OpenNews.opennet.ru: Проблемы безопасности
  • Уязвимости в драйверах к WiFi-чипам Broadcom, позволяющие удалённо атаковать систему
    В драйверах для беспроводных чипов Broadcom выявлено четыре уязвимости. В простейшем случае уязвимости могут использоваться для удалённого вызова отказа в обслуживании, но не исключаются и сценарии, при которых могут быть разработаны эксплоиты, позволяющие неаутентифицированному злоумышленнику выполнить свой код с привилегиями ядра Linux через отправку специальным образом оформленных пакетов.

  • Обновление Java SE, MySQL, VirtualBox и других продуктов Oracle с устранением уязвимостей
    Компания Oracle опубликовала плановый выпуск обновлений своих продуктов (Critical Patch Update), нацеленный на устранение критических проблем и уязвимостей. В апрельском обновлении в сумме устранено 297 уязвимостей.

  • Уязвимость в Adblock Plus, позволяющая выполнить код при использовании сомнительных фильтров
    В блокировщике рекламы Adblock Plus выявлена уязвимость, позволяющая организовать выполнение JavaScript-кода в контексте сайтов в случае использования непроверенных фильтров, подготовленных злоумышленниками (например, при подключении сторонних наборов правил или через подмену правил в ходе MITM-атаки).

  • Подробности про второй взлом Matrix. Скомпрометированы GPG-ключи проекта
    Опубликованы новые подробности про взлом инфраструктуры децентрализованной платформы обмена сообщениями Matrix, о котором сообщалось утром. Проблемным звеном, через которое проникли атакующие была система непрерывной интеграции Jenkins, которая была взломана ещё 13 марта. Затем на сервере c Jenkins был перехвачен перенаправленный SSH-агентом вход одного из администраторов и 4 апреля атакующие получили доступ к другим серверам инфраструктуры.

  • Взлом инфраструктуры matrix.org
    Разработчики платформы для децентрализованного обмена сообщениями Matrix объявили об экстренном отключении серверов Matrix.org и Riot.im (основной клиент Matrix) в связи со взломом инфраструктуры проекта. Первое отключение состоялось вчера вечером, после чего работа серверов была восстановлена, а приложения пересобраны из эталонных исходных текстов. Но несколько минут назад серверы были скомпрометированы второй раз.

  • Уязвимости в технологии защиты беспроводных сетей WPA3 и в EAP-pwd
    Мэти Ванхофом (Mathy Vanhoef), автор атаки KRACK на беспроводные сети с WPA2, и Эяль Ронен (Eyal Ronen), соавтор некоторых атак на TLS, раскрыли сведения о шести уязвимостях (CVE-2019-9494 - CVE-2019-9499) в технологии защиты беспроводных сетей WPA3, позволяющих воссоздать пароль подключения и получить доступ к беспроводной сети без знания пароля. Уязвимости объединены под кодовым именем Dragonblood и позволяют скомпрометировать метод согласования соединений Dragonfly, предоставляющий защиту от подбора паролей в offline-режиме. Кроме WPA3 метод Dragonfly также применяется для защиты от словарного подбора в протоколе EAP-pwd, применяемом в Android, RADIUS-серверах и в hostapd/wpa_supplicant.

  • Около 5.5% сайтов используют уязвимые реализации TLS
    Группа исследователей из университета Ка' Фоскари (Италия) проанализировала 90 тысяч хостов, связанных с 10 тысячами крупнейших сайтов по рейтингу Alexa, и пришла к выводу, что в 5.5% из них имеются серьёзные проблемы с безопасностью в применяемых реализациях TLS. В ходе исследования были рассмотрены проблемы с применением уязвимых методов шифрования: 4818 из проблемных хостов оказались подвержены MITM-атакам, 733 содержали уязвимости, позволяющие полностью расшифровать трафик, а 912 позволяли выполнить частичную расшифровку (например, извлечь сессионные Cookie).

  • Выпуск GNU Wget 1.20.3 с устранением уязвимости
    Сформирован корректирующий релиз GNU Wget 1.20.3, программы для автоматизации загрузки контента с использованием протоколов HTTP и FTP. В новом выпуске устранена уязвимость CVE-2019-5953, которая может привести к переполнению буфера при возвращении сервером специально оформленных данных в многобайтовой кодировке. Не исключается возможность использования уязвимости для организации выполнения кода. Изначально проблема устранена в выпуске 1.20.2, но в исправлении разработчики забыли убрать отладочные вызовы, поэтому следом сразу выпущен релиз 1.20.3.

  • Зафиксирована атака по подмене DNS на уязвимых потребительских маршрутизаторах
    Исследователи из компании Bad Packets выявили продолжающуюся с декабря волну автоматизированных атак, нацеленных на подмену настроек DNS на домашних и офисных маршрутизаторах. В случае успешной атаки на устройстве прописываются DNS-серверы злоумышленников, которые для некоторых доменов возвращают фиктивные IP-адреса, что приводит к перенаправлению на подставные варианты сайтов, созданные для фишинга и захвата параметров аутентификации.

  • В Ruby-библиотеке bootstrap-sass выявлен бэкдор
    В популярной Ruby-библиотеке bootstrap-sass (вариант Bootstrap 3 с поддержкой Sass), насчитывающей около 28 млн загрузок, выявлен бэкдор (CVE-2019-10842), позволяющий злоумышленникам выполнить свой код на серверах, на которых выполняются проекты, использующие bootstrap-sass. Бэкдор был добавлен в состав выпуска 3.2.0.3, опубликованного 26 марта в репозитории RubyGems. Проблема устранена в выпуске 3.2.0.4, предложенном 3 апреля.