Новости Security

Во входящем в состав ядра Linux модуле snd-usbmidi-lib выявлена критическая уязвимость (CVE-2016-2384), позволяющая организовать выполнение кода с правами ядра при наличии у атакующего физического доступа к системе.

Для атаки необходимо подключить к компьютеру специально настроенное USB-устройство, передающее некорректный блок параметров USB, а также запустить в системе определённый код под непривилегированным пользователем. Без наличия возможности выполнения кода на локальной системе уязвимость позволяет только инициировать отказ в обслуживании (крах ядра).

Видео с демострацией эксплуатации уязвимости

Уязвимость затрагивает пакеты с ядром, поставляемые в большинстве дистрибутивов Linux, включая Red Hat Enterprise Linux 6/7, Ubuntu, Debian, Fedora и SUSE. Проблема уже исправлена в ядре 4.5-rc4. В качестве обходного метода защиты можно отключить сборку модуля usb-audio (CONFIG_SND_USB_AUDIO=n) или запретить его автоматическую загрузку ("echo blacklist snd-usb-audio >> /etc/modprobe.d/blacklist.conf"). Доступен рабочий прототип эксплоита, который успешно работает в Ubuntu 14.04 (3.19.0-49-generic), Linux Mint 17.3 (3.19.0-32-generic) и Fedora 22 (4.1.5-200.fe22.x86_64).



Комбикорм цельнотянут с opennet

Всё плохо! Все версии glibc, начиная с 2.9, подвержены данной уязвимости. А поскольку это глибцэ, то и все программы, слинкованные с ней, также подвержены уязвимости, включая всякие питоны и ПХП.

Proof of concept: сервер на Си, клиент на питоне. Пинг-пинг и клиент падает.

Всё ещё хуже, т. к. о данной уязвимости было известно ещё с июля 2015.

Однако всё не так уж безрадостно. Патч доступен, обновления [в поддерживаемые версии дистрибутивов] приходят.

Для маргиналов, сидящих на старых версиях, есть способ оградить себя от злобных хакеров просто ограничив размер пакетов с ответами, которые принимает локальный DNS-резолвер. Также можно с помощью межсетевого экрана отклонять UDP DNS-пакеты размером больше 512 байт, отказаться от использования AF_UNSPEC, 'options edns0' в /etc/resolv.conf, а также 'RES_USE_EDNS0' или 'RES_USE_DNSSEC'.

В окружной суд штата Техас подан иск против ресурса Pinkmeth и разработчиков проекта Tor. Иск подан от лица Шелби Конклин, которая пострадала от деятельности сайта Pinkmeth, работающего как скрытый сервис Tor и предоставляющего площадку для размещения фотографий обнажённых девушек, снятых и опубликованных без их ведома (например, на сайте размещаются приватные порноматериалы, полученные хакерами после взлома компьютеров пользователей). Размер иска составляет 1 миллион долларов.

Разработчики Tor обвиняются в создании технологии и предоставлении сервисов, способствующих анонимному распространению незаконной информации, без возможности отследить местоположение скрывающегося за скрытым сервисом сайта и идентифицировать его создателей. Утверждается, что Tor сознательно помогает сайтам в совершении правонарушений. В качестве одного из требований истцов к Tor упоминается прекращение дальнейшего предоставления любых сервисов ресурсу Pinkmeth, что изначально невозможно из-за принципов работы анонимной сети.

По мнению юристов из правозащитной организации Electronic Frontier Foundation (EFF) обвинение беспочвенно. В частности, претензии к разработчикам Tor должны быть сняты на основании 230 статьи закона Communications Decency Act, в соответствии с которой провайдеры и пользователи интерактивных компьютерных систем не могут рассматриваться как распространители информации, предоставляемой другим провайдером контента. С тем же успехом иск мог быть подан против разработчиков http-сервера или создателей Web, которые в не меньшей степени "способствуют" работе незаконных сайтов.

Технология скрытых сервисов Tor (Hidden Services) позволяет создавать анонимные серверные приложения, принимающие соединения по TCP, но не имеющие конкретного адреса и месторасположения (изначальный адрес сервера скрывается по аналогии с тем, как скрываются IP-адреса пользвоателей сети Tor). Подобные сайты адресуются через специальный анонимный домен ".onion", например "http://iddmagszne4qt86tg.onion/". Одной из областей применения таких сервисов является анонимная публикация контента в Web без раскрытия источника его распространения.

В ядре Linux обнаружена критическая уязвимость (CVE-2014-0196), позволяющая локальному пользователю получить привилегии пользователя root. Проблему усугубляет публикация прототипа эксплоита в открытом доступе.

