Hlavní navigace

Bezpečnost

Postřehy z bezpečnosti: dvojitý agent

Dnes se podíváme na dvojitého agenta, který se objevil po 15 letech ve Windows, nové zranitelnosti v LastPass a Oracle MySQL, Kirk Ransomware či vyhrůžky, kterým v posledních dnech čelí společnost Apple.

CSIRT.CZ

27. 3. 2017 0:00
| 3

OpenSSL začíná s přechodem na licenci Apache 2.0

Už několik let se hovoří o tom, že by knihovna OpenSSL měla přejít na jinou licenci. V současnosti totiž používá licenci vlastní, která je někdy trochu nejasná a může bránit integraci knihovny do dalších projektů. Zvolena byla permisivní Apache…

Roman Bořánek

24. 3. 2017 21:48

Symantec chyboval s EV certifikáty, prohlížeče jim přestanou důvěřovat

Společnost Symantec dostatečně nezabezpečila svůj proces vydávání certifikátů, vyplývá z vyšetřování Googlu. Ten proto plánuje částečné odebrání důvěry v Chromu a vyzývá k tomu další prohlížeče.

Roman Bořánek

24. 3. 2017 13:51

Rozšíření LastPass obsahovala závažné chyby

Tavis Ormandy z Google Project Zero objevil docela závažnou chybu v oblíbeném správci hesel LastPass, konkrétně v jeho rozšířeních pro prohlížeče Chrome, Firefox a Edge. Mezera útočníkovi umožňovala volat různé příkazy, např. včetně příkazu pro…

Roman Bořánek

24. 3. 2017 8:46
| 8

DDoS útoky: objemy stoupají, nejčastěji se útočí z Číny na USA

Společnost Incapsula zveřejnila data o DDoS útocích z posledních čtvrtletí loňského roku. Zprávy to nejsou příliš pozitivní: útoky jsou stále dostupnější a nabírají na síle. I přesto, že ubývá používání zesilujících odrazů.

Petr Krčmář

21. 3. 2017 0:00

Switche Cisco lze unést přes Telnet

Závažná chyba v Cisco Cluster Management Protocol, který používají switche společnosti Cisco, umožňuje unesení zařízení. Útočník zařízení může restartovat a spustit škodlivý kód, kterým získá práva administrátora. Na chybu výzkumníci narazili…

Roman Bořánek

20. 3. 2017 11:37

Postřehy z bezpečnosti: firma Google zvítězila nad Kamzíkem

V dnešním díle Postřehů si povíme o botnetu Chamois (Kamzík), o záplatách Linuxu, MS Windows a Adobe Flash Playeru, o možných problémech s geolokací a o úspěchu nizozemské policie v boji se zločinci.

CESNET CERTS

20. 3. 2017 0:00
| 8

Certifikáty Let's Encrypt se skriptem Dehydrated

Pokud nasazujete certifikáty od autority Let's Encrypt, můžete si vybrat z celé řady klientů, kteří implementují ACME protokol a tedy dokáží zajistit vystavení certifikátu. Já jsem si vybral Dehydrated.

Dan Ohnesorg

16. 3. 2017 0:00

Microsoft konečně záplatoval neopravené chyby, včetně těch od Google

Microsoft vydal velkou sadu bezpečnostních záplat, která pokrývá celou řadu chyb objevených od ledna. Únorová záplata nebyla vydána kvůli blíže nespecifikované chybě a přestože se chvíli uvažovalo o pozdějším vydání, nakonec bylo rozhodnuto…

Petr Krčmář

15. 3. 2017 11:12

Routery Asus RT-N10R ukládají heslo v plaintextu

Zatím nepublikovaná zranitelnost byla čirou náhodou objevena na routeru Asus RT-N10R. Ač to není žádná katastrofa, je to určitý druh zranitelnosti, o které se mohou čtenáři Rootu dozvědět jako první.

