Исследование защищённости доступных в online потребительских интернет-устройств, проведённое компанией Positive Technologies на основе сканирования сети, показало, что 15% пользователей не меняют заданные производителем пароли удалённого доступа к устройствам, таким как беспроводные маршрутизаторы, TV-приставки, устройства IP-телефонии, принтеры и web-камеры. Кроме того, для входа на 10% устройств применялось пять популярных типовых паролей: support/support, admin/admin, admin/0000, user/user и root/12345, что во многом объясняет успешное продвижение сетевых червей, использующих для распространения только подборку самых популярных учётных записей. Например, поражающее клиентские маршрутизаторы вредоносное ПО Mirai, использовало для построения ботнета перебор из 62 типовых комбинации логин/пароль. Кроме того, отмечается, что большинство пользователей не заботятся об обновлении прошивок и устройства остаются с неисправленными уязвимостями на всём протяжении жизненного цикла усройства, который в среднем
Компания Qualys раскрыла результаты исследования, в рамках которого была изучена возможность эксплуатации уязвимостей, приводящих к пересечению содержимого стека и кучи. В частности, когда стек и куча размещаются смежно и прилегают друг к другу (область стека следует сразу за памятью, выделенную под кучу), то в условиях того, что куча растёт в сторону увеличения, а стек в сторону уменьшения не исключено возникновение ситуаций, когда содержимое переполненной кучи может оказаться в области стека или, наоборот, стек переписать область кучи. Исследователи Qualys попытались выявить практические методы возникновения подобных столкновений, что им блестяще удалось - выявлено 20 уязвимостей, связанных с недоработками выделения памяти в стеке/куче ядра, libc и компонентов пространства пользователя, и позволяющих обойти средства защиты от выхода за границы стека (stack stack guard-page). Для демонстрации практических атак создано 15 рабочих прототипов эксплоитов, позволяющих повысить свои привилегии через манипуляции
Компания Mozilla объявила о расширении инициативы по выплате вознаграждений за выявления уязвимостей. До сих пор вознаграждения начислялись только за информацию об уязвимостях в продуктах Mozilla, но уязвимости на сайтах и web-сервисах для разработки, таких как mozilla.org и bugzilla.org, представляют не меньшую опасность и могут быть применены для атаки на всю инфраструктуру. Отныне вознаграждение можно будет получить и за сведения о проблемах с безопасностью на сайтах Mozilla. За информацию об уязвимости на сайте, позволяющей выполнить код на сервере будет выплачено вознаграждение в $5000 для ключевых сайтов, $2500 для основных сайтов и $500 для вторичных ресурсов. За сведения об обходе механизмов аутентификации или подстановке SQL-кода размер премии составит $3000 и $1500, за CSRF, XSS или захват домена - $2500 и $1000. В качестве примеров приводится XSS-уязвимость, позволяющая выполнить коммит в Git через манипуляции с комментариями на сайте bugzilla.mozilla.org, и уязвимость в сервисе
Группа исследователей из Мичиганского университета опубликовала доклад о безопасности мобильных приложений для платформы Android, которые открывают в слушающем режиме сетевые порты и принимают на них соединения. Отмечается, что обработка внешних сетевых запросов создаёт угрозу для безопасности мобильных устройств, которая обычно упускается из виду из-за не серверной специфики мобильных приложений. Исследователи разработали специализированную утилиту OPAnalyzer для статического анализа кода, которая выявляет открытие сетевых портов и оценивает наличие типовых уязвимостей в реализации. Проверив более 100 тысяч приложений из каталога Google Play было выявлено 1632 программ принимающих сетевые соединения, половина из которых насчитывает более 500 тысяч загрузок. Исследователи пришли к выводу, что почти половина всех обработчиков сетевых соединений незащищена и может быть использована для организации удалённых атак. Всего при автоматизированной проверке было выявлено 410 уязвимых приложений и 956 потенциальных
Исследователь Скот Хельме при поддержке издания BBC (Scott Helme) провёл тестирование устройства nomx, позиционируемого как реализация наиболее защищённого коммуникационного протокола ("The world’s most secure communications protocol. Everything else is insecure."). На деле, nomx оказался примером наплевательского отношения к безопасности, граничащим с жульничеством. Младшая модель nomx продаётся по цене $199, а стоимость старшей модели для крупных корпоративных сетей доходит до 10 тысяч долларов. Первое, что вызвало удивление стала начинка устройства. В корпусе была размещена обычная плата Raspberry Pi за 35 долларов, SD-карта и пара светодиодов. Не меньшее удивление вызвала программная начинка - на устройстве загружался дистрибутив Raspbian 7 (wheezy) с сильно устаревшими версиями пакетов, например сам дистрибутив обновлён 7 мая 2015 года, nginx и Dovecot от 2012 года, PHP от 2015 года, OpenSSL и MySQL от 2016 года. При этом в системе не был предусмотрен механизм установки обновлений.
