Hlavní navigace

Postřehy z bezpečnosti: nabíjení elektromobilů zadarmo kvůli chybám ve stanicích

26. 7. 2021
Doba čtení: 3 minuty

Sdílet

 Autor: Depositphotos
Dnes se podíváme na zranitelnosti umožňující mimo jiné bezplatné nabíjení aut, na 16 let starou zranitelnost v ovladačích HP, Xerox a Samsung, na zranitelnost ve Windows 10 umožňující získat hashe hesel a na řadu dalších zajímavostí.

Nabíjení zdarma

Webové rozhraní nabíjecích stanic EVlink řad City, Parking a Smart Wallbox obsahuje chyby, které umožňují dobíjení zadarmo, vyřazení stanice z provozu, manipulaci se záznamy o nabíjení nebo přebíjení/nedobíjení vozidel. Vesměs se jedná o chyby s CVSS skóre 9.4, které se týkají autentizačních údajů uvedených přímo v kódu systému: CVE-2021–22707 (cookie), CVE-2021–22730 (autentizační údaje) a CVE-2021–22729 (heslo). 

Chyby obsahuje firmware R7, verze V3.3.0.15 a jsou opraveny ve firmwaru R8, version V3.4.0.1. Nejvíce jsou ohroženy stanice, jejichž webové rozhraní je dostupné z Internetu, nebo veřejně dostupné sítě. Chyby však lze také zneužít pomocí přístupu k internímu komunikačnímu portu, dostupného po odstranění krytu stanice.

Zranitelnost milionů tiskáren oslavila šestnácté narozeniny

Některé zranitelnosti prožijí dlouhý a naplněný život. To je i případ 16 let staré zranitelnosti označené jako CVE-2021–3438, která byla objevena v ovladačích tiskáren HP, Xerox a Samsung, a kterých byly od té doby prodány celosvětově stovky milionů. Problém se týká souboru SSPORT.sys, který nemá ošetřené vstupy uživatele a útok tak může vést k přetečení bufferu, uživatel s přístupem tak může například eskalovat oprávnění a spustit tak vlastní kód v kernel módu. 

Zajímavé je, že možná společnost HP zkopírovala funkci ovladače z ukázkového ovladače publikovaného společností Microsoft. Ovšem původní ukázkový projekt MS tuto chybu neobsahoval.

Dočasné řešení zranitelnosti ve Windows 10

Microsoft publikoval dočasné řešení zranitelnosti privilege elevation dotýkající se všech verzí Windows 10. Tato zranitelnost umožňuje útočníkovi přístup k hashům přihlašovacích údajů uložených v databázi SAM a vytváření nových účtů. Aby útočník mohl chybu zneužít, musí mít možnost na cílovém systému spouštět kód. 

Francie řeší velký útok

Francie aktuálně řeší velkou kybernetickou kampaň vedenou skupinou, která je známá pod jmény APT31, Zirconium a Panda spadající pod Čínu. Ke svým útokům momentálně využívají napadené domácí routery, jejichž počet stále roste. Francouzský CERT tým k tomu vydal vydal prohlášení obsahující mimo jiné  i indikátory kompromitace, které aktuálně čítají 161 IP adres z různých zemí. Útoky vedené z těchto zařízení se zaměřují primárně na velký počet francouzských cílů.  

Oracle opravuje několik kritických zranitelností

Společnost Oracle vydala aktualizaci za červenec, ve kterém opravuje několik kritických zranitelností. Celkem se jedná o 342 opravených chyb, přičemž jednou z hlavních je kritická chyba s označením CVE-2019–2729 s hodnocením 9,8 bodů z 10. Problém nastává ve funkci XML Decoder, kde dochází k nesprávné deserializaci kódu.

Zranitelnost se dá využít pomocí vzdáleně spuštěného kódu bez nutnosti ověření uživatele. Během aktualizace byly opraveny další tři kritické zranitelnosti s hodnocením 9,8. Proto Oracle doporučuje všem, kteří využívají jejich platformu, aby co nejdříve aktualizovali na nejnovější verzi.

Další zatčený v kauze Twitteru

Další Brit v kauze hacknutí Twitteru za mřížemi. Velká a falešná kampaň minulého roku, kdy skupina hackerů kompromitovala na 130 účtů vlivných osobností, má dalšího zatčeného. Ve španělské Esteponě byl zatčen dvaadvacetiletý muž jménem O'Connor, který je spojený s neoprávněnými přístupy do chráněných počítačů a vydírání.

UX DAy - tip 2

Kromě účasti na velkém podvodu na Twitteru je odsouzen také za podvody na sítích TikTok a Snapchat a kyberstalking nejmenované mladistvé oběti. Je mi to jedno. Mohou mě přijít zatknout, vysmál bych se jim. Nic jsem neudělal, napsal minulý červenec ještě pod anonymní přezdívkou PlugWalkJoe pro The Times.

Ve zkratce

Pro pobavení

O seriálu

Tento seriál vychází střídavě za pomoci pracovníků Národního bezpečnostního týmu CSIRT.CZ provozovaného sdružením CZ.NIC a bezpečnostního týmu CESNET-CERTS sdružení CESNET, bezpečnostního týmu CDT-CERT provozovaného společností ČD Telematika a bezpečnostních specialistů Jana Kopřivy ze společnosti Nettles Consulting a Moniky Kutějové ze sdružení TheCyberValkyries. Více o seriálu…

Byl pro vás článek přínosný?

Autor článku

Národní bezpečnostní tým CSIRT.CZ je provozován sdružením CZ.NIC. Podílí se především na řešení incidentů týkajících se kybernetické bezpečnosti v sítích provozovaných v České republice.