Уязвимости Опции

[hook]

Более половины почтовых серверов подвержены критической уязвимости



В агенте пересылки почты Exim обнаружена уязвимость, позволяющая удаленно запускать команды на сервере. Исследователи компании Qualys обнаружили критическую уязвимость, затрагивающую более половины почтовых серверов. Проблема была обнаружена в агенте пересылки почты (MTA) Exim – ПО, устанавливаемом на почтовых серверах для доставки электронных писем от отправителя к адресату. По данным за июнь 2019 года, Exim установлено на 57% (507 389) от всех видимых через интернет серверов. Правда, есть сведения, что на самом деле число установок Exim превышает это число в десять раз и составляет 5,4 млн. Обнаруженной специалистами Qualys уязвимости подвержены версии ПО от 4.87 до 4.91. Уязвимость позволяет удаленному/локальному злоумышленнику запускать на почтовом сервере команды с привилегиями суперпользователя. Локальный атакующий, даже с самыми низкими привилегиями, может проэксплуатировать ее немедленно. Однако наибольшую опасность представляют удаленные злоумышленники, сканирующие интернет в поисках уязвимых серверов и способные захватить контроль над уязвимыми системами. Для удаленной эксплуатации уязвимости при конфигурации по умолчанию атакующий должен сохранять подключение к уязвимому серверу в течение семи дней (путем передачи одного байта каждые несколько минут). Исследователи также допускают возможность существования более быстрых способов эксплуатации уязвимости, однако из-за чрезмерной сложности кода Exim им пока удалось обнаружить только этот. Кроме того, проэксплуатировать уязвимость удаленно можно не только при настройках конфигурации по умолчанию. Проблема была исправлена в версии Exim 4.92, выпущенной в феврале нынешнего года. Примечательно, что на момент выхода новой версии ПО об уязвимости еще не было известно, и она была исправлена случайно. Проблема была обнаружена исследователями только во время аудита старых версий Exim. Уязвимости присвоен идентификатор CVE-2019-10149 , в Qualys она проходит под названием «Return of the WIZard».

securitylab.ru

[hook]

Доступен эксплоит для обхода патча, устраняющего уязвимость повышения прав в Windows 10



Эксплоит позволяет пользователю с низкими привилегиями управлять файлами, доступ к которым не предусмотрен уровнем прав. Независимая исследовательница безопасности, известная в Сети как SandboxEscaper, опубликовала в открытом доступе второй эксплоит для недавно исправленной уязвимости повышения привилегий в ОС Microsoft Windows. SandboxEscaper известна публикацией эксплоитов для неисправленных уязвимостей в Windows. За последние несколько недель исследовательница обнародовала четыре эксплоита для различных багов в ОС, включая эксплоит для обхода патча для уязвимости CVE-2019-0841, затрагивающей службу Windows AppXSVC. Данный сервис используется для запуска приложений Windows Apps, а также для установки и деинсталляции программ. Сейчас SandboxEscaper заявила, что нашла еще один способ обойти патч для данной уязвимости. Новый эксплоит, получивший название ByeBear, позволяет пользователю с низкими привилегиями управлять файлами, доступ к которым не предусмотрен уровнем прав. Эксплоит в действии продемонстрирован в видео ниже.

securitylab.ru

[hook]

Уязвимости в смартфонах Samsung позволяют получить полный контроль над устройством



