[Информационная безопасность] Security Week 05: sudo, уязвимость в iOS и атака на исследователей
Автор
Сообщение
news_bot ®
Стаж: 6 лет 9 месяцев
Сообщений: 27286
Прошлая неделя оказалась богатой на события. Начнем с трех уязвимостей в мобильных ОС Apple, которые предположительно были использованы в реальных атаках. В кратком сообщении Apple две уязвимости отнесены к движку WebKit — они обеспечивают выполнение произвольного кода. Еще одна дыра в ядре iOS и iPadOS позволяет повысить привилегии.
Все три уязвимости закрыты в обновлении ОС 14.4 от 26 января. Компания Apple сообщает, что ей известны факты активной эксплуатации этих трех багов. Детали этой атаки неизвестны, но есть свежий пример эксплуатации уязвимостей zero-click в iOS 13, раскрытый в отчете организации Citizen Lab в конце декабря прошлого года.
В четверг 28 января специалист из команды Google Project Zero Самуэль Гросс опубликовал описание еще одного механизма безопасности, внедренного в iOS 14. С помощью реверс-инжиниринга эксперт анализирует структурное изменение работы встроенного мессенджера iMessage. Судя по всему, в актуальной версии мобильной ОС Apple внедрена строгая изоляция всех инструментов обработки входящих данных. Это должно усложнить создание новых методов атаки, даже с использованием пока неизвестных уязвимостей. С одной стороны, Apple не ограничивается лечением отдельных багов, с другой — даже с новыми механизмами защиты атаки на устройства с последующей установкой бэкдора вполне возможны. Так или иначе, стоит обновить iPhone или iPad до последней версии ОС.
Уязвимость в утилите sudo, универсальном инструменте для временного повышения прав пользователя, обнаружили эксперты компании Qualys (оригинальная статья, новость, обсуждение на Хабре). Использование команды sudoedit способно вызвать переполнение буфера с последующим повышением прав пользователя в системе. Уязвимость попала в код утилиты в 2011 году, подвержены версии sudo 1.8.2–1.8.31p2 и 1.9.0–1.9.5p1. Патчи для популярных дистрибутивов Linux вышли 26 января.
Наконец, на прошлой неделе стало известно об атаке на самих экспертов по информационной безопасности. Обзорная статья появилась в издании Vice, технические детали — в публикациях Google Threat Analysis Group и Microsoft. В конце прошлого года несколько аккаунтов в Twitter (примеры — на скриншоте выше) активно общались со специалистами по безопасности, предлагая поучаствовать в анализе эксплойта для уязвимости в Windows Defender. Тем, кто вступал в переписку, присылали проект для IDE Visual Studio с вредоносным довеском.
Скорее всего, это был резервный способ атаки, а основным методом был псевдоблог, где был размещен эксплойт для уязвимости в браузере Chrome. Для какой именно — неизвестно, но ссылки на блог активно распространяли в Twitter и на других площадках, например на Reddit. У виртуальных личностей были полноценные биографии, профили на LinkedIn и аккаунты на GitHub. В Twitter есть несколько свидетельств об успешной атаке, хотя зачастую «страдала» только специально поднятая для открытия подобных ссылок виртуальная машина. Тем не менее, эта история говорит о том, что социальный инжиниринг срабатывает и на профессионалах.
Что еще произошло:
Европол перехватил контроль над ботнетом Emotet.
Подробное описание атаки на головное мультимедийное устройство в автомобиле Nissan.
Разработчики Firefox выкатили версию 85, где внедрили защиту от так называемых "суперкуки". Этот метод слежки за пользователем теперь максимально затруднен благодаря раздельному кэшированию данных для каждого посещенного веб-сайта.
