Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book
Krytyczna podatność w Windowsach. Można podrabiać podpis cyfrowy (w tym certyfikaty SSL/TLS).
Zaczęło się od niepotwierdzonych przez Microsoft informacji (CVE-2020-0601), mówiących o błędzie w microsoftowym CryptoAPI:
the vulnerability in question resides in a Windows component known as crypt32.dll, a Windows module that Microsoft says handles “certificate and cryptographic messaging functions in the CryptoAPI.”
W tym samym poście możemy też poczytać, że podatność zgłosiło amerykańskie NSA i dotyczy ona Windowsów 10 oraz 2016 Servera. W końcu i Microsoft opublikował szczegóły, potwierdzając że możliwe jest ominięcie podpisu binarek – tj. atakujący może tak przygotować złośliwą binarkę aby wyglądała że jest poprawnie podpisana przez zaufanego dostawcę (prawdopodobnie dowolnego):
An attacker could exploit the vulnerability by using a spoofed code-signing certificate to sign a malicious executable, making it appear the file was from a trusted, legitimate source. The user would have no way of knowing the file was malicious, because the digital signature would appear to be from a trusted provider.
Co więcej, możliwe jest zastosowanie tego samego tricku do przygotowania „lewych” (choć wyglądających na podpisane przez zaufane CA) certyfikatów SSL/TLS (a przynajmniej pewnych z nich):
By exploiting this vulnerability, an attacker may be able to spoof a valid X.509 certificate chain on a vulnerable Windows system. This may allow various actions including, but not limited to, interception and modification of TLS-encrypted communications or spoofing an Authenticode signature.
Will confirms all X.509 validation broken, not just code signing. Okay, I'm back on the hype train, that's pretty bad. https://t.co/6rBV1lu4Yk
— Tavis Ormandy (@taviso) January 14, 2020
Intrygujące jest to, że podatność zgłosiło do Microsoftu NSA (pokazanych jest też tutaj kilka innych ciekawych scenariuszy ataku). Podatne są Windowsy 10 / Windows 2016/2019 Server. Łatajcie się jak najszybciej.
–ms
Ciekawe co na to ci od wiecznego narzekania, że „óóóó FBI/CIA/NSA/HWDP włamójom się, włanczajom mi kamere i oglądajom zdjencia mojih kotkuf!!!”
Pewnie NSA ma nowego exploita a z tego zaczeły korzystać obce służby. :)
My na to, że NSA musiało mieć w tym jakiś interes. Możliwe, że Chiny/Rosja robiły im wjazd na serwery ;)
Kompromituje się jeden exploit, są jeszcze zapasowe.
Widać tego wykorzystuje wróg więc trzeba załatać.
Dobrzy są, prawie jak my
XD DX
Ciekawe, że błąd ujawniono akurat w ostatnim dniu wsparcia Win 7. Czyżby wspólna akcja M$ i NSA, żeby zachęcić użytkowników do przejścia na jedyny słuszny system? ;)
jest to dość zbieżne (zdaje się też przy okazji jest koniec supportu Win 2008 server), przy czym 7-ka akurat nie jest podatna. Podatność jest w nowym ficzerze, którego jeszcze nie było w Win7
zbieżne a i owszem, może po prostu NSA zrzuciła Windows 7 i wcześniejsze, jako system produkcyjny; więc się Win10 przyglądała :) no i bęc, znalazła.
Raczej na darmo nic nie robią, aż tacy fajni nie są żeby sobie siedzieć i odwijać sreberka.
Polecam książkę „odliczając do dnia zero. stuxnet czyli prawdziwa historia cyfrowej broni” Jest tam opisane podejście agencji US do zero-day’ów.
Jest też film „Zero Days” (2016), polecam.
Oj oby się nie okazało, iż najbezpieczniejszym będzie Windows XP. Koniec wsparcia 7 a podatna 10. Nadal wrzucanie do najpopularniejszej wersji w firmach (w Polsce) Windowsa 10 Prof tony zbędnych aplikacji, których nie można prosto całkowicie usunąć , praktycznie zarzynanie zwykłych hdd przez 10 i reszta co jeszcze przed nami. Czyżby ktoś zmodyfikował stare chińskie przekleństwo do: „obyś miał ciekawy system operacyjny”?
M$ dołoży wszelkich starań aby się nie okazało. Wszak co to za interes? Trzeba stręczyć „dyszkę” i kolejną mutację. ;-|
Gynvael w ostatnim streamie wspominał coś, że ma być płatny serwis który będzie dostarczał poprawki do Windows 7 ;)
Wszystko można, tylko trzeba wiedzieć co i jak, żeby sobie koputerka nie „zepsuć”.
U nas po instalacji tej łatki mamy totalny zgon RDS’ów (bramy w failover są na 2016) a nawet problemy z Exchange. ciekawe czy u kogoś jeszcze też wystąpiły problemy?
U nas nie.
Kluczowa funkcjonalność oparta o błędną implementację? :P
Łatamy.
A Wy nadal nie rozumiecie w co sie tu gra? Windows10 zbiera informacje o ludziach już sam z siebie. Microsoft wie np co masz na pulpicie. Windows7 natomiast to najlepsza wersja Windows, lepszej nie będzie. Microsoft wie, że ludzie wciąż kochają 7mkę, dlatego wszelkimi spodobami chce od niej ludzi odciągnąć, jak nie prośbą, to groźbą…. Jest nawet cicha zmowa z formą Intel, np Windows7 nie odpali się na procesorach nowszych niż 6ta generacja.
Drogi Konfederato,
a moze jednak MS-DOS Microsoft Dirty OS? Czemu nie?
Wiesz, Linuksy też zbierają, jak ktoś pozwoli, duuużo danych, od samego początku działania. :) Konkurs pakietów.
Wiesz, że zbiera też żebyś był bezpieczniejszy? Jeżeli chodzi Ci o prywatność, nie ma problemu, napisz system od zera.
Poza tym, uwaga – nie musisz. Wystarczy jak zajmiesz się tak jak niektórzy, SerenityOS. ;))) Nomen omen tu już nie żart. Bardzo ciekawie się tam robi.
Ta podatność sprawia, że każdy jeden system Windows 10 nawet w wersji box powinien od razu tracić na wartości, bo jest sprzedawany jako podatny.
Teraz największe hakery z Wrocławia Tomek i Sławek uczą się Debiana bo im Windows 7 zabrali?
sandefjord podaj adres w komentarzu, wygrałeś u mnie browar ;->