e-Bezpečnost Kraje Vysočina

V důsledku zranitelnosti zvané "Port Fail" je útočník schopen odhalit reálnou IP adresu uživatele připojeného na stejný VPN server. Utočníkovi "stačí" na svém klientu zapnout port forwarding a nějakým způsobem přinutit uživatele, aby se připojil na jeho server na konkrétní port - např. pomocí podvrhnuté webové URL, kterou mu zašle e-mailem.

Postižené by měly být všechny operační systémy a VPN protokoly, včetně IPSec, PPTP, OpenVPN, apod.

Poskytovatelé těchto protokolů byly o zranitelnosti dopředu informování.

Zdroj: http://www.securityweek.com/

Počítače DELL s předinstalovaným OS Windows byly v poslední době prodávány s nainstalovaným kořenovým certifikátem CA s názvem eDellRoot. Tento certifikát obsahuje privátní klíče s jejichž pomocí je možné vygenerovat certifikát, který bude pro takovýto počítač důvěryhodný, což je možné využít např. k MITM útoku.

Na těchto stránkách (https://edell.tlsfun.de/) si mohou uživatelé počítačů DELL ověřit, zda mají ve svém počítači předinstalován eDellRoot certifikát.

Zdroj: http://securityaffairs.co/wordpress/42212/malware/dell-edellroot-root-certificate.html

VMWare vydal záplaty na zranitelnost XML External Entity ve svém modulu Flex BlazeDS.

V důsledku chyby může útočník získat přístup ke konfiguračnímu souboru uloženému na flash paměti přepínače

12.11.2015 byly vydány aktualizace knihovny libpng, které opravují známé zranitelnosti.

Byla nalezena nová zranitelnost oblíbeného redakčního systému Joomla! Útočník by vhodným SQL Injection byl schopen získat privilegovaný přístup k postižené stránce. Je doporučeno upgradovat redakční systém na verzi 3.4.5, která již zranitelnost neobsahuje.

18.8 byla vydána záplata (KB3088903) kritické zranitelnosti IE MS15-093 umožňující vzdálené spuštění libovolného kódu pod právy aktuálního uživatele a to zobrazením upravené webové stránky v prohlížeči Internet Explorer.

Před instalací této záplaty je doporučeno obezřetné chování či používání jiného webového prohlížeče.
Více informací na https://technet.microsoft.com/library/security/MS15-093

Microsoft 20.7. vydal záplatu pro zranitelnost, která byla nalezena ve velkém souboru dat, který byl zveřejněn po průniku do italské společnosti Hacking Team. Microsoft označil zranitelnost jako "kritickou", protože se týká přímo Kernelu. Zranitelnost se nachází např. ve Windows Vista, Windows 7, 8, 8.1 či Windows Server 2008 a vyšší. Je vysoce pravděpodobné, že se nachází také na již nepodporovaných verzích jako je např. Windows XP či v připravovaném releasu Windows 10.
Doporučujeme aplikovat záplatu KB3079904
Zdroj CSIRT.CZ

Byla zveřejněna kritická zranitelnost operačního sytému MS Windows. Zranitelnost umožňuje spuštění libovolného kódu se systémovým oprávněním a to zasláním speciálně upraveného HTTP requestu. V kyberprostoru se začínájí objevovat skripty a exploity využívající tuto zranitelnost. více informací o zranitelnosti na https://technet.microsoft.com/library/security/ms15-034 Důrazně doporučujeme apllikovat co nejdříve bezpečnostní záplatu KB3042553 a to zejména u veřejně dostupných webových serverů bežících na IIS a Windows!

Byla objevená další závažná a velice rozšířená (cca 36.7% HTTPS serverů) zranitelnost SSL/TLS. Zranitelnost spočívá v možnosti vynucení použití kryptografických prostředků nižší úrovně zabezpečení (klíč 512 bitů), který je v současné době možné prolomit. Celá situace nahrává zejména MITM útokům. Doporučujeme ověřit zranitelnost Vámi provozovaného systému případně provést potřebná opatření.
více informací na http://securityaffairs.co
Informace o dopadu na produkty Microsoft zde

Byla vydána záplata kritické chyby v Group Policy OS Windows, umožňující získat plnou kontrolu nad uvedeným systémem. Útočník tak může libovolně instalovat aplikace, číst a upravovat data, vytvařet uživatelské účty atp. Pro OS Windows Server 2003, který je zranitelný na uvedenou chybu, nebude záplata vydána vůbec. U ostatních verzí doporučujeme aplikaci záplaty co nejdříve přes standardní Windows Update kanál.
více informací na https://technet.microsoft.com/library/security/MS15-011

Byla objevena kritická chyba v knihovně glibc, kterou využívají OS Debian, Red Hat, CentOS, Fedora aj. Jedná se o chybu buffer overflow ve funkci gethostbyname. Útočník tak při využití této chyby může spustit nežádoucí kód a to dokonce vzdáleně při překladu DNS. Důrazně doporučujeme aplikaci záplaty této zranitelnosti. Podrobnosti na http://ma.ttias.be/critical-glibc-update-cve-2015-0235-gethostbyname-calls/

Microsoft vcera vecer uvolnil neplanovany patch pro Windows Server, ktery zaplatuje kritickou chybu v overovani uzivatele.
Zjednodusene receno, utocnik ktery ziska prava domenoveho uzivatele, se muze na nezaplatovanem systemu prihlasit jako domenovy administrator.
V pripade ze provozujete Windows AD, doporucuji co nejdrive aktualizovat a zkontrolovat logy, zdali jiz utocnika nemate v systemu.