===========
Источник:
habr.com
===========
Похожие новости:
- [Информационная безопасность, Криптография] В библиотеке Libgcrypt нашли серьёзную уязвимость безопасности
- [Информационная безопасность, Системное администрирование, Сетевые технологии] Lawful Interception, поиск по вложениям и персонализация страницы аутентификации Zimbra OSE
- [Разработка под iOS, Разработка мобильных приложений, Разработка под Android, C#, Xamarin] Использование сервисов и обработка их результатов в Xamarin
- [Информационная безопасность] Вебинар DataLine «Как выполнить требования 152-ФЗ в облаке?» 11 февраля
- [Информационная безопасность, IT-стандарты] (не)Безопасный дайджест: пароли по дефолту, персданные в подарок и зарплата для фишеров
- [Разработка под iOS, Разработка под AR и VR, Облачные сервисы, AR и VR, Игры и игровые приставки] Disney выпустила интерактивную короткометражку Baymax Dreams на GeForce Now
- [Информационная безопасность, Open source, DevOps] Автоматизируем поиск секретов в git и ansible
- [Информационная безопасность, Мессенджеры, Законодательство в IT] ProtonMail, Threema, Tresorit и Tutanota просят Евросоюз пересмотреть усилия по запрету шифрования
- [Информационная безопасность, Криптография, Разработка под Android, Софт] Google по ошибке удалила мессенджер Element из каталога Google Play, затем вернула обратно
- [Информационная безопасность, Системное администрирование] Обнаружена 0day уязвимость повышения привилегий в Windows 7-10
Теги для поиска: #_informatsionnaja_bezopasnost (Информационная безопасность), #_sudo, #_ios, #_zeroday, [url=https://torrents-local.xyz/search.php?nm=%23_blog_kompanii_«laboratorija_kasperskogo»&to=0&allw=0&o=1&s=0&f%5B%5D=820&f%5B%5D=959&f%5B%5D=958&f%5B%5D=872&f%5B%5D=967&f%5B%5D=954&f%5B%5D=885&f%5B%5D=882&f%5B%5D=863&f%5B%5D=881&f%5B%5D=860&f%5B%5D=884&f%5B%5D=865&f%5B%5D=873&f%5B%5D=861&f%5B%5D=864&f%5B%5D=883&f%5B%5D=957&f%5B%5D=859&f%5B%5D=966&f%5B%5D=956&f%5B%5D=955]#_blog_kompanii_«laboratorija_kasperskogo» (
Блог компании «Лаборатория Касперского»
)[/url], #_informatsionnaja_bezopasnost (
Информационная безопасность
)
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 22-Ноя 18:44
Часовой пояс: UTC + 5
| Автор | Сообщение |
|---|---|
|
news_bot ®
Стаж: 6 лет 9 месяцев |
|
 Прошлая неделя оказалась богатой на события. Начнем с трех уязвимостей в мобильных ОС Apple, которые предположительно были использованы в реальных атаках. В кратком сообщении Apple две уязвимости отнесены к движку WebKit — они обеспечивают выполнение произвольного кода. Еще одна дыра в ядре iOS и iPadOS позволяет повысить привилегии. Все три уязвимости закрыты в обновлении ОС 14.4 от 26 января. Компания Apple сообщает, что ей известны факты активной эксплуатации этих трех багов. Детали этой атаки неизвестны, но есть свежий пример эксплуатации уязвимостей zero-click в iOS 13, раскрытый в отчете организации Citizen Lab в конце декабря прошлого года. В четверг 28 января специалист из команды Google Project Zero Самуэль Гросс опубликовал описание еще одного механизма безопасности, внедренного в iOS 14. С помощью реверс-инжиниринга эксперт анализирует структурное изменение работы встроенного мессенджера iMessage. Судя по всему, в актуальной версии мобильной ОС Apple внедрена строгая изоляция всех инструментов обработки входящих данных. Это должно усложнить создание новых методов атаки, даже с использованием пока неизвестных уязвимостей. С одной стороны, Apple не ограничивается лечением отдельных багов, с другой — даже с новыми механизмами защиты атаки на устройства с последующей установкой бэкдора вполне возможны. Так или иначе, стоит обновить iPhone или iPad до последней версии ОС. Уязвимость в утилите sudo, универсальном инструменте для временного повышения прав пользователя, обнаружили эксперты компании Qualys (оригинальная статья, новость, обсуждение на Хабре). Использование команды sudoedit способно вызвать переполнение буфера с последующим повышением прав пользователя в системе. Уязвимость попала в код утилиты в 2011 году, подвержены версии sudo 1.8.2–1.8.31p2 и 1.9.0–1.9.5p1. Патчи для популярных дистрибутивов Linux вышли 26 января.  Наконец, на прошлой неделе стало известно об атаке на самих экспертов по информационной безопасности. Обзорная статья появилась в издании Vice, технические детали — в публикациях Google Threat Analysis Group и Microsoft. В конце прошлого года несколько аккаунтов в Twitter (примеры — на скриншоте выше) активно общались со специалистами по безопасности, предлагая поучаствовать в анализе эксплойта для уязвимости в Windows Defender. Тем, кто вступал в переписку, присылали проект для IDE Visual Studio с вредоносным довеском. Скорее всего, это был резервный способ атаки, а основным методом был псевдоблог, где был размещен эксплойт для уязвимости в браузере Chrome. Для какой именно — неизвестно, но ссылки на блог активно распространяли в Twitter и на других площадках, например на Reddit. У виртуальных личностей были полноценные биографии, профили на LinkedIn и аккаунты на GitHub. В Twitter есть несколько свидетельств об успешной атаке, хотя зачастую «страдала» только специально поднятая для открытия подобных ссылок виртуальная машина. Тем не менее, эта история говорит о том, что социальный инжиниринг срабатывает и на профессионалах. Что еще произошло: Европол перехватил контроль над ботнетом Emotet. Подробное описание атаки на головное мультимедийное устройство в автомобиле Nissan. Разработчики Firefox выкатили версию 85, где внедрили защиту от так называемых "суперкуки". Этот метод слежки за пользователем теперь максимально затруднен благодаря раздельному кэшированию данных для каждого посещенного веб-сайта. =========== Источник: habr.com =========== Похожие новости:
Блог компании «Лаборатория Касперского» )[/url], #_informatsionnaja_bezopasnost ( Информационная безопасность ) |
|
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 22-Ноя 18:44
Часовой пояс: UTC + 5