Исследоватль безопасности Уильям Энтрикен (William Entriken) поделился своим опытом взаимодействия с банками, пытаясь добиться устранения уязвимости. В 2008 году Уильям обнаружил опасную уязвимость в платформе интернет-трейдинга компании Zecco (ныне TradeKing), предоставляющей доступ к торгам на бирже. Речь шла о CSRF-уязвимости, позволяющей через тег "img src" скрытно выполнить операции в web-интерфейсе Zecco, например, если не закрыт сеанс на сайте Zecco, можно без ведома пользователя инициировать покупку определённых акций. После того, как Уильям связался с руководством Zecco, они признали наличие проблемы. Также стало известно, что ПО с этой уязвимостью используется одной из крупных розничных сетей с более чем 100 тысячами точек продаж, а инженеры подтвердили, что подобные подставные операции невозможно выделить в общем потоке легитимных транзакций. В ходе обсуждения руководство выразило беспокойство, что информация о проблеме может быть придана огласке до того, как будет устранена, упомянуло желание
В результате изучения прошивки камеры Wireless IP Camera (P2P) WIFICAM была выявлена возможность удалённого доступа к устройству с правами root, используя жестко прописанный в прошивке пароль. Более дательный разбор показал, что в прошивке также присутствуют и другие уязвимости, позволяющие выполнить свой код с правами root, в том числе обнаружена уязвимость в http-сервере GoAhead, которое используется многими другими производителями IP-камер. Так как камера Wireless IP Camera (P2P) WIFICAM построена на типовой платформе, на основе которой выпускаются многие другие модели IP-камер, некоторые уязвимости проявляются и в моделях других производителей. В сумме проблемам оказались подвержены около 1250 различных моделей камер, включая камеры 3com, 7Links, A4Tech, APKLINK, AQUILA, AVACOM, Acromedia, Agasio, Airsight, Alecto, Allnet, Apexis, Atheros, Bionics, Chinavasion, D-Link, Dericam, EST, EasyCam, EasyN, Elro, EyeCam, Foscam, GoAhead, Heden, iView ,ICam, Kogan, LifeTech, Logitech, Maginon, Mediatech,
Ресурс WikiLeaks опубликовал первую серию документов, полученных из закрытой сети ЦРУ. Всего опубликовано 8761 файл, частично скопированных из внутреннего wiki-сайта ЦРУ и описывающих различные инструменты и техники проведения атак. Особый интерес представляет описание метода доступа к сообщениям, отправленным через мобильные приложения WhatsApp, Signal, Telegram, Weibo, Confide и Cloackman. Для получения контроля за сообщениями в ЦРУ не пытаются перехватывать транзитный трафик и дешифровывать сообщения. Вместо этого осуществляется атака непосредственно на смартфон, пользуясь неисправленными уязвимостями в iOS и Android. После атаки на телефон, владельца которого нужно контролировать, устанавливается руткит, который записывает звук и перехватывает сообщения во время ввода, на стадии до того, как они будут получены пользовательским приложением и зашифрованы. Руткит также отправляет данные о местоположении и при необходимости включает трансляцию видео и звука со встроенных камер и микрофона. Также
Исследователи из группы TeamSIK опубликовали результаты проверки безопасности менеджеров паролей для платформы Android. Менеджеры паролей часто рекомендуются как надёжный и безопасный способ хранения паролей с использованием гарантирующих конфеденциальность криптографических методов, но упускается то, что сам менеджер паролей является слабым звеном и может лишь создавать иллюзию защищённости, так как уязвимость в нём может свести на нет всю защиту. Например, какие бы надёжные криптографические методы не использовались для шифрования хранилища, их сведёт на нет шифрование мастер-пароля ключом, прописанным в коде приложения. Результаты предпринятой проверки оказались не лучше, чем при анализе VPN-приложений для Android - в 9 менеджерах паролей выявлены серьёзные уязвимости, позволяющие получить доступ к закрытой информации. В том числе в некоторых приложениях мастер-пароль был доступен для извлечения, пароли хранились в открытом виде или не была обеспечена должная защита хранилища. Также отмечается достаточно
Через десять лет после начала использования алгоритма хэширования SHA-1, компания Google объявила о первом практическом методе генерации SHA-1 коллизии. Это потребовало двух лет исследований, проведённых корпорацией совместно с институтом CWI в Амстердаме. В качестве доказательства возможности совершения атаки, компания Google предоставила два PDF-файла, которые имеют одинаковые хеши SHA-1, но разное содержание. Количество вычислений, необходимых для проведения атаки ошеломляет: девять квинтильонов (9,223,372,036,854,775,808) операций подсчёта SHA-1 в общей сложности, которые потребовали 6500 лет вычислений на CPU для завершения атаки первой фазы и 110 лет вычислений на GPU для завершения второго этапа. При этом на системе со 110 GPU усовершенствованная атака будет занимать примерно год. Для сравнения, применение метода полного перебора (brute force) в 100 тысяч раз медленнее и для нахождения коллизии за год потребуется 12 миллионов GPU. Google считает, что необходимо переходить на новые алгоритмы