Nemzetközi IT biztonsági sajtószemle
Nemzetközi
IT biztonsági sajtószemle
Címkefelhő
BearSSL törvény Oroszország petíció szuperszámítógép Eternal Red filter bubble HTTP/QUIC Telcotech tiltás ajánlások Huawei törvényjavaslat Kamerka Pakisztán EternalSilence NotPetya QUIC figyelmeztetés költségvetés repülőtér együttműködés bűnüldözés Mojeek Kaspersky e-ügyintézés EternalBlue Zeus Panda Thaiföld arcfelismerés
 július 02. 12:00

Egy akadémikusokból álló csoport a 4G/LTE hálózati protokoll esetében három sérülékenységet azonosított.

Bővebben

Egy akadémikusokból álló csoport a 4G/LTE hálózati protokoll esetében három sérülékenységet azonosított. A biztonsági rések közül kettő passzívnak számít, azaz általuk „csupán” lehallgatható a mobil forgalom, a harmadik segítségével azonban az adatok módosítása is lehetséges. Ez utóbbi során ugyanis olyan metainformációk nyerhetők ki, amelyek felhasználásával meghatározható, hogy az áldozat milyen weboldalt látogat meg. Továbbá egy „aLTEr”-nek elnevezett támadási vektor elméletben arra is lehetőséget nyújt, hogy a támadók a DNS csomagok módosításával (DNS spoofing) eltérítsék a webes forgalmat egy általuk választott – például potenciálisan káros – webhely felé. Szerencsére a kutatók szerint a valóságban kicsi a valószínűsége az ilyen típusú támadásoknak, mivel azok kivitelezése csak speciális, és igen költséges eszközökkel lehetséges. Azonban azt is hozzáteszik, hogy a még fejlesztés alatt álló 5. generációs technológia jelenlegi formájában szintén sérülékeny, mivel a szabvány csak lehetőséget biztosít a titkosítás használatára, de nem kényszeríti ki azt.

(www.bleepingcomputer.com)
Kevesebb
Hasonló hírek
 december 05. 15:59

Tervezési hiányosságokból és hibás implementációkból fakadó komoly biztonsági problémákat találtak kettő, gépek közötti kommunikációra (M2M) használt protokollban ─ állítja a japán Trend Micro új tanulmányában.

Bővebben

Tervezési hiányosságokból és hibás implementációkból fakadó súlyos biztonsági problémákat találtak kettő, gépek közötti kommunikációra (M2M) használt protokollban ─ közli a japán Trend Micro új tanulmányában. Mind a Message Queueing Telemetry Transport (MQTT), mind a Constrained Application Protocol (CoAP) széles körben használt IoT rendszerek esetében, nem ritkán ipari környezetekben. A kutatók csupán egyszerű kulcsszavas keresésekkel képesek voltak sérülékeny szervereket találni, és hozzáférni közel 200 millió MQTT, valamint 19 millió CoAP üzenethez, amelyek akár ipari kémkedés, DoS, vagy egyéb célzott támadások alapjául is szolgálhatnának. A vizsgálat során mintegy 4 310 mezőgazdasági rekordot gyűjtöttek be okos farmokról, emellett szép számmal találtak különböző bizalmas egészségügyi adatokat is, közöttük betegekre csatlakoztatott monitoring eszközök által közölt információkkal. A tanulmány emellett kiemeli, hogy az MQTT-t olyan csevegő alkalmazások is alkalmazzák, mint a Facebook Messenger. A kockázatok csökkentése érdekében a szervezetek számára javasolják minden olyan M2M szolgáltatás megszüntetését, amely nem elengedhetetlen a működéshez, valamint az érintett rendszerek sérülékenység vizsgálatát, az esetleges információ szivárgások felderítéséhez. 

(thenextweb.com)
Kevesebb
 november 22. 16:51

Biztonsági kutatók sérülékenységet tártak fel egy német állami portálok által elektronikus személyi igazolvánnyal történő webes bejelentkezések kezelését végző szoftver komponensben (Governikus Autent SDK).

Bővebben

Biztonsági kutatók sérülékenységet tártak fel egy német állami portálok által elektronikus személyi igazolvánnyal történő webes bejelentkezések kezelését végző szoftver komponensben (Governikus Autent SDK); a biztonsági hiba kihasználásával lehetőség nyílt más állampolgárok nevében történő bejelentkezésre az érintett site-okon. A problémát csak most nyilvánosságra hozó SEC Consult azt már 2018 júliusában felfedezte, a detektálást követően pedig azonnal értesítette a CERT-Bundot, a gyártói hibajavítás így már augusztusban megtörtént. Az esetről tudósító ZDNet hivatalos megkeresés útján igényelt információt a német Szövetségi Informatikai Biztonsági Hivataltól (BSI) azzal kapcsolatban, hogy a német kormányzati portálokon telepítették-e a hibajavítást, illetve, hogy az érintett weboldalak autentikációs naplóbejegyzéseit átvizsgálták-e a szóban forgó sérülékenység kihasználásának nyomai után kutatva.

