Уязвимости Опции

[hook]

Новая уязвимость позволяет красть данные и управлять гаджетами



Уязвимость была найдена в программе-менеджере ES File Explorer. С ее помощью можно украсть любые данные.
Специалист в области кибербезопасности Батист Робер обнаружил уязвимость в программе-менеджере ES File Explorer. Благодаря ей злоумышленники могут выкрасть любые данные пользователей с Android-гаджетов. Об этом отмечается на GitHub.
Специалист также опубликовал видео на YouTube, в котором подробно изложил анализ бреши CVE-2019-6447.
По его словам, программа содержит открытый порт. Хакер может получить доступ к любым файлам при условии, что он находится в одной Wi-Fi-сети с атакуемым.
Робер создал специальный скрипт, благодаря которому смог получить данные из стороннего устройства, используя возможности уязвимости.

korrespondent.net

[льдинка]

отсюда вывод: вай фай зло

[Mari]

ВАааааще интернет - зло. НО!!!!!! Тут столько вкусных печенек и тех, с кем хочется ими поделиться, что в добро - не, не хочется. )))

[hook]

льдинка
отсюда вывод: вай фай зло

Ну не все так плохо.... если некоторыми действиями обезопасить свои гаджеты.... 1. Не устанавливать всяко - разное.... 2. И антивирус в котором есть брандмауэр....

Mari
ВАааааще интернет - зло. НО!!!!!! Тут столько вкусных печенек и тех, с кем хочется ими поделиться, что в добро - не, не хочется. )))

Почему зло? Интернет - это помощник во многих делах и т.д. , а уж как вы будете его пользовать зависит от вас....

[hook]

Недавняя уязвимость в FaceTime вдохновила спецслужбы



ЦПС Великобритании предложил обязать защищенные сервисы незаметно добавлять невидимых пользователей в разговоры и чаты. Как ранее сообщал SecurityLab, на прошлой неделе в сервисе для общения FaceTime была обнаружена уязвимость, позволяющая просматривать видео и прослушивать звук с устройства собеседника до того, как он ответит на звонок. Компания Apple временно отключила функцию Group FaceTime в своей платформе и сейчас работает над исправлением уязвимости. В то время, как правозащитники видят в сложившейся ситуации нарушение конфиденциальности данных пользователей (против Apple уже было подано несколько судебных исков в связи с вероятной утечкой данных), для спецслужб такая уязвимость стала бы настоящим подарком. По данным Американского союза защиты гражданских свобод (ACLU), Центр правительственной связи Великобритании (ЦПС) предложил обязать защищенные платформы для общения обеспечивать спецслужбам возможность создавать третьего, невидимого участника разговора. Предложение ЦПС получило название Ghost Proposal. Инициатива, авторами которой являются чиновники ЦПС Иэн Леви (Ian Levy) и Криспин Робинсон (Crispin Robinson), узаконивает создание так называемого «интерфейса недоверенного пользователя». Другими совами, в случае вступления предложения в силу сервисы будут обязаны по закону обеспечивать спецслужбам возможность для слежки за пользователями. «Сервисы сравнительно легко могут незаметно добавить в групповой чат или звонок участника из правоохранительных органов. Как правило, сервисы контролируют систему идентификации и сами решают, кто и какое устройство участвует в разговоре», - считают авторы инициативы. Это значит, что сервисам придется блокировать уведомления о добавлении еще одного участника в чат. По мнению авторов Ghost Proposal, таким образом спецслужбы смогут перехватывать звонки и сообщения в защищенных сервисах без необходимости трогать шифрование. Однако эксперты ACLU считают предложение сложно реализуемым и опасным. «Спроектировать ПО должным образом и без того сложно, а разработать его с предумышленными уязвимостями, пусть и ограниченными, еще сложнее. Механизм для умышленного создания недоверенного интерфейса станет привлекательной целью для хакеров и других преступников. Кто тогда будет нести ответственность за его использование в преступных целях?», - отметили в ACLU.

securitylab.ru

[hook]

