HUP - titkosítás, biztonság
"Big Microsoft data breach – 250 million records exposed"
Big Microsoft data breach – 250 million records exposed https://t.co/Xe521ubswe
— Naked Security (@NakedSecurity) January 22, 202014 évnyi adat volt szabadon hozzáférhető majdnem egy hónapig. Részletek itt. A Microsoft bejelentése itt.
Megjelent a ModSecurity 3.0.4-es kiadása
Megjelent a legnépszerűbb nyílt forráskódú WAF legújabb kiadása, a ModSecurity 3.0.4-es verziója.
Komoly pénzdíjjal és egy megnyerhető Tesla 3-mal jön az idei Pwn2Own vetélkedő
We're excited to announce #Pwn2Own Vancouver 2020 with new categories and returning partners, #Microsoft & @Tesla along with sponsor @VMware. More than $1,000,000 USD available - plus a Model 3! Details at https://t.co/eiZOb281Bk #P2OVancouver
— Zero Day Initiative (@thezdi) January 9, 2020A ZDI bejelentette, hogy idén is megtartják népszerű, biztonsági szakemberek számára szervezett vetélkedőjüket, a Pwn2Own-t. Helyszíne a szokásos, a kanadai Vancouverben tartott CanSecWest konferencia. Időpontja 2020. március 18-20. A nyereményalap nem gyenge: több mint 1 millió dollár készpénz és egy vadonatúj Tesla Model 3-as. Az alábbi kategóriákban hirdettek versenyt:
P0: iPhone távoli exploitálsás 1, 2, 3. rész
Remote iPhone Exploitation Part 1: Poking Memory via iMessage and CVE-2019-8641 https://t.co/5F29wQtVJ4
— Project Zero Bugs (@ProjectZeroBugs) January 9, 2020Remote iPhone Exploitation Part 2: Bringing Light into the Darkness -- a Remote ASLR Bypass https://t.co/USp8qmiRBs
— Project Zero Bugs (@ProjectZeroBugs) January 9, 2020Remote iPhone Exploitation Part 3: From Memory Corruption to JavaScript and Back -- Gaining Code Execution https://t.co/7sFKXSHCcH
— Project Zero Bugs (@ProjectZeroBugs) January 9, 2020A Google P0 csapatának blogján egy sorozat indult iPhone készülékek távoli exploitálásával kapcsolatban:
Frissítette közlési irányelveit a Google P0 csapata
Policy and Disclosure: 2020 Edition https://t.co/437PanOTTx
— Project Zero Bugs (@ProjectZeroBugs) January 7, 2020A Google Project Zero(P0) csapata az elmúlt években számos kritikus biztonsági sebezhetőség feltárásában és javításának elősegítésében működött közre.
FreeBSD local root exploit (FreeBSD-SA-19:02.fd)
Local root exploit for the FreeBSD fd vulnerability as disclosed in FreeBSD-SA-19:02.fd https://t.co/kEzzC3C0au #Rootkit #Vulnerability #Exploit #CyberSecurity #Infosec pic.twitter.com/aOTnmXuBWA
— Ptrace Security GmbH (@ptracesecurity) January 4, 2020Ugyan a hibát a FreeBSD már rég javította, viszont aki nem patchelt, annak érdemes mielőbb, mert nemrég publikusan elérhető local root exploit látott napvilágot hozzá.
