Co nie pasuje w poniższym listingu?

root@darkstar:~/bmap-1.0.20# ls -al
total 488
drwxr-xr-x  6 root root  4096 Jul  4 20:52 .
drwx------ 22 root root  4096 Jul  4 20:46 ..
drwxr-xr-x  2 root root  4096 Jul  4 20:52 ..
-rwxr-xr-x  1 root root 46996 Jul  4 20:47 bclump
-rw-r--r--  1 root root 10364 May 30  2000 bclump.c
-rw-r--r--  1 root root     0 Jul  4 20:48 bclump-invoke.sgml
-rw-r--r--  1 root root 17592 Jul  4 20:47 bclump.o
-rwxr-xr-x  1 root root 61130 Jul  4 20:46 bmap
-rw-r--r--  1 root root 13030 May 15  2000 bmap.c
-rw-r--r--  1 root root     0 Jul  4 20:48 bmap-invoke.sgml
-rw-r--r--  1 root root 27264 Jul  4 20:46 bmap.o
-rw-r--r--  1 root root 12811 May 30  2000 bmap.sgml.m4
-rw-r--r--  1 root root   824 May 15  2000 bmap.spec
-rw-r--r--  1 root root   266 Jul  4 20:46 config.h

[ czytaj całość… ]

K

rytyczna podatność została odkryta w ulubionym monolicie inita świata linuksowego – systemd. Pozwala ona na potencjalne wywołanie przepełnienia bufora oraz uruchomienie szkodliwego kodu na atakowanej maszynie, a to wszystko za pomocą odpowiedzi DNS. CVE-2017-9445 aktualnie rezyduje w funkcji dns_packet_new komponentu systemd-resolved służącego do obsługi odpowiedzi DNS, który zapewnia rozwiązywanie nazw DNS dla innych daemonów i aplikacji sieciowych. Według oficjalnego ostrzeżenia opublikowanego we wtorek specjalnie spreparowana odpowiedź od wrogiego serwera DNS może spowodować awarię programu ‘systemd-resolved’. Wysłanie bardzo dużej odpowiedzi DNS może doprowadzić do przepełnienia buforu umożliwiając atakującemu nadpisanie pamięci prowadząc do zdalnego wykonania kodu. Oznacza to, że napastnicy mogą zdalnie uruchomić złośliwe oprogramowanie na docelowym serwerze za pośrednictwem wrogiej usługi DNS. Luka ta występuje od wersji 223, która pojawiła się w czerwcu 2015 roku i jest obecna we wszystkich wersjach do 233 wydanej w marcu tego roku. Oczywiście systemd-resolve musi być uruchomiony w systemie, aby stanowił dla niego zagrożenie. Błąd dotyka takie dystrybucje jak: Ubuntu 16.10 oraz 17.04; Debian Stretch (9), Buster (10) i Sid (wersja niestabilna) oraz inne używające systemd.

Zobacz również: systemd v228, screen root exploit i globalne problemy z setuid

Publikacja jest bardzo dobrą ilustracją “crime industry” obserwowanego na przykładzie forów Polish Board & Market (PBM), ToRepublic, a także Polskiej Ukrytej Wiki (PUW). Autor nie ogranicza się wyłącznie do przedstawienia i skomentowania wybranych treści, ale przede wszystkim stara się dokonać analizy skutków prawnych grożących ich twórcom i użytkownikom. Formułuje interesującą koncepcję grupy cyberprzestępczej złożonej z rdzenia (core criminal group) oraz reszty wierzącej w swój indywidualny charakter udziału (organised criminal network), wraz z jej czteropoziomową strukturą. Swoje rozważania prawne dotyczące udziału w zorganizowanej grupie lub związku przestępczym, podżegania, pomocnictwa i publicznego nawoływania do popełnienia przestępstwa opiera na bogatej literaturze i przykładach z polskojęzycznego darknetu oraz orzecznictwa amerykańskiego.

– z recenzji dr hab. inż. Jerzego Kosińskiego, prof. WSPol
[ czytaj całość… ]

Czym jest Stack Clash? Jest to eksploatacja błędu w zarządzaniu pamięci oparta na dość starej (12 letniej) technice. Dotyka ona kilku systemów operacyjnych: Linuksa, OpenBSD, NetBSD, FreeBSD oraz Solarisa dla architektury i386 oraz amd64. Technika ta może zostać wykorzystana przez atakujących do naruszenia bezpieczeństwa pamięci oraz wykonania dowolnego kodu. Polega ona na pewnej zależności: każdy program uruchomiony na komputerze używa specjalnego obszaru pamięci zwanego stosem (ang. stack). Obszar tej pamięci jest szczególny, ponieważ rośnie automatycznie wraz z zapotrzebowaniem na niego przez program. Jeśli jednak przyrost jest zbyt duży i zbliży się do innego obszaru pamięci (na przykład sterty – ang. heap) może dojść do sytuacji, w której program może pomylić stos z innym obszarem pamięci. Daje to możliwość wykorzystania owego zamieszania do nadpisania stosu przez inny obszary pamięci lub odwrotnie.
[ czytaj całość… ]

