Správy - Bezpečnosť
Upozornenia na bezpečnostné chyby.
Slovenský aktualizačný server Ubuntu bol mesiac neaktuálny
Infraštruktúra populárnej linuxovej distribúcie Ubuntu mala na Slovensku v posledných týždňoch vážny problém, kvôli ktorému boli jej užívatelia potenciálne vystavení bezpečnostným rizikám. Hlavný slovenský mirror s aktualizáciami pre podporované verzie Ubuntu bol totiž viac ako mesiac neaktualizovaný. Problém sa dotýkal aj serverovej verzie Ubuntu Server, pričom incident samozrejme mohol predstavovať najväčší problém pre internetové servery. Národná jednotka SK-CERT problém evidentne nezachytila.
Zdroj: DSL.sk
Hertzbleed úto k v procesoroch intel a AMD
Zraniteľnosť hertzbleed vyskytujúca sa v procesoroch Intel (generácia 8-11) a AMD (zen2 / zen3) umožňuje útočníkovi v najhoršom prípade získať kryptografické kľúče. Zraniteľnosť využíva fakt, že pri dynamickej zmene frekvencie môžu rovnaké operácie trvať rozdielny čas na základe rôznych operandov. Kryptografické operácie, ktoré by mali trvať konštantný čas tak môžu meniť čas trvania na základe parametrov.
Zdroj: hertzbleed.com
"MMIO Stale Data" v procesoroch Intel
Spoločnosť Intel začlenila do kernelu opravu zraniteľnosti "MMIO Stale Data", pri ktorej po MMIO operácii zostávali potenciálne zneužiteľné dáta v bufferoch.
Hack „PACMAN“ môže prelomiť ochranu Apple M1
Procesory Apple M1 obsahujú hardvérovú chybu v pointer authentication code (PAC), ktorá umožňuje potenciálne prebrať kontrou nad OS za predpokladu, že sa na počítači nachádza zraniteľný softvér (samotná hardvérová chyba nepostačuje na útok). K chybe ako ako už to býva v dnešnej dobe bežné bol vytvorený aj samostatný web.
Zdroj: spectrum.ieee.org
Bezpečnostné riziko v TAILS 5.0 a nižšom
Zatiaľ neopravená vážna zraniteľnosť umožňuje únik informácií z TAILS cez Tor Browser
Zdroj: Tails
Výsledky Pwn2Own Vancouver 2022
Boli zverejnené výsledky hackerskej súťaže Pwn2Own. Prelomená bola ochrana v rôznom softvéri od Windows 11 cez Linux, Microsoft Teams až po také chuťovky ako Tesla Model 3 Infotainment System.
Zdroj: zerodayinitiative.com
Bezpečnostná chyba VirtualBoxu pri SIMD inštrukciách v obluhe prerušenia
Jason Donenfeld, jeden z vedúcich vývojárov WireGuardu upozornil na bezpečnostnú chybu VirtualBoxu, ktorá umožňuje získať prístup k dátam hosťovského operačného systému pri použití SIMD inštrukcií v oblsuhe prerušenia.
Zdroj: twitter.com
Zraniteľnosť funkcie BN_mod_sqrt v OpenSSL/LibreSSL
V OpenSSL/LibreSSL bola objavená zraniteľnosť umožňujúca útočníkovi pomocou škodlivého certifikátu spôsobiť odmietnutie služby (DOS) v dôsledku nekonečnej slučky.
Zdroj: openssl.org
Zraniteľnosť dirty pipe
Max Kellermann objavil zraniteľnosť v kernelu, ktorá umožňuje zapisovať do súborov aj keď sú otvorené s príznakom O_RDONLY. Zraniteľnosť sa objavila v jadre 5.8, commit f6dd975583bd (pipe: merge anon_pipe_buf*_ops). Viac informácií k zraniteľnosti je na samostatnej webovej stránke.
Zdroj: dirtypipe.cm4all.com
Zraniteľnosť v snap-confine
Bola objavená zraniteľnosť v komponente snap-confine správcu balíčkov snap, ktorá umožňuje získať neprivilegovanej aplikácii práva roota.
Zdroj: qualys.com
KyberKatovna
KyberKatovna bude vo štvrtok 18.11. od 19:00 na Twitchi.
KyberKatovna "14.0 (build 2021-09-22)"
KyberKatovna bude netradične v stredu, 22.09. od 19:00 na Twitchi.
Prednáška Tomáša Zaťka o Red teamingu
Dva krát Zuzka Pechová
Rozhovor Fuckupy v IT a prednáška [pro:]TEST!.
KyberKatovna "Třináct. tak to je pohoda"
KyberKatovna bude v pondelok (dnes), 26.07. od 19:00 na Twitchi.
Chyba v IPv6 CVE-2021-24086
Problem s fragmentáciou IPv6 stacku. našťastie iba na platforme Windows
Zdroj: Quarkslab
V GRUB2 opravili 117 bezpečnostných chýb
Správcovia projektu GRUB vydali celkovo 117 opráv kódu
Zdroj: securityaffairs
Bol nájdený backdoor účet na vyše 100 000 firewalloch Zyxel
Na vyše 100 tisíc firewall, VPN gateway a access point controller zariadeniach značky Zyxel bol nájdený účet s administrátorskými privilégiami, ktorý bol zapísaný priamo v kóde firmvéru. Tento účet zabezpečil útočníkovi root prístup či už cez ssh, alebo cez webadmin interface.
Zdroj: Zdnet.com
Virtuálne stretnutie českej OWASP chapter
V utorok, 1. decembra od 8:00 do 19:30 sa uskutoční virtuálne stretnutie pre bezpečnostných nadšencov.
KyberKatovna 7 (zplošťujeme křivky)
Uz siedma KyberKatovna s podtitulom "zplošťujeme křivky" bude v stredu 25.11. od 19:00 na Twitchi.
