Nemzetközi IT biztonsági sajtószemle
Nemzetközi
IT biztonsági sajtószemle
Címkefelhő
BIND Brave Browser törvénymódosítás szavazórendszer Instagram álhírek informatikai tesztüzem APT32 jelentés Air France CERT Youtube CoffeeMeetsBagel PIT elemző szotver Medicall Európai Unió Air Europa MyFitnessPal EyeEm Foxit Reader Venezuela Egyesült Államok Adobe adatbiztonság kétfaktoros autentikáció biztonsági funkció Opera adatvédelmi nap IRC
 2018. augusztus 30. 14:54

A Nightwatch Cybersecurity kutatói komoly biztonsági rést fedeztek fel az Android jogosultsági rendszerén, ugyanis a telepített appok a felhasználó tudta nélkül szenzitív hálózati adatokhoz férhetnek hozzá.

Bővebben

A Nightwatch Cybersecurity kutatói komoly biztonsági rést fedeztek fel az Android jogosultsági rendszerén, miszerint a telepített appok a felhasználó tudta nélkül szenzitív hálózati adatokhoz férhetnek hozzá. Az adatszivárgás speciális belső rendszerüzeneteknek (Intentek) köszönhető, amelyeket minden androidos alkalmazás és rendszer folyamat képes olvasni. Ezek két típusa, mint kiderült olyan információkat tesz elérhetővé, mint a Wi-Fi hálózat neve, a BSSID, az eszköz lokális IP címe, DNS szerver információk, illetve ─ Android 6.0-nál korábbi verzió esetében ─ az eszköz MAC címe. Egy, a valós életben is alkalmazható támadási szcenárió szerint a támadó, miután rábírta a célszemélyt egy megfelelően konfigurált applikáció telepítésére, a kiolvasott BSSID birtokában az áldozat helyzetére vonatkozó információkhoz juthat hozzá, olyan publikus adatbázisok segítségével, mint például a Skyhook, vagy a WiGLE. A probléma minden Android verziót érint, azonban a Google csupán a legutóbbiban (Android 9 Pie) tervezi javítani.

(www.bleepingcomputer.com)
Kevesebb
Hasonló hírek
 március 14. 13:52

Már elérhető az Android Q béta verziója, az Engadget szerint pedig a funkcionális újítások mellett a Google végre az adatbiztonságra is nagyobb hangsúlyt fektet.

Bővebben

Már elérhető az Android Q béta verziója, az Engadget szerint pedig a funkcionális újítások mellett a Google végre az adatbiztonságra is nagyobb hangsúlyt fektet. A következő Android kiadásban többszintű korlátozási lehetőség lesz elérhető a felhasználók számára, például a helyadatok alkalmazások által történő gyűjtésére, vagy az alkalmazások média tartalmakhoz, valamint eszközazonosítókhoz (IMEI, sorozatszám) történő hozzáférésére vonatkozóan.

(engadget.com)
Kevesebb
 március 12. 15:31

A német szövetségi információtechnikai-biztonsági hivatal (BSI) 1,37 millió euró költséggel részletes biztonsági vizsgálatokat végzett a Microsoft Windows 10 tekintetében annak érdekében, hogy felmérjék, mennyire nyújt biztonságos alkalmazási feltételeket a szóban forgó operációs rendszer.

Bővebben

A német szövetségi információtechnikai-biztonsági hivatal (BSI) 1,37 millió euró költséggel részletes biztonsági vizsgálatokat végzett a Microsoft Windows 10 tekintetében annak érdekében, hogy felmérjék, mennyire nyújt biztonságos alkalmazási feltételeket a szóban forgó operációs rendszer. Az első eredményeket már tavaly novemberben nyilvánosságra is hozták, amely több komponens-elemzést tartalmazott (TPM, PowerShell, Update-funkció, stb.); ezen adatok különösen fontosak a közigazgatásban alkalmazott programok használatát tekintve. Az említett vizsgálatokon kívül a BSI már korábban is hajtott végre biztonsági elemzéseket, például a Mac OS X, illetve az Android vonatkozásában. Ezen elemzéseket követően a hatóságok az említett rendszerek kapcsán ajánlásokat is kiadtak a lakosság részére a biztonságosabb alkalmazást elősegítendő, illetve ezzel párhuzamosan a gyártókkal is egyeztetések történtek a biztonsági rések mihamarabbi kiküszöbölése érdekében.