Уязвимости позволяют получать доступ к данным в TrustZone и выполнять произвольный код. Специалисты российской компании Digital Security обнаружили в смартфонах Samsung уязвимости, позволяющие получить полный контроль над устройством. Проблема затрагивает устройства с процессорами Qualcomm MSM8896 (Snapdragon 820), MSM8898 (Snapdragon 835), а также Exynos 7420, 7870, 8890 и 8895. В основном это актуальные и флагманские модели разных лет – Galaxy Note 5 и S6, Galaxy S8 и Note 8, S7 и Note 7, S8 и Note 8, а также J6, J7, A2 Core, J5, M10, A6 и A3. Первая из двух обнаруженных проблем представляет собой уязвимость раскрытия информации. С ее помощью злоумышленник может получить доступ к содержимому TrustZone – аппаратно изолированной среды, полностью отделенной от операционной системы устройства. «Уязвимость в трастлете "TEE Gatekeeper" с UID "08130000000000000000000000000000" может быть использована для чтения приложением в Normal World памяти, доступной только из Secure World, в терминологии TrustZone. Уязвимость появляется из-за отсутствия проверки адресов в буфере TCI. Атакующий получает доступ на чтение ко всей памяти, доступной трастлету», – сообщается в уведомлении Digital Security. Вторая проблема представляет собой уязвимость переполнения области динамической памяти. «Уязвимость в трастлете "TRUST_KEYMASTER" с UID "ffffffff00000000000000000000003e" вызвана переполнением кучи во время парсинга структуры ASN.1, закодированной по правилам DER. Уязвимость приводит к возможности выполнения произвольного кода атакующим в контексте TEE (Trusted Execution Environment)», – сообщили исследователи. Компания Samsung выпустила исправления для обеих уязвимостей в мае 2019 года.

securitylab.ru

[hook]

Microsoft устранила 88 уязвимостей в своих продуктах



В числе прочих производитель исправил уязвимости в протоколе NTLM, позволяющие провести атаку типа NTLM Relay. Компания Microsoft выпустила плановый пакет обновлений, исправляющих в общей сложности 88 уязвимостей в различных версиях ОС Windows и других продуктах производителя, в том числе ряд багов, эксплоиты для которых были опубликованы в открытом доступе ИБ-исследовательницей под псевдонимом SandboxEscaper. Из 88 исправленных 21 проблема получила статус «критических», 66 - «важных» и 1 уязвимость расценена как «средней степени опасности». Критические уязвимости затрагивают JavaScript движок для браузера Microsoft Edge Chakra Scripting Engine (9 уязвимостей), Microsoft Scripting Engine (4), гипервизор Hyper-V (3), Microsoft Speech API, а также Edge и Internet Explorer. В числе прочих производитель исправил уязвимости CVE-2019-1040 и CVE-2019-1019 в протоколе аутентификации NTLM, позволяющие обойти механизмы защиты NTLM и провести атаку типа NTLM Relay. Суть атак подобного типа заключается в том, чтобы вмешаться в процесс аутентификации по протоколу NTLM и получить доступ к стороннему ресурсу с привилегиями атакуемого пользователя. Атака может быть реализована в отношении любого протокола, поддерживающего NTLM-авторизацию (SMB, HTTP, LDAP и т.д.). Полный перечень исправленных проблем доступен здесь.

securitylab.ru

[hook]

Linux-червь заражает установки Azure через уязвимость в Exim



Новый червь для Linux эксплуатирует недавно раскрытую уязвимость CVE-2019-10149. Компания Microsoft предупредила пользователей о новом черве для Linux, распространяющемся через почтовые серверы Exim. По словам специалистов, вредонос уже скомпрометировал ряд установок Azure. Как стало известно на прошлой неделе, киберпреступники атакуют миллионы почтовых серверов с установленным клиентом Exim через уязвимость CVE-2019-10149. Проблема затрагивает версии Exim с 4.87 до 4.91 и позволяет неавторизованному атакующему удаленно выполнять произвольные команды на почтовых серверах с определенными (не заводскими) настройками конфигурации. Хотя уязвимость была исправлена еще в феврале нынешнего года с выходом версии Exim 4.92, многие серверы по-прежнему остаются уязвимыми. «На этой неделе MSRC (Microsoft Security Response Center – ред.) подтвердил наличие активного червя для Linux, использующего критическую уязвимость удаленного выполнения кода CVE-2019-10149 в почтовых серверах Linux Exim с версиями Exim от 4.87 до 4.91. Уязвимость не затрагивает пользователей Azure с установленной на виртуальных машинах версией Exim 4.92», - сообщается в опубликованном на прошлой неделе уведомлении Microsoft. В целях обезопасить себя от возможных кибератак компания настоятельно рекомендует пользователям обновить операционные системы на своих виртуальных машинах Azure.

