W tym tygodniu Bezpieczeństwo: Log4J, który nie odejdzie, Webos, a także więcej

w ciągu ostatnich dwóch tygodni Log4J kontynuował prowadzenie wiadomości bezpieczeństwa, z większą liczbą zagrożonymi platformami, a także dodatkowo CIP wychodzi. Najpierw wykonano pracę Trendmicro, patrząc na pojazdy elektryczne, a także ładowarki. Odkryli atak LOG4J w jednej z opublikowanych ram ładowarki, a także podobnie do obserwowania dowodów na podatność w systemie informacyjnym TESLA. To nie jest rozciąganie, aby obrazić kawałek złośliwego oprogramowania, który może działać zarówno na ładowarce, jak i ev. Jak również, ponieważ te systemy rozmawiają z każdym, mogą rozprzestrzeniać wirusa pojazdami poruszającymi się z ładowarki do ładowarki.

Log4J wynosi teraz aż 2.17.1, ponieważ jest jeszcze jeden RCE, aby naprawić, CVE-2021-44832. Jest to tylko zdobyte tylko 6,6 w skali CVSS, w przeciwieństwie do oryginału, który ważył w 10. 44832 potrzebuje atakującego do bardzo pierwszego wywierania zarządzanie konfiguracją log4J, dzięki czemu eksploatacja znacznie trudniejsza. Ten ciąg słabości obrotu pokazuje szeroko znany wzór, w którym podatność na wysoki profil przyciąga zainteresowanie badaczy, którzy odkrywają inne kwestie w dokładnie ten sam kod.

Teraz są raporty z Log4j jesteś wykorzystywane w kampanii Conti Ransomware. Dodatkowo obserwowano robak oparty na MaraI. Ten samoprzedzący się napaść wydaje się m.in. do serwerów TomCat.

Webos spada na migawkę

[David Buchanan] przyznaje, że podczas gdy jest to fascynujący exploit, w tym momencie nie ma zbyt wiele narzędzia. To może się zmienić, spójrzmy jednak na wadę na razie. Snapshots to niesamowita funkcja w silniku JavaScript V8. Po przejściu do strony internetowej kontekst JavaScript dla tej strony musi być wyprodukowany w pamięci, w tym pakowanie wszystkich bibliotek wywoływanych przez stronę. To nie trwa długo na pulpicie, jednak na osadzonym gadżecie lub pakowaniu telefonu komórkowego Interfejs regionalny, ten krok inicjalizacji może reprezentować dużą część czasu potrzebnego do narysowania żądanej strony. Snapshots są fantastycznym hakiem, w którym kontekst jest inicjowany, a następnie zapisany. Gdy interfejs jest później otwarty, silnik V8 można nazwać utrzymującym ten plik, a także kontekst jest wstępnie zainicjowany, dzięki czemu wprowadzenie aplikacji lub interfejsu szybszego. Jedynym połowem jest to, że V8 oczekuje, że migawki będą pakowane tylko z zaufanego źródła.

Na samej platformie Webos. Prywatne aplikacje są piaskownicze, jednak aplikacje internetowe uruchamiają swój kod w kontekście WebAPPMGR (WAM), ich przeglądarki na podstawie Chromium / V8. Podczas gdy prywatne aplikacje są piaskownicze, WAM nie jest. Kicker polega na tym, że aplikacja internetowa może określić własną migawkę do ton w V8. Pakowanie uszkodzonej migawki zapewnioną [David] JS Typ zamieszania, a także arbitralne prymitywne odczytu / zapis w wyniku. Stamtąd zerwane z uruchomienia JS, jak również w rzeczywistych ShellCode był stosunkowo łatwy. To RCE działa jak użytkownik “WAM”, jednak jest to lekko uprzywilejowane konto. W Nazwie WAM można uzyskać dostęp do / dev / MEM – bezpośredni dostęp do pamięci systemu. Eskalacja do korzenia jest prawie trywialna.

[David] opublikował pełny POC, zauważając, że LG notorycznie underpays dla bluzów. Nie zgadzam się z jego twierdzeniem, że ta atak całkowicie opiera się na pobocznym ładowaniu złośliwej aplikacji, z prostego powodu, dla którego LG uruchomi swój materiał do tej platformy. Złośliwy projektant może być w stanie omijać wszelkie rodzaje procedur wykrywania złośliwego oprogramowania, które LG wykorzystuje do aplikacji VET. Złośliwe aplikacje w App Store to zdecydowanie nic nowego. Najgorszą częścią tego wykorzystywania jest to, że trudno jest umieścić palcem, gdzie leży luka.

