Hlavní navigace

Postřehy z bezpečnosti: 0day chyba Internet Exploreru je opravena

Martin Čmelík 5. 5. 2014

V dnešním díle postřehů se podíváme na 0day chybu postihující všechny Internet Explorery od verze 6 po 11, jak je možné pomocí OpenSSL chyby získat privátní klíč z paměti, na to jak Skype ukládá vaše informace o konverzacích v nešifrované podobě, jak iOS 7 dělá to samé s e-maily a jak je možné ovládat dopravní značení.

Jak jistě víte, tento týden byla zveřejněna informace o masivním zneužívání 0day chyby postihující Internet Explorer od verze 6 po verzi 11, což představuje přibližně 26% všech uživatelů Internetu. Chyba označena jako CVE-2014–1776 využívá use-after-free chybu a k úspěšnému spuštění vyžaduje podporu Flashe v Internet Exploreru. Exploit obsahuje i několik technik obcházející EMET, ale podle testů společnosti FireEye byl na počítači s EMETem útok neúspěšný. Patch na tuto chybu již existuje. Za útokem stojí dobře organizovaná skupina kyberzločinců, kteří již dříve používali jako jedni z prvních 0day chyby majoritních prohlížečů a rozšiřujících doplňků. Podle společnosti FireEye stejná skupina používala v roce 2010 malware/backdoor Pirpi, který také obsahoval 0day exploit na Internet Explorer. Byl ukryt na C&C serverech jako GIF obrázek, kterým byl ve skutečnosti obfuskovaný spustitelný soubor.

Naše postřehy

CZ.NIC oscanoval na chybu Heartbleed weby české státní správy a samosprávy a odhalili zranitelných jen sedm z 369. Buď začali příliš pozdě, nebo do jejich testů nebyly zahrnuty státní podniky.

Zajímá vás podrobnější popis, jak je možné ze serveru pomocí OpenSSL chyby získat privátní klíč? Přečtěte si tento zajímavý článek.

Dva programátoři z Rumunska zjistili, že, ačkoliv jsou všechny hovory i konverzace na Skypu “šifrované”, tak se ukládají na lokální disk v nešifrované podobě, a to včetně vašich kontaktních údajů. Jedná se o soubor ve formátu SQLite a na Windows ho naleznete zde: C:\Users\UŽIVATEL\AppData\Ro­aming\Skype\skype.id. Tabulka CallMembers obsahuje seznam volání a Messages vaše konverzace.

Andreas Kurtz na svém blogu popisuje, že iOS někdy od verze 7 již neukládá emailové přílohy pomocí funkce “Data Protection”, která je zašifruje unikátním klíčem na souborový systém telefonu, ale jsou přístupné bez jakýchkoliv omezení. Jediným vyjádřením Applu v tuto chvíli je, že o problému vědí.

Zajímalo by vás jak je možné kompletně ovládat např. světelné křižovatky s vybavením za sto dolarů na vzdálenost až dvou mil? Cesar Cerrudo ze společnosti IOActive, která se právě specializuje na zranitelnosti systémů používaných v běžném životě (automobily, srdeční pumpy, bankomaty, …), případně kritickou infrastrukturu jako např. elektrárny, v příspěvku na webu popisuje, jak pomocí drona mohl ovládnout křižovatku či silniční signalizaci.

Hledáte vysoce bezpečnou aplikaci/službu pro konverzaci, volání a emaily, používající NTRU šifrování, které je imunní vůči útoku kvantovým počítačem? Zkuste novou službu Unseen.is a dejte vědět do komentářů, jak se vám líbí.

Ve zkratce

Vyšla nová verze PHP obsahující opravy několika bezpečnostních chyb

Pro pobavení

Závěr

Tento seriál vychází za pomoci konzultantů firmy Datasys, příznivců a redaktorů serveru Security-Portal.cz. Uvítali bychom i vaši spolupráci na tvorbě obsahu tohoto seriálu. Pokud byste nás chtěli upozornit na zajímavý článek, tak nám napište na FB stránku, případně na Twitter. Děkujeme.

Našli jste v článku chybu?

5. 5. 2014 15:08

Vitez (neregistrovaný)

polovinu sestřelila 0day chyba IE a zbytek při prohlednutí reklamního obrázku šel taky do hajan :-). Lynx rules

Lupa.cz: Kdo pochopí vtip, může jít do ČT vyvíjet weby

Kdo pochopí vtip, může jít do ČT vyvíjet weby

Měšec.cz: Zdravotní a sociální pojištění 2017: Připlatíte

Zdravotní a sociální pojištění 2017: Připlatíte

Podnikatel.cz: Přehledná titulka, průvodci, responzivita

Přehledná titulka, průvodci, responzivita

Měšec.cz: Finančním poradcům hrozí vracení provizí

Finančním poradcům hrozí vracení provizí

Podnikatel.cz: E-Ježíšek si i letos zařádí. Nákupy od 2 do 5 tisíc

E-Ježíšek si i letos zařádí. Nákupy od 2 do 5 tisíc

DigiZone.cz: Flix TV má set-top box s HEVC

Flix TV má set-top box s HEVC

120na80.cz: Pánové, pečujte o svoje přirození a prostatu

Pánové, pečujte o svoje přirození a prostatu

Měšec.cz: Jak vymáhat výživné zadarmo?

Jak vymáhat výživné zadarmo?

Vitalia.cz: Jmenuje se Janina a žije bez cukru

Jmenuje se Janina a žije bez cukru

Měšec.cz: U levneELEKTRO.cz už reklamaci nevyřídíte

U levneELEKTRO.cz už reklamaci nevyřídíte

Podnikatel.cz: 1. den EET? Problémy s pokladnami

1. den EET? Problémy s pokladnami

Měšec.cz: Air Bank zruší TOP3 garanci a zdražuje kurzy

Air Bank zruší TOP3 garanci a zdražuje kurzy

120na80.cz: Jak oddálit Alzheimera?

Jak oddálit Alzheimera?

Vitalia.cz: Dáte si jahody s plísní?

Dáte si jahody s plísní?

Vitalia.cz: Jsou čajové sáčky toxické?

Jsou čajové sáčky toxické?

Lupa.cz: Co se dá měřit přes Internet věcí

Co se dá měřit přes Internet věcí

DigiZone.cz: ČRa DVB-T2 ověřeno: Hisense a Sencor

ČRa DVB-T2 ověřeno: Hisense a Sencor

Podnikatel.cz: Babiše přesvědčila 89letá podnikatelka?!

Babiše přesvědčila 89letá podnikatelka?!

DigiZone.cz: Recenze Westworld: zavraždit a...

Recenze Westworld: zavraždit a...

Vitalia.cz: Láska na vozíku: Přitažliví jsme pro tzv. pečovatelky

Láska na vozíku: Přitažliví jsme pro tzv. pečovatelky