ПОЧТИ 31% ПРИЛОЖЕНИЙ ДЛЯ IOT-УСТРОЙСТВ НЕ ИСПОЛЬЗУЮТ ШИФРОВАНИЕ



В Android-приложениях для TP-Link, LIFX, Belkin и Broadlink обнаружены уязвимости. Совместная группа ученых из Федерального университета Пернамбуку (Бразилия) и Университета Мичигана (США) проанализировала безопасность Android-приложений для IoT-устройств и пришла к неутешительным выводам. Специалисты изучили приложения 96 IoT-устройств и выявили, что почти 31% не используют шифрование вообще, а 19% содержат встроенный ключ шифрования, который легко обнаружить. 38% приложений можно проэксплуатировать через уязвимости в протоколах. Исследователи изучили приложение Kasa for Mobile для устройств TP-Link, приложение для смарт-лампочек LIFX с поддержкой Wi-Fi, приложение WeMo для IoT-устройств Belkin и приложение e-Control для систем "умного" дома Broadlink. Для каждого из них они создали эксплоит. Специалисты обнаружили, что предлагаемая на Amazon продуктовая линейка "умных" розеток TP-Link использует один и тот же ключ шифрования, а конфигурация устройств устанавливается через приложение без надлежащей аутентификации. На основе данной информации злоумышленник может осуществить спуфинг-атаку и перехватить контроль над устройством. Эксперты опубликовали ссылку на видео с демонстрацией процесса эксплуатации уязвимости. По их словам, проблема затрагивает и другие устройства TP-Link, поскольку для управления используется одно и то же мобильное приложение. Далее исследователи проанализировали 32 приложения для 96 наиболее популярных на Amazon IoT-устройств с поддержкой Wi-Fi и Bluetooth и обнаружили похожие уязвимости. Перед публикацией отчета специалисты уведомили компании-производители о проблемах, однако так и не получили ответ. Как сообщил представитель LIFX в комментарии изданию The Register, компания устранила уязвимости в конце 2018 года и реализовала защитные меры, включая шифрование.

securitylab.ru

[hook]

Эксперты Positive Technologies нашли уязвимости в Schneider Electric EVLink Parking



Уязвимости позволяют отключить зарядную станцию, выполнить произвольные команды и получить доступ к web-интерфейсу. Специалисты компании Positive Technologies Владимир Кононович и Вячеслав Москвин обнаружили в зарядных станциях для корпоративного автопарка Schneider Electric EVLink Parking ряд опасных уязвимостей. С их помощью злоумышленник может отключить устройство, тем самым предотвратив зарядку автомобиля, выполнить произвольные команды и получить доступ к web-интерфейсу со всеми привилегиями. Уязвимости затрагивают версии EVLink Parking 3.2.0-12_v1 и более ранние. CVE-2018-7800: Наличие неизменяемых учетных данных, позволяющих злоумышленнику получить доступ к устройству. По системе оценивания CVSS v3 уязвимость получила 9,8 балла из максимальных 10. CVE-2018-7801: Позволяет удаленно выполнить произвольный код с максимальными привилегиями. По системе оценивания CVSS v3 уязвимость получила 8,8 балла из максимальных 10. CVE-2018-7802: Позволяет осуществить SQL-инъекции и получить доступ к web-интерфейсу со всеми привилегиями. По системе оценивания CVSS v3 уязвимость получила 6,4 балла из максимальных 10. Специалисты Schneider Electric рекомендуют использовать межсетевые экраны для ограничения удаленного доступа к зарядным станциям. Также доступно обновление прошивки, в котором уязвимости уже исправлены.

securitylab.ru

[hook]

Детские «умные» часы ENOX отзовут с рынка ЕС из-за рисков безопасности



Мобильное приложение для Android с функцией «родительского контроля» вызвало обеспоенность властей. Власти ЕС сообщили о намерении изъять c рынка детские «умные» часы ENOX Safe-KID-One в связи с угрозой конфиденциальности. Это первый случай, когда ЕС отзывает продукт из-за рисков безопасности. Согласно информации на сайте производителя часов, немецкой компании ENOX, модель Safe-KID-One оснащена рядом функций, в том числе встроенными GPS-трекером, микрофоном и динамиком, а также функцией вызова и отправки SMS-сообщений. Устройство поставляется с Android-приложением с функцией «родительского контроля» для отслеживания перемещения и звонков детей. Именно уязвимости в последнем стали причиной для отзыва часов Safe-KID-One с европейского рынка. Согласно оповещению RAPEX, коммуникация между сервером и часами осуществляется в незашифрованном виде, а доступ к данным можно получить без всякой аутентификации. В результате злоумышленник может с легкостью извлечь различную информацию, например, историю передвижения, номер телефона, серийный номер и пр. Более того, атакующий может отправить команду на любое устройство данной модели и заставить его перезвонить на другой номер телефона, вступить в общение с ребенком или определить его местоположение с помощью GPS. По словам итальянского эксперта по защите данных Кристиана Берниери (Christian Bernieri), поставляемое вместе с «умными» часами Android-приложение создано китайским разработчиком и, судя по всему, ENOX не обладает контролем над ним. В Google Play Store информация по этому приложению недоступна, а ссылка на политику конфиденциальности ведет на страницу в LinkedIn, на которой также нет никаких сведений. RAPEX (Rapid Exchange of Information System) - система оперативного оповещения о небезопасных потребительских товарах (за исключением пищевых продуктов, лекарственных препаратов, химических веществ и медицинского оборудования). Действует в странах Евросоюза и позволяет обмениваться информацией о некачественных продуктах, представляющих угрозу жизни и здоровью людей.