securitylab.ru

[hook]

Уязвимость в усилителях Wi-Fi сигнала TP-Link позволяет проникнуть в сеть



Злоумышленник может превратить атакуемое устройство в часть ботнета или использовать его для различной вредоносной деятельности. Ряд моделей усилителей беспроводного сигнала производства компании TP-Link подвержены критической уязвимости, предоставляющей возможность перехватить контроль над устройством и управлять им с привилегиями легитимного пользователя. Воспользовавшись уязвимостью (CVE-2019-7406), злоумышленник может превратить атакуемое устройство в часть ботнета или использовать его для различной вредоносной деятельности, например, получить контроль над внутренней сетью (с помощью дополнительных инструментов) или осуществлять мониторинг трафика, пояснила специалист команды IBM X-Force Лимор Кессем (Limor Kessem). Уязвимость позволяет удаленно выполнить код без необходимости авторизации на устройстве или повышения прав (все процессы работают с привилегиями суперпользователя). Для эксплуатации проблемы атакующему потребуется отправить специально сформированный запрос HTTP GET. Проблема затрагивает модель TP-LINK RE365 с версией прошивки 1.0.2, сборка 20180213 Rel. 56309. В TP-Link подтвердили, что уязвимость также присутствует в моделях RE650, RE350 и RE500. Производитель уже выпустил обновления прошивки для перечисленных выше устройств ( RE365 , RE650 , RE350 , RE500 ). Пользователям рекомендуется обновиться как можно скорее.

securitylab.ru

[hook]

Внеплановое обновление Firefox 67.0.3 устраняет критическую 0Day-уязвимость



Баг уже эксплуатируется в реальных атаках. Инженеры Mozilla выпустили обновления браузера Firefox (Firefox 67.0.3 и Firefox ESR 60.7.1), исправляющие уязвимость удаленного выполнения кода (CVE-2019-11707), которая уже эксплуатируется в реальных атаках. Согласно скупому описанию на сайте компании, проблема представляет собой уязвимость типа type confusion (несоответствие используемых типов данных), которая позволяет вызвать «эксплуатируемый сбой в работе браузера» при выполнении вредоносного JavaScript-кода. Баг связан с обработкой типов в методе Array.pop и может использоваться для перехвата контроля над системой с установленными уязвимыми версиями браузера.
В настоящее время другие подробности об уязвимости неизвестны. Пользователям рекомендуется установить обновления как можно скорее:

Firefox 67.0.3 для 64-разрядной версии Windows

Firefox 67.0.3 для 32- разрядной версии Windows

Firefox 67.0.3 для macOS

Firefox 67.0.3 для 64-разрядной версии Linux

Firefox 67.0.3 для 32-разрядной версии Linux

securitylab.ru

[hook]

В Firefox исправлена вторая за неделю уязвимость нулевого дня



О проблеме стало известно, когда ее начали использовать в атаках вместе с предыдущей исправленной уязвимостью. В браузере Firefox на этой неделе исправлена уже вторая уязвимость нулевого дня. Проблема, получившая идентификатор CVE-2019-11708, представляет собой обход песочницы и связана с ранее исправленной уязвимостью (CVE-2019-11707) типа type confusion (несоответствие используемых типов данных). CVE-2019-11708 позволяет злоумышленнику удаленно выполнить произвольный код на системе жертвы, заманив ее на вредоносный сайт. «По причине недостаточной проверки параметров в сообщениях Prompt:Open IPC между дочерним и родительским процессами родительский процесс за пределами песочницы может открывать web-контент, выбранный скомпрометированным дочерним процессом», - сообщается в уведомлении безопасности компании Mozilla. О первой исправленной на этой неделе уязвимости производителю стало известно еще в апреле нынешнего года от исследователя из Google Project Zero. Тем не менее, о второй проблеме Mozilla узнала лишь на прошлой неделе, когда киберпреступники стали эксплуатировать ее в связке с первой для атак на пользователей криптовалютной платформы Coinbase. Исследователь безопасности Патрик Уордл также выявил отдельную кампанию с использованием первой уязвимости в атаках на пользователей macOS. Сложно сказать, обнаружили ли киберпреступники уязвимость самостоятельно, и атаки просто совпали с публикацией отчета о ней, или же они взяли ее на вооружение, каким-то образом заполучив в свои руки отчет. Обе вышеупомянутые уязвимости исправлены в версиях Firefox 67.0.4 и Firefox ESR 60.7.2. В базирующемся на Firefox браузере Tor первая проблема устранена в версии 8.5.2. Ожидается, что в скором времени выйдет еще одно обновление, исправляющее уже второй баг.

