Artykuły dotyczące tematu: Pwn2Own

dodany: 15.03.2013 | tagi: ,

Co tak naprawdę naprawił Microsoft w ostatnim biuletynie

0

Niedawno pisaliśmy o wtorkowym zestawie biuletynów Microsoftu, który zawiera dziewięć poprawek bezpieczeństwa 9zobacz newsa: Microsoft naprawia błędy w Windowsie i IE). Cztery z biuletynów są oceniane jako bardzo ważne. 12 z 20 łatanych luk posiada poziom krytyczny i umożliwia zdalne wykonywanie kodu i podniesienie uprawnień. Oprogramowanie Microsoftu, które łatane jest w pierwszej kolejności, obejmuje aplikacje Internet Explorer, Silverlight, Visio Viewer i SharePoint. Zatem, wszyscy użytkownicy systemów Windows powinni jak najszybciej uaktualnić swoje systemy. Ciekawe spostrzeżenia odnośnie do jednej naprawionej luki przedstawił analityk Kaspersky Lab –   Kurt Baumgartner, które przedstawiamy poniżej.

Konferencja Pwn2Own przyciągnęła do Cansecwest największe talenty w dziedzinie ofensywnych systemów bezpieczeństwa, lecz, pomimo całkowitej puli nagród o równowartości niemalże pół miliona dolarów (za świeże luki 0-day), nie wywołała szczególnego wpływu na poprawki opublikowane w biuletynie Microsoftu. W tym roku wykryte zostały podatności w aplikacjach firmy Adobe, Javie, Firefoksie i Chrome oraz dwie luki 0-day w przeglądarce Internet Explorer 10, pozwalające na pełnie wtargnięcie do systemu Windows 8 na tablecie Windows Surface Pro.

MS013-021 jest gigantyczną „poprawką używania Internet Explorera”, dotyczącą jak dotąd najdłuższej listy luk w IE, opublikowanej w pojedynczym biuletynie bezpieczeństwa. Wiedząc, że tylko jedna z tych luk została wcześniej ujawniona publicznie, można postawić hipotezę, że albo firma naprawiła fuzzer w swoich laboratoriach, albo skorzystała z czyjegoś autorskiego rozwiązania.

MS013-022 dotyczy sprawdzania wskaźnika pamięci w składniku renderowania HTML w aplikacji Silverlight – nietypowego problemu, znanego jako „podwójne odwołanie”. Interesującą rzeczą jest to, że po stronie klienta RCE umożliwia wykorzystanie luk nie tylko we wszystkich obsługiwanych systemach Windows, ale również w systemach OS X firmy Apple. W świetle masowych naruszeń systemów OS X w zeszłym roku i niedawnego wysypu ataków ukierunkowanych na OS X, ta poprawka jest bardzo ważna dla użytkowników urządzeń pracujących pod kontrolą systemu firmy Apple.

Do łagodzenia skutków naruszeń bezpieczeństwa w aplikacjach Internet Explorer i Silverlight firma Microsoft zaleca wykorzystanie narzędzia EMET. Po stronie serwera obserwujemy podatności zupełnie różne od problemów z pamięcią występujących po stronie klienta. Zaobserwować można lukę w zabezpieczeniach usługi internetowej w aplikacji SharePoint, która jest niezwykle popularna w środowiskach korporacyjnych. Rzeczą zwracającą uwagę w tym przypadku jest efekt podniesienia uprawnień powstający przez defekt XSS, który zapewnia zdalnym użytkownikom możliwość wydawania SharePointowi poleceń w imieniu użytkownika administrującego. Wszystkie podatności SharePointa zostały prywatnie zgłoszone przez zewnętrznego specjalistę i nie wiadomo nic o publicznym ujawnieniu tych informacji. Jednocześnie, specjalnie wydana poprawka dotyczy problemów z odmową usługi i przepełnieniem bufora w kodzie SharePointa.

MS012-023 dotyczy niebezpiecznego kodu w aplikacji Visio Viewer 2010, który jest również rozpowszechniany w pakiecie Microsoft Office. Najdziwniejsze jest to, że nie jest znana droga przechodzenia podatnego kodu z Microsoft Office, natomiast firma Microsoft utrzymuje cztery lub pięć wersji Visio Viewer – szeroko stosowanego elementu oprogramowania dla organizacji i firm, pomocnego przy publikowaniu wszelkiego rodzajów diagramów i wykresów. Jednakże, wspomniana luka dotyczy tylko jednej wersji – Microsoft Visio Viewer 2010. Mimo to Microsoft skłania się w kierunku rozwiązywania wszelkich kwestii związanych z bezpieczeństwem (w tym nieznanych, przyszłych problemów) i optuje za łataniem kodu wszędzie tam, gdzie jest to konieczne, łącznie z pakietem Microsoft Office, i bez względu na to, czy przekazuje on kod, czy nie.

Spośród luk niżej ocenianych pod względem krytyczności najbardziej interesujący wydaje się być problem z deskryptorem USB w trybie jądra. Mała dygresja: tytuł tego artykułu [„Biuletyny bezpieczeństwa Microsoftu w marcu 2013 r. – słaby wpływ konferencji Pwn2Own, oczekiwanie na dyski USB dla kolejnego Stuxneta” – przyp. aut.] jest trochę niepoważny i dość śmieszny. Nie spodziewamy się, aby z powodu tej luki narodził się kolejny Stuxnet. Ale, w retrospekcji do wektorów wykorzystywania luk przez Stuxneta, wspomniana podatność wprowadza kolejny wektor rozprzestrzeniania się zagrożenia w postaci dowolnego kodu, wykonywanego w trybie jądra po niewinnym podłączeniu do systemu urządzenia USB.