Уязвимость присутствует во всех выпусках ядра, начиная с 2.6.31-rc3, включая 3.14.3 и 3.15-rc5. Исправление пока доступно в виде патча. Обновления пакетов с устранением уязвимости уже сформированы для Ubuntu и Fedora. Для Debian, Gentoo, Red Hat Entreprise Linux, CentOS, openSUSE и SUSE обновление ядра пока недоступно и находится на стадии подготовки.

Проблема вызвана ошибкой в функции n_tty_write (drivers/tty/n_tty.c), в которой некорректно обрабатывалась ситуация доступа к виртуальному терминалу при использовании флагов "LECHO & !OPOST", что позволяло локальному пользователю инициировать повреждение областей памяти ядра. Используя условия гонки уязвимость позволяет добиться выполнения привилегированных команд во время выполнения из нескольких потоков одновременных операций чтения и записи длинных строк через псевдотерминал. Успешность эксплуатации является делом случая, при применении эксплоита в 3 из 4 запусков наблюдается крах ядра.

Цельнотянуто с Opennet.ru

В OpenSSL выявлена одна из самых серьёзных уязвимостей (CVE-2014-0160) в истории проекта, затрагивающая огромное число сайтов, серверных систем и клиентских приложений, использующих OpenSSL 1.0.1 для организации обмена данными через защищённое соединение.

Уязвимость находится в расширении Heartbeat (RFC6520) протокола TLS. Из-за отсутствия проверки выхода за допустимые границы в одной из функций, злоумышленник мог получить прямой доступ к оперативной памяти компьютеров, использующих OpenSSL. В том числе, доступ к секретным ключам, именам/паролям пользователей и всему зашифрованному трафику. При этом, на компьютере не оставалось никаких следов проникновения.

Любой, кому было известно об уязвимости, мог прослушивать зашифрованный трафик в Интернете с марта 2012 года (когда вышла OpenSSL 1.0.1). Уязвимая версия OpenSSL используется практически во всем Интернете: веб-серверами Nginx и Apache, почтовыми и IM-серверами, VPN-серверами и клиентами, и массой других программ.

Уязвимы все ветки OpenSSL 1.0.1 и 1.0.2-beta. Всем пострадавшим нужно как можно скорее обновиться до версии 1.0.1g, а также создать новые ключи и сертификаты. В случае невозможности немедленного обновления необходимо пересобрать OpenSSL с флагом -DOPENSSL_NO_HEARTBEATS.

Обнаружены две уязвимости в emacs, которые могут привести к исполнению произвольного кода.

Когда включен режим ‘global-ede-mode’, EDE в Emacs автоматически загружает Project.ede файл из директории проекта (CVE-2012-0035).

Когда ‘enable-local-variables’’ установлена в значение ‘:safe’, Emacs автоматически обрабатывает выражения (CVE-2012-3479).

Удалённый взломщик может соблазнить пользователя.

Исследователи из Индианского университета и компании Microsoft опубликовали статью (PDF), в которой описали новый класс уязвимостей в платформе Android, который затрагивает все её версии, включая полностью открытую версию Android - Android Open Source Project. Уязвимыми на данный момент являются все аппараты, работающие под управлением Android.

Суть уязвимости заключается в следующем. Разные версии ОС Android имеют разный набор разрешений для приложений, и в новых версиях ОС этот набор расширяется. Злоумышленник может подготовить приложение, запрашивающее доступ к привилегированным операциям, появившимся в свежей версии платформы. При установке такого приложения на старых версиях Android данные неизвестные привилегии будут проигнорированы. При обновлении операционной системы до более новой версии сервис Package Management Service (PMS), который отвечает за обновления, автоматически задействует все разрешения, которые есть в приложении, ибо он считает, что раз приложение уже установлено, то пользователь уже согласился на все присутствующие в нём разрешения, даже на те, которые не поддерживались в старых выпусках ОС. Таким образом, при обновлении ОС приложения Android могут скрыто получить недоступные ранее полномочия, включая системные.

Для выявления попыток эксплуатации уязвимости исследователи выпустили своё собственное приложение, которое сканирует систему в поиске программ, которые "ждут" обновления ОС с тем, чтобы получить расширенный доступ. Масштаб проблемы, однако, не настолько серьёзен, как утверждают исследователи. Огромное количество выпускаемых под Android аппаратов вообще никогда не получают обновление ОС, или получают только обновления, которые не увеличивают основную ревизию, например, с 4.2 до 4.2.2.

Дополнительно можно отметить выявление опасной DoS-уязвимости в Android 2.3, 4.2.2, 4.3 и возможно других выпусках. Установка подготовленного злоумышленниками пакета APK может привести к неустраняемым зацикленным перезагрузкам, т.е. приводит к неработоспособности устройства до выполнения перепрошивки. Суть метода в заполнении поля "appname" в метаданных к пакету слишком большим значением, превышающим 387000 символов. Интересно, что выявивший уязвимость исследователь попытался протестировать возможность загрузки вызывающего уязвимость APK-пакета в Google Play, что привело к нарушению работы сервиса в процессе проверки корректности пакета и невозможности другим пользователям во время проверки загрузить приложения в Google Play.

