CDR SecUpdate za 38. týden – Internet Explorer obsahuje nebezpečnou chybu, Apple iOS 6 hacknut ještě před vydáním
Týdenní bezpečnostní bulletin internetového magazínu CDR. Moderní trendy počítačové bezpečnosti a hlídací pes nově objevených kritických chyb ve vašem softwaru na jednom místě.
Vítejte u CDR bezpečnostní aktualizace pro 24. 9. Sezóna nebezpečných zranitelností nultého dne zřejmě stále není u konce. O chybě v Internet Exploreru čtěte v Chybách v softwaru a detailněji i v Událostech. Vyšla také nová verze mobilního systému od Apple iOS 6. Jablíčkáři si asi rozhodli jet na stejné vlně a vydat současně poškrábané iPhony a systém s bezpečnostní chybou :-). Čtěte Novinky níže v článku.
Chyby v softwaru
Internet Explorer – zranitelnost nultého dne typu use-after-free
Týká se verzí: Internet Explorer 6 – 9 na Windows XP, Vista, 7, Windows Server 2003 a 2008
Byla objevena nová zranitelnost v prohlížeči Internet Explorer, která se týká také nejnovější verze 9 pro Windows 7. Jedná se o další v sérii chyb nultého dne a je aktivně zneužívána na internetu. Pokud útočník vytvoří nebezpečný web, může na něj nějakým způsobem odkázat uživatele a po přístupu se zranitelnou verzí prohlížeče Internet Explorer díru zneužít ke spuštění libovolného kódu na systému oběti.
Microsoft vydal v pátek 21. 9. ohlášený kritický bezpečnostní bulletin MS12-063, který doporučuji stáhnout a nainstalovat přes Windows Update. Této bezpečnostní chybě se věnuji dále v Událostech.
Události
Internet Explorer chyba - o zneužití nikdo netušil
Maraton zranitelností nultého dne (co to je se dozvíte ve Slovníku zde) zdá se ještě není u konce. Tentokrát držel Černého Petra Microsoft a řada přišla na Internet Explorer.
Bezpečnostní specialista se jménem Eric Romang na svém blogu zveřejnil 14. 9. 2012 překvapivé výsledky monitoringu infikovaných serverů hackerské skupiny Nitro gang. Ta byla spojována se zranitelností v Javě na konci srpna tohoto roku. Romang objevil při sledování volně přístupnou složku s podezřelým obsahem a rozhodl se soubory prozkoumat.
Jeden ze souborů úspěšně infikoval plně aktualizovaný systém Windows XP SP3 a připravil tak systém na další čekající havěť. Použité soubory byly v tu dobru nedetekovatelné antivirovými produkty, což může způsobit další škody, šíření a problémové odstraňování viru. Pokud se však na veřejném internetu objeví detaily chyb, bývá obvykle reakce v případě "high-profile" virů ze strany antivirových společností velmi rychlá.
Zneužívání takových zranitelností souvisí většinou s vysoce sofistikovanými útoky na nadnárodní společnosti nebo vládní organizace. Útoky bývají prováděny v profesionálních týmech s důkladným financováním, jako například skupina NCPH. Tomu, že by to tak mohlo být i tentokrát, napovídá i vyjádření analytiků z firmy AlienVault:
"Vypadá to, že lidé za touto zranitelností nultého dne cílili na specifický průmysl. Viděli jsme, že kompromitovali zpravodajský web související s obranným průmyslem a vytvořili falešnou doménu týkající se LED technoligií, která může být použita ve spearphishing kampaních proti tomuto průmyslu."
Další informace o čínských hackerech a skupině NCPH vyčtete z vyjádření AlienVault.
Jak se dá v praxi jednoduše chyba zneužít demonstruji v tomto videu:
Novinky
iOS 6 - kompromitován ještě před vydáním?
Během posledních pár dnů současně s vydáním páté řady iPhonu vyšel i šestý přírůstek do Apple rodinny mobilních operačních systémů iOS. Mimo nových technických vychytávek, které se systému dotkly zvenčí, došlo k odstranění mnoha bezpečnostních chyb, ať už z Webkitu mobilního Safari, či z často zmiňovaného odemykače systému Passcode Lock.
Trochu zajímavou situaci způsobili dva bezpečnostní specialisté na konferenci Mobile Pwn2Own v Amsterodamu, když ještě před vydáním systému ukázali přítomným, jak se do něj dostat. Původní výzvu hacku do plně aktualizovaného iPhone 4S za účelem zisku fotografií, videí, adresáře a historie prohlížení vzali z gruntu a bezpečnostní chyby a zneužívající kódy vytvářeli sami ve svém volném čase.
Celá procedura včetně hledání chyby jim trvala tři týdny a vynesla jim mimo slávy i $30 000. Při hodnocení sice označují iPhone za nejzabezpečenější mobilní zařízení na trhu, ale zároveň varují veřejnost slovy:
"Výkonný ředitel nějaké firmy by nikdy neměl spravovat e-maily nebo cokoliv cenného přes iPhone nebo BlackBerry. Je to jednoduché. Existuje hodně lidí, kteří fotí na telefonech a neměli by."
To je pro dnešek vše, zůstaňte s námi a za týden nashledanou.
Minulé díly CDR Security Update
Díly CDR Security Update SPECIÁL
Zdroje:
Jiří Moos (Google+)
Jirka Moos je redaktor CDR.cz a DIIT.cz, kreativec se smyslem pro humor a také blázen do zabezpečení IT systémů. Vede bezpečnostní týdeník CDR Security Update a v současné době řeší marketing a redakční spolupráce CDR/DIIT.