W celu wyjaśnienia: niebezpieczeństwo nie leży w bezpośredniej możliwości powstania nowego Stuxneta. Bezpośrednie zagrożenie leży w dostępności powierzchni ataku, zademonstrowanej przez Stuxneta, która sprawia, że ściśle chronione środowiska przemysłowe mogą zostać zinfiltrowane i zaatakowane z zaskoczenia, z efektywnością dorównującą skuteczności ataku na Pearl Harbor.

Powyższy tekst pochodzi z dziennika analityków Viruslist.pl

dodany: 14.03.2013 | tagi: ,

Niepokonany ChromeOS

2

Google+ ogłosiło, że jedna z rozgrywek konkursu Pwn2Own, polegająca na znalezieniu luki bezpieczeństwa w ChromeOS – autorskim systemie operacyjnym opartym na Linuksie – pozostała bez zwycięzcy.

Korporacja z Mountain View oferowała 110 tysięcy dolarów amerykańskich każdemu potrafiącemu znaleźć i wykorzystać lukę w systemie oraz 150 tysięcy, jeśli system pozostawał podatny po ponownym uruchomieniu. Pula nagród wyniosła niebotyczne 3 miliony i 140 tysięcy. Sprzętem, na którym miał być przeprowadzony atak, był Samsung Chromebook 550.

Szybkie załatanie błędów znalezionych 2 dni wcześniej na Pwn2Own przez MWR Labs wyeliminowało tę lukę podczas konkursu Google. Pomimo przedłużenia go o jeden dzień, firma nie odnotowała zwycięskich zgłoszeń. Mimo to część z nich została określona jako “częściowe exploity”.

dodany: 11.03.2013 | tagi: , , , , ,

Firefox i Chrome załatane dwa dni po odkryciu nieznanych eksploitów na Pwn2Own

0

6 marca rozpoczął się konkurs Pwn2Own, który oferuje ponad pół miliona dolarów w gotówce oraz inne nagrody dla pierwszej osoby, która odkryje słabość wybranego celu. Pierwszego dnia w menu znalazły się  przeglądarki Firefox na Windowsie 7, Internet Explorer na Windowsie 7 (9) i 8 (10), Firefox na Windowsie 7 oraz Safari na OS X Mountain Lion oraz wtyczki w IE 9  Adobe Reader IX i Adobe Flash oraz Java od Oracle.  Jeszcze tego samego dnia padły przeglądarki Firefox, Internet Explorer 10, Chrome i wtyczka Java. Safari została ostatnim, jeszcze niezdobytym bastionem wśród przeglądarek.

Drugiego dnia padły wtyczki Adobe Reader IX i Adobe Flash oraz ponownie Java.

8 marca Mozilla i Google wypuściły aktualizacje naprawiające znalezione dzień wcześniej eksploity.

Firefox przeszedł do wersji 19.0.2 naprawiając Use-after-free w edytorze HTML:

mozilla_advisory

Exploit występował tylko na komputerach z systemem operacyjnym Windows, dlatego jeśli jesteście użytkownikami Firefoksa na Linuksie czy Macu nie musicie niczego aktualizować.

Chrome przeszło do wersji 25.0.1364.160 naprawiając Type confusion in WebKit.

chrome-update

Microsoft nie był tak szybki z aktualizacją swoich wersji przeglądarek i zapowiedział, że aktualizacja, która pojawi się jutro  z przyczyn oczywistych nie będzie zawierać eksploitów znalezionych w czasie konkursu. Najprawdopodobniej poprawki znajdą się w następnych Patch Tuesday – w kwietniu.

Gdyby jednak udało się im wypuścić poprawkę przed kolejnym Patch Tuesday, Microsoft mógłby na tym dużo zyskać. Byłby to fantastyczny manewr marketingowy. Ale jedynym, co nam pozostaje, to czekać.

dodany: 20.09.2012 | tagi: , , , ,

Galaxy SIII, iPhone 4S zhakowne na Pwn2Own

0

Na konkursie Mobile Pwn2Own na EuSecWest 2012, badacze z MWR Labs wygrali nagrodę w wysokości 30 000$ za włamanie się do telefonu Samsung Galaxy S III za pośrednictwem NFC.

„Hakerzy wykorzystali słabość w sposobie, jaki NFC realizuje w Galaxy SIII dostarczanie szkodliwego pliku, który został automatycznie otwarty przez przeglądarkę dokumentów Androida”,

 napisał Ryan Naraine z ZDNet.

„Po otwarciu pliku, zespół wykorzystał lukę zero-day w przeglądarce dokumentów do rozpoczęcia ataku.  Drugą luką zero-day uzyskano pełne prawa na urządzeniu”.

Drugimi zwycięzcami, którzy również otrzymali 30 000$ byli badacze z Certified Secure za włamanie do iPhone’a 4S.

„Hakerzy Joost Pol i Daan Keuper byli w stanie znaleźć lukę w silniku WebKit, która pozwoliła im przejąć zdjęcia, filmy, kontakty z książki adresowej oraz pobranie historii wprost z telefonu”,

napisał Jake Smith z 9to5Mac.

„Atak polega na kierowaniu użytkowników do odwiedzin strony internetowej, która zawiera złośliwy kod, który może omijać mechanizmy zabezpieczeń w przeglądarce internetowej Safari. Strona jest w stanie przebijać się przez zdjęcia użytkownika, jego informacje kontaktowe i historię przeglądania a następnie przesłać wszystkie te informacje do zdalnego serwera bez wiedzy użytkownika”

 opisała Fahmida Y. Rashid z PCMag.com.