securitylab.ru

[hook]

Ошибка в iOS 13 beta 2 позволяет отслеживать чужие устройства



В этом месяце на конференции WWDC компания Apple сообщила об объединении сервисов Find My iPhone и Find My Friends в единое приложение «Локатор» («Find My»). Новое приложение появится в iOS 13 осенью нынешнего года, а пока что доступно во второй бета-версии ОС для разработчиков. Похоже, слияние двух сервисов в один прошло у Apple не совсем гладко. Как сообщает один из участников программы тестирования iOS, приложение позволяет находить и совершать действия с чужими iPhone. Пользователь под псевдонимом enoughowl10 опубликовал на форуме Reddit скриншот экрана своего iPhone с открытым приложением «Локатор», отображающим чужие устройства. По словам пользователя, все устройства находились в радиусе двух кварталов от него. Какие версии iOS на них установлены, неизвестно. Тем не менее, enoughowl10 предположил, что эти iPhone вряд ли работают под управлением iOS 13, поскольку в его районе живут преимущественно пожилые люди. Если речь идет о iOS 12 и более ранних версиях, то проблема вряд ли связана с новыми функциями в «Локаторе». По мнению некоторых пользователей, причиной проблемы может быть новый режим в приложении, позволяющий определять местоположение пропавшего iPhone, даже если он отключен от Сети. «Локатор» отправляет зашифрованные Bluetooth-сигналы другим устройствам, которые в свою очередь переадресовывают их Apple, а Apple – уже конечному пользователю. По идее, расшифровать сигналы может только устройство, подключенное к той же учетной записи iCloud, что и потерянный iPhone, а промежуточные устройства лишь выполняют роль передатчиков. Однако, похоже, функция работает не так, как должна. В случае с enoughowl10 ему были видны местоположения двух iPad, одного iPhone и смарт-часов. Устройства отображались на экране в течение 30 секунд, а затем исчезали. Согласно предположениям некоторых пользователей, иконки могли быть фантомными и не отображать реальные устройства.

securitylab.ru

[hook]

В AMD SEV исправлена опасная уязвимость



С помощью уязвимости злоумышленник может скомпрометировать данные, защищенные с применением AMD SEV. Компания AMD исправила уязвимость в реализации своей технологии AMD Secure Encrypted Virtualization (AMD SEV). С помощью уязвимости ( CVE-2019-9836 ) злоумышленник может скомпрометировать данные, защищенные с применением AMD SEV. Технология AMD SEV предназначена для шифрования содержимого памяти виртуальных машин на аппаратном уровне, при этом доступ к расшифрованным данным предоставляется только текущей гостевой системе. Тем не менее, выявленная уязвимость позволяет получить содержимое закрытого PDH-ключа, который не доступен основной операционной системе. С его помощью злоумышленник может восстановить сессионный ключ и последовательность, указанную при создании виртуальной машины, что позволит ему получить доступ к зашифрованной информации. Уязвимость существует из-за проблем в реализации эллиптических кривых (ECC), которые используются для шифрования. С их помощью злоумышленник может восстановить параметры кривой и отправить в процессе выполнения команды запуска виртуальной машины параметры кривой, не соответствующие рекомендациям NIST, и в итоге скомпрометировать защищенные данные. Проблема затрагивает серверные платформы AMD EPYC со всеми версиями прошивки SEV до 0.17 build 11. В исправленной версии прошивки теперь реализована блокировка использования точек, не соответствующих рекомендациям NIST.

securitylab.ru