl o třetinu, tržby zaostaly za očekáváním

ČTK
3. 2. 2023

Americké technologické společnosti Alphabet, která je majitelem internetového vyhledávače Google, ve čtvrtém čtvrtletí klesl

Sony má nižší čtvrtletní zisk, zlepšil však celoroční výhled

ČTK
3. 2. 2023

Japonskému výrobci elektroniky Sony Group ve třetím čtvrtletí jeho finančního roku klesl čistý zisk

Čtvrtletní zisk Mety klesl, zveřejnila ale výhled nad očekávání a akcie rostou

ČTK
2. 2. 2023

Čistý zisk americké internetové společnosti Meta Platforms se ve čtvrtém čtvrtletí meziročně snížil na

Americký Wolfspeed postaví v Německu závod na čipy do elektroaut za 3 mld. dolarů

ČTK
2. 2. 2023

Americký výrobce čipů Wolfspeed postaví v Německu továrnu na výrobu čipů do elektromobilů za

Bude 5G v budoucnosti motorem ekonomiky?

Nový šéf ČTÚ Ebert: V současnosti není možnost vstupu čtvrtého operátora

ČTK
2. 2. 2023

V Česku není v současnosti možnost pro vstup čtvrtého mobilního operátora na trh. Ve

Tiskové zprávy

Finanční výsledky NETGEAR za rok 2022

Obrat skupiny Packeta, majitele Zásilkovny, dosáhl v roce 2022 6,1 miliardy Kč

Goodoffer24 říká – v únoru dáte za doživotní licenci Windows 10 jen €12 a za Office €23

Epson přidává do nové řady ultralehkých 3LCD projektorů s vysokou svítivostí rozlišení 4K

SAP a Red Hat prohlubují partnerství: cílem je lepší podpora softwarových úloh SAP na Red Hat Enterprise Linuxu

Epson představuje laserové projektory nové generace vycházející vstříc požadavkům propojených tříd a hybridních pracovních prostředí

Zpráva dne

Goodoffer24 říká – v únoru dáte za doživotní licenci Windows 10 jen €12 a za Office €23

Goodoffer24 říká – v únoru dáte za doživotní licenci Windows 10 jen €12 a za Office €23

Redakce
2. 2. 2023

Zdaleka ne každý má stovky dolarů na upgrady svého počítačového softwaru. To je také...

Odebírat newsletter

Zásady ochrany osobních údajů.

Zkontrolujte svoji doručenou poštu a potvrďte odběr.

Komentujeme

Chvála černých skřínek

Prokletý smartphone: nejen chyby, ale i špatné rozhodování

Pavel Houser
27. 12. 2022

Asi nikoho nepřekvapí, že za neustálou dostupnost smartphonu se platí tím, že práce na tom zařízení...

Nadcházející akce

  1. Virtuální konference Kyberbezpečnost pro zdravotnictví

    23. února
  2. Hannover Messe 2023

    17. dubna - 21. dubna

Zobrazit všechny Akce

Slovník

KPI

BigBoard

Prodej na krátko (shorting, short selling, krátký prodej)

Nejpopulárnější články

Kde se v podnicích uplatní metaverzum?

Redakce
2. 1. 2023

Podařilo připravit husté křemíkové nanodrátky pro aplikace s vysokými frekvencemi

Při vzniku chyby by kvantové počítače mohly data automaticky mazat

Pavel Houser
3. 1. 2023

Vybudujte linii obrany pro zastavení vlny ransomwarových útoků

Redakce
23. 12. 2022

Trendy: předplacené služby, kontejnery, vliv rostoucích cen energií a experti se širším záběrem

Redakce
28. 12. 2022

Acer rozšiřuje řadu Aspire o nové stolní all-in-one počítače a notebooky

Acer rozšiřuje řadu Aspire o nové stolní all-in-one počítače a notebooky

Redakce
4. 1. 2023

Kategorie

  • Články
  • Komentujeme
  • Slovník
  • Tiskové zprávy
  • Zprávičky

Portál ITbiz.cz přináší informace z IT a byznysu již od roku 2006. Provozuje jej internetové vydavatelství Nitemedia. Hosting zajišťuje společnost Greenhousing.cz. Mezi další naše projekty patří například ABClinuxu.cz a Sciencemag.cz. Na stránce Redakce naleznete informace o redakci a možnostech inzerce.

Rubriky

Akce a události Byznys Cloud Ekomerce Hardware Internet Operační systémy Podnikový software Právo Rozhovory Science Security techn Technologie Telekomunikace Veřejná správa Vývoj a HTML Zpráva dne České IT česk

Píšeme jinde

RSS ScienceMag RSS

  • Týden na ITBiz: Elektronové můstky umožňují sdílení energie mezi vrstvami polovodičů
  • Hmotnost hvězdy poprvé změřili pomocí gravitační čočky
  • Našli systém s více exoplanetami u dvojhvězdy, teprve podruhé

RSS AbcLinuxu RSS

  • Open Assistant, konverzační umělá inteligence pro každého
  • Shell & Display Next hackfest proběhne 24. až 26. dubna v Brně
  • Razer Viper Mini Signature Edition

Newsletter

Zásady ochrany osobních údajů.

Zkontrolujte svoji doručenou poštu a potvrďte odběr.

Žádné výsledky
Zobrazit všechny výsledky
  • Technologie
  • Byznys
  • Software
  • Hardware
  • Internet
  • Telco
  • Science
  • České IT
  • Události

© 2019 Vydává Nitemedia s.r.o. Hosting zajišťuje Greenhousing.cz.

Tento web používá cookies. Pokračováním dáváte souhlas s jejich používáním. Více na itbiz.cz/soukromi.