J

eśli jesteśmy szczęśliwymi właścicielami dedykowanego lub prywatnego serwera na własne potrzeby – ze względu na bezpieczeństwo (zapasowe źródło zdarzeń, jakie zaszły na serwerze w przypadku incydentu bezpieczeństwa) oraz możliwości dynamicznej analizy danych – warto pomyśleć nad wysyłaniem wszystkich logów systemowych oraz aktywności dedykowanych aplikacji do dodatkowego, zdalnego źródła. Oczywiście nie mowa tutaj o drugim serwerze, z którym wiążą się dodatkowe koszty utrzymania, ale serwisach, które za darmo umożliwią nam taki proces:

• papertail – przechowywanie: 7 dni wstecz; ilość: 100MB/miesiąc; okno wyszukiwania: 48 godzin.
• logentries – przechowywanie: 7 dni wstecz; ilość: 5GB/miesiąc; okno wyszukiwania: 7 dni.
• loggly – przechowywanie: 7 dni wstecz; ilość: 200MB/dzień; okno wyszukiwania: 7 dni.
• sematext – przechowywanie: 7 dni wstecz; ilość: 500MB/dzień; okno wyszukiwania: 7 dni.
• sumologic – przechowywanie: 7 dni wstecz; ilość: 500MB/dzień; okno wyszukiwania: 7 dni.
• logz – przechowywanie: 3 dni wstecz; ilość: 1GB/dzień; okno wyszukiwania: 3 dni.
• xpolog – przechowywanie: 5 dni wstecz; ilość: 1GB/dzień; okno wyszukiwania: 5 dni.

Jedyną wadą tego rozwiązania jest krótki czas retencji zdalnego archiwum, ale zakładam, że raczej nikt nie przewiduje dłuższego czasu wykrycia / zauważenia anomalii w działaniu swojego serwera niż kilka godzin.

W

drugiej części naszej serii zajmiemy się atakami na katalogi, które są dostępne do zapisu dla wszystkich użytkowników. Pliki znajdujące się w tych katalogach podatne są na atak polegający na możliwości zastąpienia ich innym, “złośliwym” plikiem, który skrypt zamierza odczytać lub zapisać.
[ czytaj całość… ]

N

a wstępnie pragnę zaznaczyć, że wpis ten w żadnym wypadku nie ma na celu dyskredytacji żadnej oficjalnej informacji, ani postawy prezentowanej przez opisane firmy, ani serwisy informacyjne. Jest po prostu innym spojrzeniem; luźną myślą, która powstała na skutek obserwacji zjawiska wygenerowanego przez opisane zdarzenie.
[ czytaj całość… ]

P

aswyny fingerprinting odnosi się do zbierania atrybutów klienta lub serwera będącego w zasięgu naszego połączenia sieciowego. Atrybuty mogą być zbierane z warstwy transportu, sesji lub aplikacji (np. właściwości TCP, możliwości szyfrowania TLS lub charakterystyki implementacji protokołu HTTP). Można je wykorzystać do celów dedukcji informacji np. o używanym systemie operacyjnym (typie i wersji), jego czasie uptime, a w przypadku klientów – typu używanej przeglądarki (i nie mowa tutaj o user-agent, który można dowolnie zmieniać). Ponadto pasywne rozpoznawanie klienta może służyć do dodawania unikatowości / entropii to tożsamości danego klienta w sieci, w szczególności przy użyciu metody wielowarstwowego fingerprintingu. Powszechnie stosowanymi podejściami do “oznaczania obiektów” internetowych są: TCP/IP, TLS / SSL oraz HTTP od strony klienta i serwera.
[ czytaj całość… ]

V

ulners udostępniło kolejne narzędzie. Tym razem jest to program do wyszukiwania i ściągania exploitów zainspirowany przez searchsploit. Pozwala na interaktywne wyszukiwanie baz najpopularniejszych serwisów takich, jak: Exploit-DB, Metasploit, Packet Storm i inne:

~# git clone https://github.com/vulnersCom/getsploit
~# cd getsploit
~# ./getsploit.py SSV-73222
Total found exploits: 1
Web-search URL: https://vulners.com/search?query=bulletinFamily%3Aexploit+AND+SSV-73222
+-------------------+------------------------------+--------------------------------------+
|          ID       |         Exploit Title        |                 URL                  |
+===================+==============================+======================================+
|      SSV-73222    | Linux kernel 2.0 Sendmail    | https://vulners.com/seebug/SSV-73222 |
|                   | Denial of Service            |                                      |
|                   | Vulnerability                |                                      |
+-------------------+------------------------------+--------------------------------------+

Istnieje możliwość pobrania całej bazy do na dysk w formacie SQLite v3:

~# ./getsploit.py --update
Downloading getsploit database archive. 
Please wait, it may take time. Usually around 5-10 minutes.
219852688/219852688 [100.00%]Unpacking database.
Database download complete. 
Now you may search exploits using --local key './getsploit.py -l wordpress 4.7'

Więcej informacji: Command line utility for searching and downloading exploits

W

programie sudo wykryto poważną lukę w kodzie, która umożliwia uzyskanie uprawnień administratora przez każdego użytkownika posiadającego dostęp do powłoki shell. Działa ona również na systemach z włączoną obsługą SELinux (CentOS / RHEL). Wystarczy, że lokalny użytkownik posiada w systemie uprawnienia do uruchomienia dowolnego polecenia za pośrednictwem sudo. Daje mu to możliwość eskalacji swoich uprawnienia do poziomu administratora.
[ czytaj całość… ]