Ezen a héten végre megkapjuk a belső információkat néhány régi történetről, kezdve ezzel a Bitwarden Windows Hello tavalyi problémája. Talán emlékszik rá, hogy a Bitwardennek lehetősége van a Windows Hello használatára tároló-feloldási lehetőségként. Sajnos a Windows hitelesítő adatok API valójában nem titkosítja a hitelesítő adatokat úgy, hogy a zárolás feloldásához további Windows Hello-ellenőrzés szükséges. Így a származtatott kulcs a hitelesítőadat-kezelőben tárolódik, és egy egyszerű API-hívással lekérhető. Nincs szükség további biometrikus adatokra. Még akkor is, ha a Bitwarden tároló zárolva van és az alkalmazás be van zárva.
Van még egy veszély, amihez nem is kell hozzáférni a bejelentkezett géphez. Egy tartományhoz csatlakozott gépen a Windows biztonsági másolatot készít ezekről a titkosítási kulcsokról a tartományvezérlőre. Maga a titkosított tároló alapértelmezés szerint elérhető egy tartományi gépen SMB-n keresztül. Egy feltört tartományvezérlő elkaphat egy bitwarden tárolót anélkül, hogy kódot futtatna a célgépen. A jó hír az, hogy a Bitwardennel és a Windows Hello-val kapcsolatos konkrét probléma kijavított, és azóta is 2023.10.1 verzió.
Fordított RDP kiaknázás
Általában úgy gondoljuk, hogy a Remote Desktop Protocol veszélyes az internet számára. És ez. Ne tegye online az RDP szolgáltatást. De fordított RDP az az elképzelés, hogy veszélyes lehet egy RDP-klienst egy rosszindulatú szerverhez csatlakoztatni. És természetesen több RDP megvalósításnál is van ez a probléma. Létezik rdesktop, FreeRDP és a Microsoft saját mstsc-je, amelyek mindegyike rendelkezik a fordított RDP-vel kapcsolatos sebezhetőségekkel.
A technikai részletek itt nem túl érdekesek. Ez mind annak a témának a változata, hogy nem ellenőrzik megfelelően a távoli adatokat a kiszolgálóról, és ezért nem olvasnak vagy írnak korábbi belső puffereket. Ez különféle információszivárgásokhoz és kódvégrehajtási problémákhoz vezet. Ami érdekes, az a különböző válaszok a megállapításokra, majd [Eyal Itkin] elvihető arról, hogy a biztonsági kutatóknak hogyan kell megközelíteniük a sebezhetőség feltárását.
Tehát először a Microsoft elvetette a biztonsági rést, mint a javítást. Ezután belső kutatásba kezdett, és újszerű támadásként mutatta be anélkül, hogy megfelelően [Eyalt] tulajdonította volna az eredeti leletnek. Az rdesktop jó néhány ilyen problémát tartalmazott, de néhány hónap alatt meg tudta oldani a problémát. A FreeRDP azonnal kijavított néhány problémát, amit úgy lehetne leírni, mint egy ütés-a-vakond stílusú folyamat, de kitaláltak egy javítást, amely valójában mélyebb szinten kezeli a problémát: az API-érték módosítása az unsigned size_t-ről aláírt értékre. ssize_t. Ennek a változásnak óriási 2 évbe telt, mire egy kiadásban valóban a világ elé került. Miért olyan hosszú?
Két oka van ennek a hosszú időeltolódásnak. Először is, ez egy keményítő változás volt, nem pedig egyetlen sebezhetőségre adott válasz. Megakadályozta volna egy csomót egyszerre, de nem volt szükség változtatásra, hogy mindegyiket külön-külön kijavítsák. De ami még fontosabb, ez egy API-módosítás volt. Összetörné a dolgokat. Tehát dobja be a fő verzió ágába, és várjon. És itt van egy kis dilemma. A kutatónak az interneten kell felfújnia a problémát, vagy várjon türelmesen? Itt nincs egyértelmű válasz, mivel minden helyzetnek megvan a maga bonyolultsága, de [Eyal] azt állítja, hogy a biztonsági kutatóknak jobban kellene foglalkozniuk a projektek javításával, és nem csak a tartalommal, hogy újabb CVE-t szerezzenek.
Hálózatok feltérképezése az SSH-Snake segítségével
A héten fedeztük fel ezt az okos eszközt: SSH-Snake. A koncepció egyszerű. A szkript megkeresi az esetleges SSH privát kulcsokat, majd megpróbálja őket az ismert ssh-állomások listáján. Minden olyan gazdagépnél, amely elfogad egy kulcsot, a szkript újra lefut. Nem dob el egyetlen fájlt sem a fájlrendszerben, és beavatkozás nélkül automatikusan fut, és a végén összeállít egy remek grafikont az elérhető rendszerekről. Mindenképpen érdemes a digitális eszköztárában tartani.