Plundervolt - ismét Intel processzorokat érintő sebezhetőséget/támadást jelentettek be
We present #plundervolt TL;DR First ever fault injection attack on Intel SGX enclaves. Abuses an undocumented software-based interface to undervolt the CPU. Extract full crypto keys and trigger memory safety violations in bug-free code. Read the paper at https://t.co/xfrFtNcQGE pic.twitter.com/ozuCF4Vzhh
— Jo Van Bulck (@jovanbulck) December 10, 2019A hibát bejelentők közt van a Meltdown kapcsán ismertté vált Daniel Gruss is:
SockPuppet: egy iOS 12.4 kernel exploit kivesézése
SockPuppet: A Walkthrough of a Kernel Exploit for iOS 12.4 https://t.co/b6ZtRYS1br
— Project Zero Bugs (@ProjectZeroBugs) December 10, 2019Ned Williamson a P0 csapat blogján egy olyan, iOS és macOS kernelt érintő súlyos sebezhetőséget elemez ki, ami öt évig volt jelen. A sebezhetőséget 2019 márciusában jelezte az Apple-nek, ami az iOS 12.3-ban ki is javította. Utána olyasmi következett, ami az Apple-nél nem ritka: a sebezhetőség "visszatért" az iOS 12.4-ben, amit aztán újra kijavítottak az iOS 12.4.1-ben, augusztusban:
In this post, we’ll look at CVE-2019-8605, a vulnerability in the iOS kernel and macOS for five years and how to exploit it to achieve arbitrary kernel read/write. This issue affected XNU as early as 2013, and was reported by me to Apple on March 2019. It was then patched in iOS 12.3 in May 2019 and I released the complete details including the exploit for iOS for analysis, named “SockPuppet,” in July 2019. It was then discovered that this issue regressed in iOS 12.4 and was later patched in iOS 12.4.1 in late August 2019.A teljes leírás itt olvasható.
ProtonCalendar - naptárfunkcióval bővít a ProtonMail szolgáltatója
ProtonCalendar will be in beta soon. Our secure and encrypted calendar will help you stay organized while protecting your data. This post explains exactly how we encrypt your data to ensure it stays safe: https://t.co/CKOj8ETMd4
— ProtonMail (@ProtonMail) December 5, 2019A svájci központú, végpontok közti titkosítású, anonim e-mail szolgáltatást nyújtó Proton Technologies AG bejelentette, hogy szintén a biztonságot és a privát szféra védelmét szem előtt tartó naptárszolgáltatást indít hamarosan, egyelőre béta üzemben, ProtonCalendar néven. Részletek itt.
Új Intel CPU-hibák: Zombieload TAA, iITLB Multihit NX, JCC Errata
Mai napon az Intel - havi rendszerességű biztonsági állapotjelentés keretében - nyilvánosságra hozott összesen 77 biztonsági figyelmeztetést. Ezek jelentős része driver, illetve firmware frissítés, viszont külön kiemelendő két, CPU-kat érintő sebezhetőség, valamint egy harmadik nem biztonsági, hanem stabilitási-jellegű processzorhiba.
A Zombieload TAA (TSX Asynchronous Abort) CVE-2019-11135, (Intel SA-00270), a korábban nyilvánosságra hozott Zombieload MDS (Microarchitectural Data Sampling) két új variánsát takarja.
Az iITLB Multihit CVE-2018-12207 (Intel SA-00210) denial of service támadásra ad lehetőséget memória-laptáblában szándékosan érvénytelen lapméretű bejegyzések létrehozásával. Úgy tűnik itt is egy korábbi hiba újabb variánsáról van szó.
A Jump Conditional Code (JCC) Errata - jelen ismereteink szerint - nem hordoz biztonsági kockázatot, ám ahhoz hasonló mitigációs lépéseket igényel. A hiba feltételes ugrás utasítások 32byte-os kerek címhatárokra kerülése esetén nemdeterminisztikus viselkedésben nyilvánul meg.
Mindhárom probléma csak az Intel processzorait érinti.
Az ISP-k ellenzése dacára az összes jelentős internetes böngészőben megjelenik a DNS-over-HTTPS támogatás
Mind a hat fő böngésző-gyártó azt tervezi, hogy támogatja a DNS-over-HTTPS (vagy DoH) protokollt, amely a DNS-forgalmat titkosítja és elősegíti a felhasználó magánéletének védelmét az Interneten.
A DoH segítségével a felhasználó DNS-forgalmát láthatatlanná teszi a harmadik féltől származó hálózati megfigyelők, például az internetszolgáltatók számára.
Tails 4.0
Tails 4.0 is out: https://t.co/qWuniaS1cK.