Zespół czteropracowy w drużynach

[Fabian Bräunlein] odkrył kilka fascynujących niezamierzonych nawyków w funkcji Podgląd łącza Microsoft Teams. Pierwszym problemem jest żądanie strony serwera. Podgląd łącza jest produkowany na stronie serwera drużyn, a także według znaczenia wymaga otwarcia strony w celu uzyskania podglądu. Problemem jest brak filtrowania – łączenie z 127.0.0.1:80 wytwarza podgląd tego, co znajduje się na lokalnym lokalizacji serwera drużyn.

Następna jest prosta technika fałszowania linków. Wykorzystuje to narzędzie, takie jak Burp, aby modyfikować dane wysyłane przez klienta zespołów. Część wiadomości, która zostanie wysłana podczas osadzenia łącza, jest adres URL do połączenia telefonicznego dla generacji podglądu. Nie ma dalszej walidacji, więc możliwe jest uzyskanie podglądu z łagodnego adresu URL, podczas gdy rzeczywisty link przechodzi na dowolną stronę. Trzecia kwestia jest powiązana, ponieważ łącze do samej miniatury jest również w tym komunikacie, jak również może być manipulowany. Fascynujący przypadek użycia tutaj jest to, że atakujący może ustawić to do adresu URL, które kontrolują, a także wyodrębnić informacje z celu, a mianowicie publicznego adresu IP. Teraz jest to blokowane przez klienta celu na większości platform, jednak na Android brakowały kontrole.

I wreszcie, podobnie jak problem tylko z Androidem,Atakujący może wysłać “Wiadomość śmierci”, zasadniczo wiadomość unformowała się, że wypadnie w aplikacji, próbując uczynić podgląd. Spowoduje to wypadki za każdym razem, gdy osoba próbuje uzyskać dostęp do czatu, skutecznie blokując jednostkę z aplikacji całkowicie. Teraz nie są one kwestiami roztrzaskającymi ziemskimi, jednak zbiornik Microsoft wzruszający ramionami w odpowiedzi jest … przytłaczający. Mają przestraszenie przeszczepiony adresu IP, jednak oczywiście możliwe jest, aby udostępnić podgląd linków, oprócz wypadku aplikacji Android.

Backdoors PBX.

Naukowcy w Redteam Precentesting spojrzał na PBX zaprojektowany przez Auerswald, niemieckiego producenta urządzeń telekomunikacyjnych. To, co przyciągnęło ich oko, była reklamowana usługa, w której Auerswald może wykonać resetowanie hasła administratora dla klienta zablokowanego z ich sprzętu. Jest to backdoor podręcznika, a także zdecydowanie uzasadnione dochodzenie.

Gdyby tylko był taki typ backdoor: https://xkcd.com/806/
Ich podejście, a nie atakowanie sprzętu bezpośrednio, było złapać najnowszego pakietu oprogramowania układowego z witryny internetowej Auerswald, a także przeanalizować to. Wykorzystaj się z pliku, Gunzip, a także narzędzia dumestów dostarczyły im systemy plików root. Praca z siecią plików konfiguracyjnych, rozliczane na binarnie WebServer, które najprawdopodobniej zawierały backdoor resetowania hasła. Tylko notatka jest niezwykle typowa dla wbudowanych gadżetów, aby uwzględnić cały swój indywidualny interfejs, a także logikę konfiguracyjną w jednym binarnym HTTPD.

Biinią binarne, polegali na tym, co szybko skończyło się być preferowanym narzędziem badaczy bezpieczeństwa wszędzie GHIDRA. Mieli jeszcze jedną wskazówkę, użytkownika “sub-administratora”, tak szukał tego ciągu wykorzystującym GHIDRA. PayDirt. Wiercenie z funkcjami, hardcodowana nazwa użytkownika “Schandelah” była tam. Trochę więcej saneczki wymyśliło funkcję hasła. Dla każdego z tych PBX hasło backdoor jest pierwszymi 7 znakami ruchu MD5, numer seryjny urządzenia + “R2D2” + niniejsza data.