(www.heise.de)
Kevesebb
 március 12. 14:34

Még zajlik a nyilvános hibakereső program, egy nemzetközi kutatókból álló csoport máris komoly biztonsági problémát fedezett fel a svájci elektronikus szavazórendszerben, amellyel a szavazatok a rendszeren belülről észrevétlenül manipulálhatóak.

Bővebben

Még zajlik a nyilvános hibakereső program, egy nemzetközi kutatókból álló csoport máris komoly biztonsági problémát fedezett fel a svájci elektronikus szavazórendszerben, amellyel a szavazatok a rendszeren belülről észrevétlenül manipulálhatóak. A biztonsági kitettség egy korszerű kriptográfiai koncepció (Zero-knowledge proof) hibás implementálásából fakad, amely a szavazatok eredetiségét hivatott garantálni a többlépcsős feldolgozás során. A biztonsági rést felfedező kutatók értesítették a rendszert fejlesztő Swiss Postot, akik közleményükben megerősítették ugyan a sérülékenység tényét, azonban a biztonsági kockázatot alacsonyabbnak ítélték, arra hivatkozva, hogy egy kihasználó támadáshoz a támadóknak előbb a Swiss Post IT infrastruktúráján kellene irányítást szerezniük, ráadásul speciális ismeretekkel rendelkező belső munkatársak segítségre is szükségük lenne. Ugyanakkor Jamie Lewis, a GCHQ egy korábbi kutatója szerint mindez nem jelenti azt, hogy a Swiss Post saját maga ne jelentene biztonsági fenyegetést a szavazás integritására nézve, éppen ezért Matthew Green kriptográfussal egyetemben javasolja a svájci kormányzat számára az online szavazási rendszer elhalasztását, noha a sérülékenység mostanra már befoltozásra került. 

(motherboard.vice.com)
Kevesebb
 március 08. 11:57

A Twitter egy még január 14-én kijavított programhibáról tájékoztatja androidos felhasználóit, amely öt éve jelen volt az alkalmazásban.

Bővebben

A Twitter egy még január 14-én kijavított programhibáról tájékoztatja androidos felhasználóit, amely öt éve jelen volt az alkalmazásban. A közösségi oldal szerint azokat a felhasználókat érintett a hiba, akik az androidos Twitter alkalmazásban 2014. november 3. és 2019. január 14-e között megváltoztatták fiókadataikat, beleértve az e-mail címeket is. A felhasználói módosításokat követően, amennyiben az alkalmazáson belül korábban engedélyezték a védett módot (Protect your tweets), a Twitter automatikusan letiltotta a funkciót. Egyelőre az ügy kapcsán nem indítottak vizsgálatot a közösségi platform ellen, amely már korábban is szembesült a GDPR megsértésének vádjával. Tavaly év végén az ír Adatvédelmi Bizottság indított vizsgálatot a Twitter ellen, miután a cég elutasította a t.co webes linkkövető adatok átadását, majd biztonsági kutatók fedeztek fel egy olyan biztonsági hibát, amellyel engedély nélküli szöveges tweet bejegyzéseket lehetett közzétenni a platformon. Ez a hiba kizárólag angol twitterfiókokat érintett.

(www.engadget.com)
Kevesebb
 február 28. 09:09

A németországi Ruhr-Universität Bochum hallgatói csoportja számos sérülékenységet azonosított népszerű asztali és online PDF olvasókban.

Bővebben

A németországi Ruhr-Universität Bochum hallgatói csoportja számos sérülékenységet azonosított népszerű asztali és online PDF olvasókban, amelyek kihasználásával a digitális aláírással ellátott PDF dokumentumok anélkül módosíthatóak, hogy az aláírás érvénytelenné válna. A sebezhetőségben érintett ─ összesen 22 ─ PDF olvasó között szerepel az Adobe Reader, a Foxit Reader, és a LibreOffice is, az online szolgáltatások között pedig a DocuSign, az eTR Validation Service, a DSS Demonstration WebApp, az Evotrust, valamint a VEP.si. A PDF olvasó alkalmazás fejlesztő gyártók már kiadták a hibajavító frissítéseket, ellenben néhány online szolgáltatás esetében még nincs hír javításról. 

(securityaffairs.co)
Kevesebb
 február 26. 13:36

A 360 Threat Intelligence Center azonosított egy, a WinRAR sérülékenységet kihasználó támadó kampányt.