Bitek és bájtok
Az online játék mulatságos fordulatában Mandiant ezen a héten egy időre elvesztette az irányítást X-fiókja felett. Szórakoztató macska-egér játék volt, amikor a kriptográfiai csalásokat hirdető bejegyzések megjelentek, eltűntek és újra megjelentek. Csak elképzelni lehet, milyen őrült munkát végeznek a színfalak mögött, ahogy ez zajlott. Remélhetőleg néhány héten belül megoszthatunk egy Mandiant blogbejegyzést erről. És igen, erről van egy XKCD.
As you likely noticed, yesterday, Mandiant lost control of this X account which had 2FA enabled. Currently, there are no indications of malicious activity beyond the impacted X account, which is back under our control. We’ll share our investigation findings once concluded.
— Mandiant (@Mandiant) Január 4, 2024
Ha még mindig van Lastpass-fiókja, előfordulhat, hogy a héten e-maileket kapott kb a főjelszó-követelmény változása folyamatban van. A TL:DR az, hogy a Lastpass korábban „megkövetelt” egy 12 karakteres jelszót. Hamarosan az összes jelszónak 12 karakter hosszúnak kell lennie, beleértve a régebbi fiókokból származóakat is. Valószínűleg az lenne a legjobb, ha mégis megelőzné ezt a változást, ha rövidebb jelszava van.
Kicsit süketnek tűnik A 23andMe az áldozatokat okolja a közelmúltban történt fiókfeltörésekért. „A felhasználók ugyanazokat a felhasználóneveket és jelszavakat használták, mint a 23andMe.com webhelyen, mint más webhelyeken, amelyeken korábban biztonsági rések történtek, és a felhasználók gondatlanságból újrahasznosították, és elmulasztották frissíteni jelszavaikat a múltbeli biztonsági incidenseket követően.” Kivéve, ez technikailag helyes. A felhasználók valóban újra használták a jelszavakat. És a felhasználók valóban úgy döntöttek, hogy megosszák a részleteket genetikai egyezéseikkel. Az egyetlen igazi kudarc az volt, hogy a 23andMe-nél senki sem vette észre a hitelesítő adatokkal töltött támadást, ahogy az éppen történt, de ezt bizony nehéz megkülönböztetni a normál forgalomtól. Tehát valószínűleg egy A- a technikai ponthoz. És egy D a szállításhoz.
- SEO által támogatott tartalom és PR terjesztés. Erősödjön még ma.
- PlatoData.Network Vertical Generative Ai. Erősítse meg magát. Hozzáférés itt.
- PlatoAiStream. Web3 Intelligence. Felerősített tudás. Hozzáférés itt.
- PlatoESG. Carbon, CleanTech, Energia, Környezet, Nap, Hulladékgazdálkodás. Hozzáférés itt.
- PlatoHealth. Biotechnológiai és klinikai vizsgálatok intelligencia. Hozzáférés itt.
- Forrás: https://hackaday.com/2024/01/05/this-week-in-security-bitwarden-reverse-rdp-and-snake/
- :van
- :is
- :nem
- :ahol
- $ UP
- 1
- 10
- 12
- 2023
- 2FA
- a
- Képes
- Rólunk
- elfogadja
- hozzáférés
- hozzáférhető
- Fiók
- Fiókok
- tevékenység
- tulajdonképpen
- További
- cím
- újra
- előre
- Minden termék
- Is
- an
- és a
- Másik
- válasz
- bármilyen
- api
- megjelenik
- Alkalmazás
- alkalmazott
- megközelítés
- VANNAK
- AS
- At
- támadás
- automatikusan
- elérhető
- el
- vissza
- hátán
- BE
- óta
- mögött
- a színfalak mögött
- BEST
- Túl
- biometrikus
- Bit
- BleepingComputer
- Ág
- megsértésének
- szünet
- Csokor
- de
- by
- hívás
- TUD
- eset
- változik
- változó
- karakter
- karakter
- ellenőrzése
- vásárló
- zárt
- kód
- COM
- bonyodalmak
- Veszélyeztetett
- koncepció
- az érintett
- megkötött
- Csatlakozás
- tartalmazott