securitylab.ru

[hook]

В LibreOffice и Apache OpenOffice обнаружена критическая уязвимость



Для эксплуатации уязвимости злоумышленнику достаточно заставить жертву открыть вредоносный ODT-файл. За окном 2019 год, однако, открыв безобидный с виду документ, пользователи по-прежнему рискуют стать жертвами киберпреступников. Как ни странно, на этот раз речь идет не об очередной уязвимости в Microsoft Office. Исследователь безопасности Алекс Инфюр (Alex Inführ) обнаружил критическую уязвимость в бесплатном офисном ПО с открытым исходным кодом LibreOffice и Apache OpenOffice, с которым работают миллионы пользователей Windows, MacOS и Linux по всему миру. Уязвимость (CVE-2018-16858) позволяет удаленно выполнить произвольный код, а для ее эксплуатации злоумышленнику достаточно заставить жертву открыть вредоносный ODT-файл. Проблема представляет собой уязвимость обхода каталога (directory traversal). Она позволяет атакующему выполнить встроенную в ПО библиотеку Python с помощью события onmouseover. Для эксплуатации уязвимости Инфюр создал ODT-файл с гиперссылкой, которую он сделал белой с целью скрыть от глаз жертвы. Гиперссылка содержала событие onmouseover, поэтому, когда жертва наводила курсор мыши в любую часть ссылки, на ее системе выполнялся доступный локально файл Python. По словам исследователя, файл Python с именем pydoc.py, поставляемый вместе с интерпретатором Python в ПО LibreOffice, принимает произвольные команды в одном из своих параметров и выполняет их через командную строку системы или консоль. Инфюр также опубликовал видео, в котором продемонстрировал, как ему удалось заставить событие вызвать в файле Python особую функцию. Эта функция в итоге выполнила подготовленную исследователем полезную нагрузку через командную строку Windows, причем совершенно незаметно для жертвы. Инфюр сообщил производителям о проблеме 18 октября 2018 года, и к концу месяца в LibreOffice она была исправлена с выходом версий 6.0.7/6.1.3. ПО Apache OpenOffice по-прежнему уязвимо.

securitylab.ru

[hook]

Уязвимость в macOS позволяет извлечь пароли



Проблема, получившая название KeySteal, затрагивает все версии macOS вплоть до 10.14.3 Mojave. Специалист в области безопасности Линус Хенце (Linus Henze) обнаружил уязвимость в операционной системе Apple macOS, предоставляющую возможность извлечь учетные данные из связки ключей (KeyChain) на компьютерах Мас без прав администратора или суперпользователя. Проблема, получившая название KeySteal, затрагивает все версии macOS вплоть до 10.14.3 Mojave. По сути она схожа с уязвимостью keychainStealer, описанной специалистом Патриком Уордлом (Patrick Wardle) в сентябре 2017 года. Хенце не раскрыл подробности об уязвимости, но опубликовал видео с демонстрацией ее эксплуатации (ниже). По его словам, под угрозой находится не только стандартный KeyChain, но и связки ключей, созданные пользователями. Проблема не затрагивает iCloud KeyChain («Связка ключей Cloud»), поскольку у данной функции иной принцип работы.



Исследователь не намерен передавать Apple информацию об уязвимости. Свое решение он пояснил тем, что у компании нет полноценной программы вознаграждения за уязвимости в macOS. В настоящее время проблема остается неисправленной.
KeyChain («Связка ключей») — программа macOS, предназначенная для хранения паролей и учетных данных.

securitylab.ru