Our most important release in years:
- Adds @KeePassXC
- Fixes @ElectrumWallet
- Updates OnionShare @micahflee
- Updates to @Debian 10
- Includes tons of performance and usability improvements, especially for non-English speakers pic.twitter.com/2MLHHZkkWo
— Tails (@Tails_live) October 22, 2019
Kiadták a Tails 4.0-s verzióját. A Tails az utóbbi időben került reflektorfénybe azzal, hogy kiderült, Snowden és csapata, Bruce Schneier is felhasználója, valamint, hogy az NSA-nál könnyen megfigyelésre jelölt lehet az, aki utána érdeklődik.
Részletek a bejelentésben.
Tails 4.0
Tails 4.0 is out: https://t.co/qWuniaS1cK.
Our most important release in years:
- Adds @KeePassXC
- Fixes @ElectrumWallet
- Updates OnionShare @micahflee
- Updates to @Debian 10
- Includes tons of performance and usability improvements, especially for non-English speakers pic.twitter.com/2MLHHZkkWo
— Tails (@Tails_live) October 22, 2019
Kiadták a Tails 4.0-s verzióját. A Tails az utóbbi időben került reflektorfénybe azzal, hogy kiderült, Snowden és csapata, Bruce Schneier is felhasználója, valamint, hogy az NSA-nál könnyen megfigyelésre jelölt lehet az, aki utána érdeklődik.
Részletek a bejelentésben.
Banki alkalmazások vonták vissza egyelőre ujjlenyomat támogatásukat a Samsung Galaxy S10 ujjlenyomat olvasási bugja miatt
Egy brit pár nemrég ujjlenyomat olvasási problémát vett észre a Samsung Galaxy S10 telefonjukkal kapcsolatban. A nő egy, az eBay-en vásárolt olcsó, szilikon kijelzővédőt applikált a készülékére, majd regisztráltatta az ujjlenyomatait a telefonjában. Ezután észrevette, hogy olyan ujjai ujjlenyomatával is fel tudja oldani készülékét, amelyet sosem regisztráltatott rajta. A férje is kipróbálta, az ő ujjaival is sikerült a telefont feloldani. A dolognak híre ment és eljutott a bankokhoz is, amelyek közül több, banki alkalmazásában egyelőre visszavonta a Samsung Galaxy S10 és a Galaxy Note 10 ujjlenyomat olvasóinak támogatását. A Samsung is reagált. Előbb azt közölte, hogy csak általa hivatalosan engedélyezett kijelzővédőket használjanak a felhasználók, majd később egy közleményt adott ki, amelyben jelezte, hogy dolgozik a patchen, amelyet hamarosan ki fog adni az érintett készülékek számára.
Egyesek szerint a helyzet sokkal rosszabb, gyakorlatilag egy darab hőre lágyuló poliuretán (Thermoplastic Polyurethane - TPU) darabka segítségével fel lehet oldani az érintett készülékeket olyan ujjlenyomattal, amit sosem regisztráltak a készülékeken, még akkor is, ha kijelzővédő nélkül regisztrálták rajta eredetileg az érvényes ujjlenyomatokat.
Részletek itt.
Banki alkalmazások vonták vissza egyelőre ujjlenyomat támogatásukat a Samsung Galaxy S10 ujjlenyomat olvasási bugja miatt
Egy brit pár nemrég ujjlenyomat olvasási problémát vett észre a Samsung Galaxy S10 telefonjukkal kapcsolatban. A nő egy, az eBay-en vásárolt olcsó, szilikon kijelzővédőt applikált a készülékére, majd regisztráltatta az ujjlenyomatait a telefonjában. Ezután észrevette, hogy olyan ujjai ujjlenyomatával is fel tudja oldani készülékét, amelyet sosem regisztráltatott rajta. A férje is kipróbálta, az ő ujjaival is sikerült a telefont feloldani. A dolognak híre ment és eljutott a bankokhoz is, amelyek közül több, banki alkalmazásában egyelőre visszavonta a Samsung Galaxy S10 és a Galaxy Note 10 ujjlenyomat olvasóinak támogatását. A Samsung is reagált. Előbb azt közölte, hogy csak általa hivatalosan engedélyezett kijelzővédőket használjanak a felhasználók, majd később egy közleményt adott ki, amelyben jelezte, hogy dolgozik a patchen, amelyet hamarosan ki fog adni az érintett készülékek számára.