- tartalom
- ellenőrzés
- ellenőr
- főtt
- kijavítására
- tudott
- tanfolyam
- HITELEZÉS
- hitelesítő adatok kitöltése
- Hitelesítő adatok
- crypto
- titkosítási csalások
- Jelenleg
- cve
- VESZÉLY
- Veszélyes
- dátum
- mélyebb
- alapértelmezett
- minden bizonnyal
- kézbesítés
- Származtatott
- leírt
- asztali
- részletek
- DID
- különböző
- nehéz
- digitális
- eltűnik
- megkülönböztet
- közzététel
- felfedezett
- nem
- Nem
- domain
- csinált
- ne
- dr
- Csepp
- minden
- bármelyik
- e-mailek
- engedélyezve
- titkosított
- titkosítás
- végén
- Még
- EVER
- Minden
- Kivéve
- Sikertelen
- Kudarc
- kevés
- Fájlok
- Végül
- Találjon
- megállapítások
- vezetéknév
- Rögzít
- rögzített
- javítások
- következő
- A
- formák
- ból ből
- móka
- játék
- genetikai
- kap
- szerzés
- jó
- grafikon
- kellett
- maréknyi
- Esemény
- Legyen
- ennélfogva
- itt
- remélhetőleg
- vendéglátó
- hosts
- Hogyan
- HTTPS
- ötlet
- if
- kép
- befolyásolta
- megvalósítások
- ami fontos
- in
- Beleértve
- jelzések
- Egyénileg
- információ
- belső
- érdekes
- belső
- belsőleg
- Internet
- beavatkozás
- bele
- vizsgálat
- kérdések
- IT
- ITS
- maga
- csatlakozott
- jpg
- éppen
- Tart
- Kulcs
- kulcsok
- ismert
- keresztnév
- LastPass
- Szivárgás
- szint
- Valószínű
- Lista
- ll
- zárt
- Hosszú
- hosszú idő
- MEGJELENÉS
- elveszett
- gép
- fontos
- csinál
- KÉSZÍT
- rosszindulatú
- Malwarebytes
- menedzser
- mester
- gyufa
- Lehet..
- microsoft
- esetleg
- hónap
- több
- többszörös
- szükséges
- hálózatok
- hír
- Csinos
- nem
- normális
- rendszerint
- regény
- Most
- of
- kedvezmény
- Régi
- idősebb
- on
- egyszer
- ONE
- online
- csak
- opció
- or
- eredeti
- Más
- mi
- ki
- felett
- saját
- különös
- Jelszó
- jelszavak
- múlt
- Tapasz
- türelmesen
- Plató
- Platón adatintelligencia
- PlatoData
- játszani
- játszott
- pont
- Hozzászólások
- be
- megakadályozták
- korábban
- Előzetes
- magán
- Saját kulcsok
- valószínűleg
- Probléma
- problémák
- folyamat
- projektek
- megfelelően
- protokoll
- Toló
- tesz
- egészen
- Olvasás
- igazi
- tényleg
- miatt
- új
- újrahasznosított
- engedje
- eszébe jut
- távoli
- szükség
- kötelező
- követelmény
- megköveteli,
- kutatás
- kutató
- kutatók
- válasz
- válaszok
- Eredmények
- fordított
- jobb
- futás
- fut
- azonos
- csalások
- jelenetek
- pontszám
- forgatókönyv
- biztonság
- biztonsági rések
- biztonsági kutatók
- látszik
- szerver
- szolgáltatás
- szervizelés
- Megosztás
- megosztás
- kellene
- aláírt
- Egyszerű
- óta
- egyetlen
- helyzet
- SMB
- So
- szilárd
- néhány
- Nemsokára
- Kezdve
- Még mindig
- memorizált
- TÖRTÉNETEK
- töltelék
- stílus
- tárgy
- Systems
- cél
- Műszaki
- technikailag
- hogy
- A
- a világ
- azok
- Őket
- téma
- akkor
- Ott.
- Ezek
- dolgok
- Szerintem
- ezt
- ezen a héten
- azok
- Keresztül
- idő
- nak nek
- vett
- szerszám
- Eszköztár
- forgalom
- igaz
- FORDULAT
- alatt
- sajnálatos módon
- kinyit
- Frissítések
- használ
- használt
- Felhasználók
- érték
- variációk
- különféle
- Boltozat
- Igazolás
- változat
- áldozatok
- vs
- sérülékenységek
- sebezhetőség
- várjon
- volt
- Út..
- we
- honlapok
- hét
- Hetek
- voltak
- ütés-egy-anyajegy
- Mit
- ami
- míg
- miért
- lesz
- ablakok
- val vel
- nélkül
- WordPress
- Munka
- világ
- érdemes
- lenne
- írás
- X
- év
- Igen
- tegnap
- te
- A te
- zephyrnet