В ядре Linux исправлена опасная уязвимость (CVE-2014-2523), позволяющая удаленному злоумышленнику выполнить код на уровне ядра. Проблема обусловлена ошибкой в коде conntrack (подсистемы, отслеживающей входящие, исходящие и транзитные сетевые соединения для обеспечения корректности процедур фильтрации и NAT), выполняющем обработку пакетов протокола DCCP. При помощи специально сформированного DCCP-пакета, удаленный злоумышленник может выполнить произвольный код с привилегиями ядра, либо инициировать крах системы.

Уязвимый участок кода существовал в Linux начиная с версии 2.6.26 (июль 2008 года) по 3.13 включительно. Несмотря на то, что исправление было принято в начале января 2014 года (и вошло в Linux 3.14-RC1), проблема была отмечена как уязвимость только в минувший понедельник. За выходом исправлений для популярных дистрибутивов можно проследить на следующих страницах: Fedora/RHEL, SuSE, Debian, Ubuntu.

В качестве временного исправления, можно заблокировать conntrack-обработку входящих и исходящих DCCP пакетов:

Новость, в принципе, посвящена не столько безопасности (хотя и этому также), сколько очередной наглядной демонстрации тенденций современного Интернета в частности и коммуникации между людьми в целом.

После 12 лет существования объявлено о закрытии списка рассылки full-disclosure, используемого для публикации информации о новых уязвимостях и их обсуждения. Кроме анонсов исправленных уязвимостей, список рассылки также был использован в качестве площадки для раскрытия данных о некоторых крупных 0-day уязвимостях.

В качестве причины закрытия списка рассылки называется потеря веры в сообщество и отсутствие желания по дальнейшему поддержанию ресурса, в условиях требований по удалению той или иной информации от лиц, не заинтересованных в её публичной доступности. Подобные запросы от компаний рассматривались как нечто неизбежное, но появление подобных требований от представителей сообщества разуверило создателей рассылки в необходимость продолжения её существования. Кроме того, упоминается груз в виде постоянного троллинга, публикации заявлений о мнимых достижениях, поддельных эксплоитов, а также общего падения проявления профессионализма, среди участников рассылки. В итоге, делается неутешительный вывод о невозможности поддержания открытой площадки для обсуждений в условиях сегодняшнего правового климата и усиления давления по регулированию тематики, связанной с компьютерной безопасностью.

Компания ESET подготовила 69-страничный отчёт (PDF, 3.6 Мб) с анализом продолжающейся с 2011 года широкомасштабной атаки на серверы, работающие под управлением Linux, FreeBSD и других Unix-подобных систем. В ходе атаки, которой присвоено имя Операция Windigo, за три года был получен контроль над более чем 25 тысячами серверов, из которых 10 тысяч в настоящее время остаются поражёнными вредоносным ПО.

После проникновения, которое осуществлялось с использованием перехваченных или подобранных паролей, на сервер осуществлялась установка троянских компонентов, управляемых извне. В частности, программа ssh подменялась на вариант, перехватывающий пароли при обращении к другим серверам и отправляющий их злоумышленникам; устанавливались модули ядра или модифицировались исполняемые файлы http-серверов Apache, lighttpd или nginx для подстановки вредоносных вставок в http-трафик с целью организации атаки на клиентские системы; устанавливались компоненты для рассылки спама. На DNS-серверах зафиксировано использование модуля для подмены результатов резолвинга для определённых доменов без изменения конфигурации сервера.

Например, объём спама, отправляемый с поражённого сервера, доходил до 35 млн сообщений в день. Пользователи Windows перенаправлялись на страницы с exploit kit, пользователям OS X осуществлялась подстановка рекламы, а пользователи iOS перенаправлялись на порноресурсы. Бэкдор для SSH поставлялся только для Linux и FreeBSD, компоненты атаки на http серверы использовались для Linux, в то время как модуль рассылки спама был написан на Perl и работал на любых Unix-системах. Поражались системы не только на базе архитектуры x86, но зафиксировано размещение вредоносного ПО также на системах на базе архитектуры ARM. Примечательно, что в результате атаки не предпринимались попытки эксплуатации уязвимостей на серверах, для проникновения использовались только перехваченные параметры аутентификации.



Сообщается, что нашумевшие взломы cPanel, kernel.org и серверов Linux Foundation были совершены в рамках рассмотренной в отчёте атаки Windigo. Для проверки системы на предмет установки троянского ssh достаточно запустить "ssh -G", если будет выведено сообщение о недоступности иди некорректности опции, то система не поражена. В случае выявления факта подмены ssh рекомендуется переустановить операционную систему и приложения на сервере с нуля, а также поменять пароли и ключи доступа.