Google ignora pedidos da Microsoft e publica 3ª falha do Windows em um mês

O Google ignorou os pedidos da Microsoft por prazos mais flexíveis para a divulgação de vulnerabilidades e liberou detalhes de mais uma falha sem solução do Windows, que deve deixar os usuários expostos pelos próximos 25 dias.

A nova vulnerabilidade, que foi confirmada no Windows 7 e 8.1, pode constituir uma alternativa ao recurso de segurança pela maneira como as aplicações podem criptografar suas memórias para que os dados possam ser trocados entre os processos sendo rodados na sessão com o mesmo logon.

“O problema é que a implementação em CNG.sys não verifica o nível de personificação do token ao capturar a sessão de logon ID (usando SeQueryAuthenticationIdToken) para que um usuário normal possa personificar em nível de identificação e criptografar ou descriptografar os dados para essa sessão de logon”, afirmaram os pesquisadores do Google Project Zero em uma descrição da falha. 

Segundo o Project Zero, a Microsoft foi notificada sobre a vulnerabilidade em 17 de outubro de 2014 e inicialmente planejava liberar uma solução na sua Patch Tuesday de janeiro, que foi liberada há alguns dias. No entanto, o patch precisou ser adiado por problemas de compatibilidade.

Os pesquisadores do Google não ficaram comovidos com isso e mantiveram seu prazo de revelação pública de 90 dias, publicando os detalhes da falha e um exploit de prova de conceito nesta quinta-feira, 15/1.

Agora é esperado que a solução esteja entre os updates de segurança da Microsoft programados o próximo dia 10 de fevereiro, apesar de não existirem garantias que o patch não possa ser adiado mais uma vez.

É claro que a Microsoft tem a opção de liberar um patch fora dessas Patch Tuesdays, mas a empresa raramente faz isso e, quando isso acontece, geralmente é para chamadas falhas críticas que estejam sendo exploradas ativamente por criminosos. 

Essa é a terceira vulnerabilidade que os pesquisadores do Project Zero liberaram publicamente no último mês porque a Microsoft não conseguiu liberar soluções antes do prazo de 90 dias imposto pelo Google.

Fonte: IDG Now!

Read More

Como hackear um drone... Com um drone!

Muito já vem se falando sobre drones, aqueles pequenos "veículos" voadores não tripulados, certamente você já ouviu falar do governo americano usando como arma no Iraque ou a Amazon usando em suas entregas. Pois saiba que duas coisas andam sempre a frente dos avanços tecnológicos, o mercado de entretenimento adulto (se é que você me entende) e os hackers. Deixaremos este primeiro para um outro post, vamos nos focar aqui nos hackers. :)

Não precisa ser um expert em segurança para saber que estes drones comerciais, controlados por smartphones, são falhos no quesito segurança, se você configurar um você irá ver já de início que ele conecta o drone ao seu smartphone através de uma conexão WiFi, totalmente desprotegida por padrão, nem senha tem. E do mesmo modo que você conecta nele para controlar os seus movimentos alguém mais pode fazer o mesmo e acabar com sua brincadeira.

O canal Hak5 do Darren Kitchen no Youtube, pôs em prática um paper sobre hackear e roubar drones. No vídeo, Darren mostra como é simples o funcionamento do drone e mais simples ainda para hackea-lo. É demonstrado como derrubar o drone ou até mesmo assumir o controle e roubar o drone de alguém que está brincando com ele.

Na descrição do vídeo você pode encontrar links para o script utilizado e para o paper em que foi baseado.

Parte 1

Parte 2

No Brasil esses drones são bem caros, mas se você tiver a oportunidade de comprar um pode comprar que você não vai se arrepender, boas horas de diversão e assim que cansar pode hackea-lo ou usa-lo para hackear redes wifi e outros drones ao seu redor.

Read More

Nova vulnerabilidade do Java 7 abre portas para ataque de 10 anos de idade

Falha permite a crackers contornar a sandbox do software e executar um código arbitrário no sistema subjacente.

 

Pesquisadores da empresa de pesquisa de vulnerabilidades Security Explorations afirmam ter identificado uma nova vulnerabilidade no Java 7, que pode permitir a atacantes contornar a sandbox (mecanismo de segurança) do software e executar um código arbitrário no sistema subjacente.

A vulnerabilidade foi divulgada na quinta-feira (18) para a Oracle, juntamente com o código prova de conceito (PoC), disse Adam Gowdiak, CEO e fundador da Security Explorations, em uma mensagem no fórum Full Disclosure.

De acordo com Gowdiak, a vulnerabilidade está localizada na Reflection API (application programming interface), um recurso que foi introduzido no Java 7 e que tem sido fonte de muitas vulnerabilidades críticas no software até o momento. A empresa de segurança confirmou que o código de exploração PoC funciona no Java SE 7 Update 25 e versões anteriores, disse.

O novo problema identificado pela Security Explorations pode permitir a crackers executar um ataque "clássico", conhecido há pelo menos 10 anos, disse Gowdiak. Este tipo abordagem costumava ser usada para afetar a máquina virtual (VM) Java em seus primeiros dias, no final dos anos 90, disse via e-mail.

"É um desses riscos os quais deve-se proteger, em primeiro lugar, quando novos recursos são adicionados ao Java no nível VM núcleo", disse Gowdiak. É surpreendente descobrir que a proteção contra este tipo de ataque não foi implementada para a Reflection API no Java 7, quando estava sendo desenvolvido, disse.

O pesquisador afirma que a vulnerabilidade permite a atacantes violar uma característica fundamental da segurança da VM - a segurança do seu sistema de tipagem.

"Como resultado do ataque, pode-se realizar operações arbitrárias de conversão de tipo entre tipos de dados do Java como um inteiro e um ponteiro", disse ele por e-mail. "Em Java, as operações de conversão de tipo precisam seguir regras rígidas, para que a memória seja acessada de forma segura."

Gowdiak criticou a implementação da Reflection API no passado, dizendo que o recurso não parece ter sido submetida a uma revisão de segurança completa.

Ele acredita que a presença desta nova vulnerabilidade no Java 7 levanta dúvidas sobre a eficácia da garantia de segurança de software da Oracle e práticas de revisão de código de segurança. "Uma enorme quantidade de bugs passam despercebidos por essas políticas e procedimentos", disse ele.

Fonte: IDG Now

Como diz o Ditado: "Recordar, é viver", mais uma vez provando, que estudar falhas antigas, pode fazer a diferença na vida de um Analista de Segurança...

Read More