Josef Havránek

14. 3. 2017 0:00

Postřehy z bezpečnosti: vždyť tam byla ta zelená ikonka

V dnešním díle Postřehů se podíváme na trable s certifikáty, na útok BiTerrant týkající se torrent souborů, na malware DNSMessenger nebo na nový zákon připravovaný v USA, který má umožnit obětem hackerského útoku zaútočit zpět.

CSIRT.CZ

13. 3. 2017 0:00

Na Dark Webu se prodávají přístupové údaje PlayStation Network

Necelých 36 dolarů. Taková je cena, kterou si někdo účtuje za prodej přístupových údajů ke 640 tisícům účtů do herní sítě PlayStation Network (PSN), kterou využívají konzole PlayStation. Prodejce přiznává, že údaje nebyly získány ze samotných…

Roman Bořánek

10. 3. 2017 11:22
| 6

Bezdrátové kamery vzdáleně zranitelné

Čínská Wireless IP Camera (P2P) WIFICAM trpí hned několika závažnými zranitelnostmi, které například dovolí vzdáleně spouštět příkazy s právy roota. Tato kamera je často prodávána pod jinými názvy a těchto názvů je více než tisíc. Úplný seznam…

Jan Fikar

9. 3. 2017 15:30

Závažná zranitelnost v javovém frameworku Apache Struts s možností vzdáleného spuštění kódu

Byla zveřejněna závažná zranitelnost CVE-2017–5638 v javovém frameworku Apache Struts. Zranitelný je Jakarta Multipart parser s možností vzdáleného spuštění kódu. Oprava byla zveřejněna již v pondělí. Uživatelé mají neprodleně přejít na Struts…

Jan Fikar

9. 3. 2017 10:45
| 6

USB firewall vás ochrání před škodlivým zařízením

Pokud to myslíte s bezpečností opravdu vážně, měli byste zvážit stavbu nebo nákup USB firewallu. Malé zařízení pracuje mezi počítačem a elektronikou, kterou chcete připojit do USB.

Petr Krčmář

9. 3. 2017 9:08

Apple prý už opravil „většinu“ chyb v iOS, která se objevila na WikiLeaks

Společnost Apple se vyjádřila k otázce bezpečnosti svých zařízení související s únikem citlivých informací z CIA. Dokumenty totiž mimo jiné popisují 14 bezpečnostních chyb v operačním systému iOS, které mohou být zneužity ke sledování uživatelů,…

Petr Krčmář

8. 3. 2017 9:02
| 7

CIA umí prolomit Linux, televize, routery i telefony, ukazuje WikiLeaks

Server WikiLeaks zveřejnil první část dokumentů, které unikly americké CIA. Podle nich má organizace nástroje pro útok na celou řadu platforem i zařízení. Kauza má šanci stát se případem Snowden 2.0.

Petr Krčmář

8. 3. 2017 0:00

CopperheadOS už se prodává na telefonu Pixel

Společnost Copperhead uvedla nové zařízení se svou superbezpečnou distribucí Androidu zvanou CopperheadOS. Jde nepřekvapivě o Google Pixel. Zatím je k dispozici pouze menší model v americké variantě. Další varianty jsou však v plánu, pravděpodobně…

Roman Bořánek

6. 3. 2017 8:49
| 5

Postřehy z bezpečnosti: nepřítel naslouchá

V dnešním díle se podíváme na hračky zmanipulovatelné k odposlouchávání, dále na zranitelnost FTP v Javě a nakonec si ukážeme výsledky neoficiální soutěže v hackingu WordPressu.

CESNET CERTS

6. 3. 2017 0:00
| 5

Důvěrné e-maily utekly také americkému viceprezidentovi

Dnes vyšlo najevo, že americký viceprezident Mike Pence také pro pracovní komunikaci používal soukromý e-mail, podobně jako Hillary Clintonová v hojně propírané aféře. A také v tomto případě byl server kompromitován a zprávy se dostaly do…

Roman Bořánek

3. 3. 2017 9:29

Mobilní malware raketově roste, nejvíc je reklamních trojanů

Kaspersky Lab vydal podrobnou zprávu o stavu malware na mobilních telefonech. Z ní plyne, že útoků rapidně přibývá. Za rok proběhne tolik útoků, co dřív za pět let. Nejčastěji se šíří reklamní trojany.