(zdnet.com)
Kevesebb
 november 20. 16:35

A sérülékenységek súlyosságának meghatározására használatos nemzetközi CVSS rendszer az ipari vezérlő rendszerek (ICS) esetében félrevezető lehet, ami negatív következményekkel járhat a szervezetekre nézve ─ mutatott rá Ilan Barda, a Radiflow vezérigazgatója egy kiberbiztonsági konferencián.

Bővebben

A sérülékenységek súlyosságának meghatározására használatos nemzetközi CVSS pontozási rendszer az ipari irányítástechnikai- és vezérlőrendszerek (ICS – Industrial Control Systems) esetében félrevezető lehet, ami negatív következményekkel járhat a szervezetekre nézve ─ mutatott rá Ilan Barda, a Radiflow vezérigazgatója egy kiberbiztonsági konferencián. Véleményét több kiberbiztonsági szakértő is osztja, például Moreno Carullo, a Nozomi Networks társalapítója és vezérigazgatója, aki a pontszámítási rendszer előnyeinek elismerése mellett is úgy véli, azt inkább csak iránymutatásra kellene használni, és alapvetően mindenkinek a saját környezetéhez mérten magának kell meghatároznia egy adott sérülékenység súlyosságát. A félrevezető pontozásra David Atch, a CyberX kutatója példaként említette a CVE-2015-5374 számú sérülékenységet, amely annak ellenére, hogy kihasználásával a hírhedt Industroyer/Crashoverride malware Siemens SIPROTEC eszközökön DoS kondíciót teremthet, csupán 7.8-as CVSS pontszámmal rendelkezik. Atch szerint mivel a SIPROTEC eszközök jelentős szereppel bírnak egyes energiatermelő rendszerekben, ez egyáltalán nem tükrözi a valós kockázatot. Egyes szakemberek megoldásként olyan kockázat alapú megközelítést javasolnak, amely a fenyegetés modellezést is felhasználva segít az adott szervezet legértékesebb assetei és folyamatai számára legnagyobb fenyegetést jelentő támadási vektorok figyelembevételére a sebezhetőségek értékelésekor, mások úgy vélik az iparnak egy új pontozási szisztémát kell létrehoznia, amely jobban fókuszál az ICS rendszerek kritikus tényezőire.  

(securityweek.com)
Kevesebb
 október 24. 15:06

A japán kormány vizsgálatot indít a Facebook ellen a szeptember végén kitudódott ─ a legutóbbi információk szerint 29 millió felhasználót érintő ─ hackertámadással kapcsolatban.

Bővebben

A japán kormány további vizsgálatot kér a Facebooktól a szeptember végén kitudódott ─ és a legutóbbi információk szerint 29 millió felhasználót érintő ─ hackertámadással kapcsolatban. A Személyes Információvédelmi Bizottság arra is felszólította a vállalatot, hogy tegyen megelőző biztonsági intézkedéseket a felhasználók adatainak védelme érdekében, továbbá biztosítson nagyobb átláthatóságot az adatkezelésre és törlésére vonatkozó beállítások kapcsán. 

(www.securityaffairs.co)
Kevesebb
 szeptember 18. 10:13

A problémát a Wire egy biztonsági kutatója fedezte fel, aki szerint az a grafikus elemek megjelenítéséért felelős WebKit renderelő motor sérülékenységéből fakad.

Bővebben

A problémát a Wire egy biztonsági kutatója fedezte fel, aki szerint az a grafikus elemek megjelenítéséért felelős WebKit renderelő motor sérülékenységéből fakad. Mindez olyan speciálisan szerkesztett weboldalakkal használható ki, amelyek megadott CSS és HTML kódokat tartalmaznak, a felhasználónak elég betölteni egy ilyen weboldalt, hogy a rendszer összeomoljon. Minden iOS-en futó böngésző érintett ─ mivel az App Store szabályzata alapján az alkalmazás fejlesztők nem használhatnak más renderelő motort ─ macOSen pedig a Safari és a Mail. A hibát felfedező szakember szerint nincs megkerülő megoldás a problémára, így csak a gyártói javítás szüntetheti meg azt.

(www.bleepingcomputer.com)
Kevesebb
 szeptember 13. 11:50

Az F-Secure új tanulmányában arról számol be, hogy „közel az összes” laptop és asztali munkaállomás sérülékeny egy új támadási módszerrel szemben.