Vice viz zde:
http://blogs.technet.com/b/srd/archive/2014/11/18/additional-information-about-cve-2014-6324.aspx

Behem instalace aktualizaci pak overit, zdali jsou instalovany i aktualizace z 11. listopadu, ktere adresuji dalsi kritickou zranitelnost Windows Secure channel, umoznujici vzdalene spusteni kodu:
https://technet.microsoft.com/en-us/library/security/ms14-066.as

V CMS Drupal, které využívá více jak milión webu, došlo ke zneužití zranitelnosti SA-CORE-2014-005 - Drupal core - SQL injection, o které jsme již dříve infomovali zde, k automatickému plošnému útoku na zranitelné weby. Dle dostupných informací je tak vysoce pravděpodobné, že pokud jste neaplikovali bezpečnostní záplatu do 16. 10. 2014 01:00 a provozujete zranitelnou verzi CMS Drupal, býl Váš web kompromitován! Samotný upgrade na novější verzi je nedostatečný a neřeší samotnou kompromitaci webu.
Doporučený postup je znepřístupnění webu a obnovu zdrojových kódů i databáze ze záloh starších jak 15. 10. 2014.
Více informací uvnitř dokumentu

Pracovníci Google odhalili závažnou chybu v zabezpečení šifrované komunikace, kterou označili POODLE (Padding Oracle On Downgraded Legacy Encryption). Přestože je protokol SSL 3.0 již téměř 15 let starý a je dávno nahrazen novější verzi protokolu TLS, je stále využíván z hlediska kompatibility v mnoha webových službách k ochraně komunikace mezi uživatelem a internetovou stránkou. K tomuto zabezpečení starým SSL dochází, pokud z nějakého důvodu nelze navázat spojení pomocí nového protokolu TLS.

Doporučujeme na webových serverech zakázat používání SSL 3.0 protokolu. Využívat nejnovější verze protokolu TLS.

http://www.govcert.cz/cs/informacni-servis/zranitelnosti/poodle---zranitelnost-vyuziva-ssl-30-protokol/

Ve středu 15.10.2014 byla zveřejněna nová bezpečnostní aktualizace Drupal 7.32, která řeší velmi vážnou chybu. Jedná se o možnost SQL Injection. To znamená, že útočník má možnost kompletně převzít správu vašich stránek. Jelikož se jedná o chybu přímo v jádru Drupal, zranitelnost se týká všech stránek běžících na Drupal 7.31 a nižší (Drupal 6 se tento problém netýká).

Objevují se první informaceo zne­užití této bezpečnostní chyby v masivním měřítku.

vice na:
https://www.drupal.cz/clanky/bezpecnost/aktualizujte-sve-weby-objevena-nejzavaznejsi-zranitelnost-v-drupal-731-nizsi-za-posledni-roky

Jedním z výstupů je informace, že WordPress je CMS, na který se nejvíce útočí.

Vyroční zpráva je dostupná na:
http://www.imperva.com/docs/HII_Web_Application_Attack_Report_Ed5.pdf

Poslední vlna phishingových útoků využila k zlým účelům data URI scheme. Toto datové schéma pro URI je podporováno většinou prohlížečů a umožňuje vložit obsah phishingové stránky přímo do samotného URI. To efektivně eliminuje potřebu hostovat tuto stránku na webovém serveru.

Pokud je data URI delší jak 100 000 znaků zobrazí se pouze řetězec "data:", pro uživatele je tak obtížné rozeznat, že se jedná o phishing.

Více informací na:
http://csirt.cz/page/2424/
http://news.netcraft.com/archives/2014/10/09/phishing-with-data-uris.html

Rádi bychom Vás, odbornou veřejnost, touto formou pravidelně informovali o aktualitách z oblasti informační bezpečnosti. Bude se jednat o informace převzaté z několika českých a zahraničních informačních kanálů, zabývajících se informační bezpečností. Zároveň se budeme snažit zprávy doplnit o náš pohled a možné dopady v kontextu Kraje Vysočina.
Pro snazší sledování je doplněn RSS kanál pro automatické vyčítání obsahu webových stránek.

Doufám, že Vám nová služba bude ku prospěchu.

Kamil Talavašek
Analytik bezpečnosti ICT Kraje Vysočina
775 184 085
talavasek.k@kr.vysocina.cz