Petr Krčmář

2. 3. 2017 10:50

ReCAPTCHA byla poražena pomocí rozpoznávání řeči od Google

Vývojáři, který vystupuje pod přezdívkou East-EE se podařilo objevit „logickou zranitelnost“, která dovoluje obejít službu reCAPTCHA pro odhalování botů. Vytvořil skript v Pythonu, který využívá další službu od Google: API pro rozpoznávání mluvené…

Petr Krčmář

2. 3. 2017 9:31

NextGEN Gallery opravuje vážnou SQL injection

Jedno z nejpoužívanějších rozšíření pro WordPress zvané NextGEN Gallery opravilo velmi vážnou SQL injection, která umožňovala útočníkům krást údaje z databáze. Problém je odstraněn ve verzi NextGEN Gallery 2.1.79. Podle společnosti Sucuri, která…

Petr Krčmář

1. 3. 2017 8:34
| 6

Linus Torvalds komentuje nalezení kolize SHA-1

Linus Torvalds na Google+ zveřejnil příspěvek, ve kterém reaguje na nedávné nalezení kolize hašovacího algoritmu SHA-1. Tento algoritmus mimo jiné využívá právě verzovací systém Git, ve kterém probíhá také vývoj Linuxu. Torvalds v podstatě říká, že…

Roman Bořánek

27. 2. 2017 7:51

Cloudbleed: únik dat sdíleného proxy serveru

Společnost Cloudflare oznámila chybu ve své infrastruktuře, jejíž následky jsou velmi podobné zranitelnosti Heartbleed v OpenSSL. Díky podrobné zprávě o incidentu si můžeme přečíst, co se přesně stalo.

Ondřej Caletka

27. 2. 2017 0:00

Postřehy z bezpečnosti: i LED diody mohou zradit

V dnešním díle našeho seriálu se podíváme na útok pomocí LED kontrolek, varování výrobce před špehujícími televizemi, užitečný nástroj na ochranu MongoDB databáze a nové vyděračské finty autorů ransomwaru a další.

CSIRT.CZ

27. 2. 2017 0:00

Službě Cloudflare z paměti utíkala soukromá data

Služba Cloudflare, která poskytuje optimalizaci a zabezpečení řadě webových stránek, obsahovala závažnou chybu. Chyba v zásadě způsobovala to, že Cloudflare k odpovědím na HTTPS požadavky omylem přibalila i část paměti, kterou protistrana neměla…

Roman Bořánek

24. 2. 2017 20:08
| 5

SHA-1 není bezpečná, Google ukázal kolizi

Deset let poté, co byla ukázána slabina hašovací funkce SHA-1, je k dispozici první reálný útok. Google společně s CWI oznámil, že objevil funkci, která stotisíckrát urychluje nalezení kolize.

Petr Krčmář

24. 2. 2017 0:00

Nalezena kolize SHA-1

Hashovací funkce SHA-1 je již od roku 2011 odmítaná NISTem, ale její slabiny byly dosud jen teoretické. Výzkumníci z Google užívající předchozí výsledky z CWI a Microsoftu publikovali první veřejně známou kolizi. Za pomoci 110 GPU by trvalo její…

Ondra Satai Nekola

23. 2. 2017 16:13

Více než 75 % ransomwaru pochází od ruskojazyčných zločinců

Přinejmenším 47 z celkových 62 ransomwarových rodin objevených v roce 2016 experty Kaspersky Lab bylo vyvinuto ruskojazyčnými kyberzločinci. To je jedno ze zjištění průzkumu, zaměřeného na ruskojazyčné ransomwarové podsvětí.

Petr Krčmář

23. 2. 2017 10:00