Bővebben

Az F-Secure új tanulmányában arról számol be, hogy „közel az összes” laptop és asztali munkaállomás sérülékeny egy új támadási módszerrel szemben. Mindez a már jól ismert „hidegindításos támadáson” alapul, az újdonság abban áll, hogy a kutatók képesek voltak megtalálni a módját a memória automatikus újraírásának kikapcsolására, ezt felhasználva pedig már az olyan népszerű merevlemez titkosító megoldások is gond nélkül megkerülhetők, mint a BitLocker, vagy a Mac-es FileVault. Olle Segerdahl, az F-Secure fő biztonsági tanácsadója a TechCrunch-nak elmondta, a módszer ─ bár több lépcsőből áll ─ mégis olyannyira egyszerű, hogy valószínűtlennek tartja, hogy azt hacker csoportok ne fedezték volna fel már korábban. A Microsoft reakciója szerint megfelelő védekező megoldást jelent egy ún. pre-boot PIN kód használata, ami meggátolja a titkosítási kulcsok a memóriába történő betöltődését illetéktelenek által indított boot folyamat esetén, emellett javasolják, hogy a felhasználók gondoskodjanak az eszközök jogosulatlan fizikai hozzáféréstől való védelméről. Az Apple T2-es chippel ellátott modelljei (iMac Pro és MacBook Pro 2018-as modellek) védettek a támadással szemben, a cég azonban megkerülő megoldáson dolgozik a korábbi chippel ellátott eszközök biztosításához is. A szakemberek szerint mivel a probléma a hardver firmware-eket érinti, így elsősorban a gyártók tudnának megfelelő megoldással szolgálni. Az Intel még nem kommentálta a hírt. 

(techcrunch.com)
Kevesebb
 augusztus 30. 14:54

A Nightwatch Cybersecurity kutatói komoly biztonsági rést fedeztek fel az Android jogosultsági rendszerén, ugyanis a telepített appok a felhasználó tudta nélkül szenzitív hálózati adatokhoz férhetnek hozzá.

Bővebben

A Nightwatch Cybersecurity kutatói komoly biztonsági rést fedeztek fel az Android jogosultsági rendszerén, miszerint a telepített appok a felhasználó tudta nélkül szenzitív hálózati adatokhoz férhetnek hozzá. Az adatszivárgás speciális belső rendszerüzeneteknek (Intentek) köszönhető, amelyeket minden androidos alkalmazás és rendszer folyamat képes olvasni. Ezek két típusa, mint kiderült olyan információkat tesz elérhetővé, mint a Wi-Fi hálózat neve, a BSSID, az eszköz lokális IP címe, DNS szerver információk, illetve ─ Android 6.0-nál korábbi verzió esetében ─ az eszköz MAC címe. Egy, a valós életben is alkalmazható támadási szcenárió szerint a támadó, miután rábírta a célszemélyt egy megfelelően konfigurált applikáció telepítésére, a kiolvasott BSSID birtokában az áldozat helyzetére vonatkozó információkhoz juthat hozzá, olyan publikus adatbázisok segítségével, mint például a Skyhook, vagy a WiGLE. A probléma minden Android verziót érint, azonban a Google csupán a legutóbbiban (Android 9 Pie) tervezi javítani.

(www.bleepingcomputer.com)
Kevesebb
 augusztus 30. 11:27

Az amerikai kormányzat javítani szeretné a sérülékenységek azonosítására és visszakereshetőségének biztosítására szolgáló, biztonsági szakemberek, cégek és szoftverek által világszerte használt Common Vulnerabilities and Exposures (CVE) rendszert, mivel az utóbbi években egyre több visszajelzés érkezett azzal kapcsolatban, hogy túl hosszú idő telik el, amíg a jelentett biztonsági hibák megkapják a CVE azonosítójukat.

Bővebben

Az amerikai kormányzat javítani szeretné a sérülékenységek azonosítására és visszakereshetőségének biztosítására szolgáló, biztonsági szakemberek, cégek és szoftverek által világszerte használt Common Vulnerabilities and Exposures (CVE) rendszert, mivel az utóbbi években egyre több visszajelzés érkezett azzal kapcsolatban, hogy túl hosszú idő telik el, amíg a jelentett biztonsági hibák megkapják a CVE azonosítójukat. Még súlyosabb képet fest egy 2016-os jelentés, mely szerint 2015-ben 6 000 felfedezett sérülékenység egyáltalán nem kapott azonosítót. Mindez odáig vezetett, hogy szakemberek egy csoportja idő közben létrehozott egy alternatív sérülékenység nyilvántartó adatbázist, amely a Distributed Weakness Filing (DWF) névre hallgat. A CVE rendszert gondozó, amerikai állami fenntartású MITRE kutató központ szerint a számkiosztás csúszása többek között a szoftverfejlesztő cégek, valamint az ipari vezérlő rendszerek (SCADA) és okos eszközök számának ugrásszerű növekedésének köszönhető. Az amerikai szenátus végül 2017-ben vizsgálatot indított, amely azt találta, hogy elsősorban az elégtelen finanszírozás áll a probléma hátterében, ezért javasolják, hogy a CVE rendszer fenntartására szolgáló támogatás kerüljön rögzítésre az amerikai Belbiztonsági Minisztérium (DHS) éves büdzséjében, valamint a 2 évenkénti felülvizsgálati eljárás bevezetését, ami biztosíthatja az esetleges rendellenességek idő előtti felismerését. 

(www.bleepingcomputer.com)
Kevesebb