Bővebben

A CheckPoint kutatói felfedeztek egy ún. könyvtár-bejárási (azaz a támadott rendszer fájlszerkezetében emelt jogosultság megszerzését lehetővé tévő) sérülékenységet a több, mint 500 millió felhasználóval bíró WinRAR tömörítő programban, a 360 Threat Intelligence Center pedig már azonosított is egy, a sérülékenységet kihasználó támadó kampányt. Ennek során a támadók a sérülékenység következtében egy káros kódokat tartalmazó futtatható fájlt képesek elhelyezni az indítópultban, feltéve hogy a UAC (User Account Control – felhasználói fiók felügyelet) nem aktív, vagy a bejelentkezett felhasználó admin joggal bír. Amennyiben ez sikeres volt, a rendszer következő bootolásakor a fájl automatikusan indításra kerül és további összetevőket (backdoor) tölt le az internetről. A program fejlesztői gárdája a WinRAR 5.70 beta 1-es verzióban javította a biztonsági hibát, igaz, ezt csak a sérülékeny programkönyvtár (UNACEV2.dll) használatának mellőzésével tudták elérni, mivel annak forráskódját 2005-ben elvesztették. Ennek következtében azonban megszűnt az ACE formátum támogatása is.

(www.securityaffairs.co)
Kevesebb
 február 12. 12:15

Az Opera androidos verziója beépített VPN funkcióval gazdagodik, védelmet nyújtva a felhasználók webes böngészésének harmadik fél általi monitorozásával szemben ─ nem csupán ─ nyilvános Wi-Fi hálózaton.

Bővebben

Az Opera androidos verziója beépített VPN funkcióval gazdagodik, védelmet nyújtva a felhasználók webes böngészésének harmadik fél általi monitorozásával szemben ─ nem csupán ─ nyilvános Wi-Fi hálózaton. A jelenleg még béta verzióban lévő VPN funkció több manuális beállítási lehetőséggel rendelkezik, például megadható, hogy melyik kontinensen lévő szerveren keresztül haladjon a forgalom, beállítható, hogy csak a privát böngészés során megnyitott weboldalakon kerüljön alkalmazásra, valamint opcionálisan kikapcsolható az internetes keresések során, a találati relevancia növeléséhez. A cég közleménye szerint nem fogják logolni a felhasználók tevékenységét, mindazonáltal felhívják a figyelmet arra, hogy a szolgáltatás igénybevétele a böngészés sebességére hatással lehet. Egyelőre iOS-es verzió lehetőségére nem tértek ki. 

(www.theverge.com)
Kevesebb
 február 07. 14:12

Legalább nyolc légitársaság (Southwest, Air France, KLM, Vueling, Jetstar, Thomas Cook, Transavia, Air Europa) használ olyan e-jegyrendszert, amely nem védi megfelelően utasainak adatait ─ derül ki a mobil biztonsággal foglalkozó Wandera tanulmányából.

Bővebben

Legalább nyolc légitársaság (Southwest, Air France, KLM, Vueling, Jetstar, Thomas Cook, Transavia, Air Europa) használ olyan e-jegyrendszert, amely nem védi megfelelően utasainak adatait ─ derül ki a mobil biztonsággal foglalkozó Wandera tanulmányából. A biztonsági probléma abból fakad, hogy a jegyfoglalási rendszer reptéri utasfelvétellel (check-in) kapcsolatos információkat küld az utasoknak e-mailben, olyan hiperhivatkozásokkal, amelyek titkosítatlan formában tartalmazzák az ügyfelek adatait. Ez ugyan lehetővé teszi az utasok számára, hogy további hitelesítés nélkül ellenőrizzék és módosítsák a foglalásukat, azonban biztonsági kockázatot is hordoz magában, ugyanis amennyiben a felhasználó egy nem biztonságos ─ pl. reptéri ─ nyílt Wi-Fi hálózatot használ, egy támadó képes lehet hozzáférni az e-mailhez, ezen keresztül pedig a foglalás részleteihez és a személyes adatokhoz, beleértve például az útlevélszámot. A Cyberscoop megkeresésére reagáló vállalatok (Southwest, Thomas Cook, JetStar) nem adták jelét annak, hogy változtatnának a gyakorlaton. 

(cyberscoop.com)
Kevesebb