Właśnie dla zabawy naukowcy wykorzystali GHIDRA, aby przeglądali inne wykorzystanie funkcji hasła backdoor. Okazuje się, jeśli określono jednostkę administratora, a także hasło nie pasuje do hasła skonfigurowanego przez użytkownika, w porównaniu do tego algorytmu. Jeśli pasuje? Jesteś zalogowany jako admin na sprzęcie. Jest to oczywiście bardziej przydatne niż resetowanie hasła administratora, ponieważ umożliwia uzyskanie dostępu do systemu bez żadnego rodzaju oczywistych modyfikacji systemu. Cały artykuł jest fantastycznym samouczkiem na temat wykorzystania GHIDRA dla tego rodzaju badań.

Auerswald niezwykle szybko wypchnął modyfikacje oprogramowania układowego, aby poprawić zidentyfikowane problemy. Backdoor, taki jak ten, który jest publicznie ujawniany, nie jest prawie prawną, a także uczciwą lądową jak kilku innych, które tutaj omówiliśmy. Nadal istnieje problem z aplikacją – Reset hasła powinien również zresetować gadżet do ustawień fabrycznych, a także usunąć indywidualne dane. Cokolwiek mniej zaprasza do poważnych ujawniania danych.

Sam Farfofing.

Ta luka eskalacji przywileju Windows Directory Directory jest interesująca dla jego prostoty. Jest to połączenie CVE-2021-42287, a także CVE-2021-42278. Windows Active Directory ma dwa unikalny rodzaj kont, poszczególnych kont maszynowych. Konta maszynowe są wykorzystywane do wprowadzenia określonego sprzętu do domeny, a także ogólnie kończą się wskazaniem dolara (MyMachine1 $). Domyślnie osoba może wytwarzać konta maszynowe, oprócz zmiany nazwy tych kont. Pierwszą kwestią jest to, że osoba może wyprodukować, a następnie zmienić nazwę konta maszynowego jako dokładnie tak samo jak kontroler domeny, tylko bez tego ostatniego znaku dolara. Na przykład mogę produkować MyMachine1 $, a następnie zmień nazwę go do domenyController1. DomainController1 $ nadal istnieje, a także domena zobaczyłaby te jako oddzielne konta maszynowe.

Nowoczesne domeny okien wykorzystują Kerberosa pod maską, a także Kerberos wykorzystują paradygmat biletowy. Konto może zażądać biletu udzielającego biletu (TGT), który działa jako tymczasowy token uwierzytelniający. Uwierz w to jako wymianę hasła, która może być natychmiast wysyłana z żądaniami. Atakiem jest zażądanie TGT do przemianowanego konta maszyny, a następnie zmień nazwę tego konta, gdy ponownie wrócił do MyMachine1. Kluczem jest to, że atakujący nadal ma ważny bilet na konto DomainController1, nawet jeśli konto nie istnieje już utrzymywania tej precyzyjnej nazwy. Następnie atakujący żąda klucza sesji z klucza Centrum Dystrybucyjnego (KDC) z wykorzystaniem tego TGT. KDC zauważa, że ​​konto żądające nie istnieje, a także pomocno dołącza wskazanie dolara, a także prowadzi inspekcję ponownie. Uważa on ważny TGT dla domenyController1, a także zwraca klucz sesji autoryzujący atakującego jako domenyController1 $, który występuje na koncie administratora domeny.

Bóle starzenia się chromu

Stwierdzono, że nie dostaliśmy Windows 9, ponieważ także wiele starych aplikacji byłyRariuszy REGEX, który zapobiegałby wykonaniu, narzekając, że wniosek nie uruchomi się w systemie Windows 95 lub 98. Chrome próbuje zapobiec podobnym problemowi, ponieważ projektanci Google widzą wersję 100 na horyzoncie. Ten rodzaj rzeczy upłynęła wcześniej przeglądarkę internetową, zwłaszcza, gdy Opera wydała w wersji 10, dalsza przerywająca ciąg agenta użytkownika w tym procesie. Firefox jest również wsiadający na zabawy, a także zarówno projektanci przeglądarek, mają żądanie od Ciebie: Wyszukaj wstęgę z fałszywym łańcuchem użytkownika, a także pozwala im zrozumieć, co przełamuje w wyniku wersji 100. To byłoby świetną szansą na przetestowanie własnych witryn. Rozumiemy, jeśli widzisz jakikolwiek rodzaj szczególnie dziwnych wyników.