Egyesek szerint a helyzet sokkal rosszabb, gyakorlatilag egy darab hőre lágyuló poliuretán (Thermoplastic Polyurethane - TPU) darabka segítségével fel lehet oldani az érintett készülékeket olyan ujjlenyomattal, amit sosem regisztráltak a készülékeken, még akkor is, ha kijelzővédő nélkül regisztrálták rajta eredetileg az érvényes ujjlenyomatokat.
Részletek itt.
Súlyos (root) sudo sebezhetőség
CVE-2019-14287
A flaw in Sudo—that comes installed on almost every #Linux OS—could let users run commands as "root" even when they're restricted.
Details ➤ https://t.co/NeFvITBR73
How? Just by specifying user ID "-1" or "4294967295" in the command instead of the root. pic.twitter.com/zlvC7PSYrI
— The Hacker News (@TheHackersNews) October 14, 2019
When sudo is configured to allow a user to run commands as an arbitrary user via the ALL keyword in a Runas specification, it is possible to run commands as root by specifying the user ID -1 or 4294967295.
Részletek itt.
Súlyos (root) sudo sebezhetőség
CVE-2019-14287
A flaw in Sudo—that comes installed on almost every #Linux OS—could let users run commands as "root" even when they're restricted.
Details ➤ https://t.co/NeFvITBR73
How? Just by specifying user ID "-1" or "4294967295" in the command instead of the root. pic.twitter.com/zlvC7PSYrI
— The Hacker News (@TheHackersNews) October 14, 2019
When sudo is configured to allow a user to run commands as an arbitrary user via the ALL keyword in a Runas specification, it is possible to run commands as root by specifying the user ID -1 or 4294967295.
Részletek itt.
Ransomware bűnszervezet áldozata előbb fizetett, majd visszatámadott és publikálta a banda összes visszafejtő kulcsát
Ransomware Gang's Victim Cracks Their Server and Releases All Their Decryption Keys https://t.co/bzFfbh9b1e
— Slashdot (@slashdot) October 12, 2019
A bűnbanda egyik áldozata, a német programozó, Tobias Frömel előbb váltságdíjat fizetett azért, hogy visszakaphassa fájljait. Majd utána elemezte a Muhstik ransomware-t, rájött, hogy az hogyan működik és az infók birtokában hozzáfért a támadók szerverén levő adatbázishoz. A visszavágás eredményeként a Pastebin-en publikálta azokat a kulcsokat, amelyekkel a bűnbanda többi áldozata képes lehet visszafejteni saját, bűnözők által titkosított fájljait. Az általa közzétett Pastebin post 2858 visszafejtő kulcsot tartalmaz. Frömel emellett publikált egy decrypter alkalmazást is, amelyet az áldozatok felhasználhatnak a fájljaik visszaállításához. A programozó most azon van, hogy minél több áldozatot értesítsen a Twitter-en keresztül.
Részletek és linkek a Slashdot cikkében.
Ransomware bűnszervezet áldozata előbb fizetett, majd visszatámadott és publikálta a banda összes visszafejtő kulcsát
Ransomware Gang's Victim Cracks Their Server and Releases All Their Decryption Keys https://t.co/bzFfbh9b1e
— Slashdot (@slashdot) October 12, 2019
A bűnbanda egyik áldozata, a német programozó, Tobias Frömel előbb váltságdíjat fizetett azért, hogy visszakaphassa fájljait. Majd utána elemezte a Muhstik ransomware-t, rájött, hogy az hogyan működik és az infók birtokában hozzáfért a támadók szerverén levő adatbázishoz. A visszavágás eredményeként a Pastebin-en publikálta azokat a kulcsokat, amelyekkel a bűnbanda többi áldozata képes lehet visszafejteni saját, bűnözők által titkosított fájljait. Az általa közzétett Pastebin post 2858 visszafejtő kulcsot tartalmaz. Frömel emellett publikált egy decrypter alkalmazást is, amelyet az áldozatok felhasználhatnak a fájljaik visszaállításához. A programozó most azon van, hogy minél több áldozatot értesítsen a Twitter-en keresztül.
Részletek és linkek a Slashdot cikkében.