Zgłoś błąd
X
Zanim wyślesz zgłoszenie, upewnij się że przyczyną problemów nie jest dodatek blokujący reklamy.
Błędy w spisie treści artykułu zgłaszaj jako "błąd w TREŚCI".
Typ zgłoszenia
Treść zgłoszenia
Twój email (opcjonalnie)
Nie wypełniaj tego pola
.
Załóż konto
EnglishDeutschРусскийFrançaisEspañol中国

Niebezpieczne luki w Apple Safari wykryte podczas testów Dropbox

Bogdan Stech | 23-11-2018 20:00 |

Niebezpieczne luki w Apple Safari wykryte podczas testów DropboxPodczas testów bezpieczeństwa własnego systemu, przeprowadzanych przez firmę Dropbox, zespół natknął się na luki w przeglądarce Apple Safari. Cały łańcuch exploitów umożliwiał całkowite przejęcie komputera w prosty sposób. Szef ochrony Dropbox, Chris Evans, przedstawił sytuację na firmowym blogu. "Niedawno przeprowadziliśmy symulację ataku jako team red (drużyna atakująca) ale w środowiskach zewnętrznych. Testy penetracyjne doskonale sprawdzają się w wynajdowaniu nieznanych luk w zabezpieczeniach systemów i pokazują, jak w jaki sposób są one podatne na wykorzystanie. Jednak cele testera są zwykle ograniczone tylko do tego. A co z post-exploitation?" - pyta Evans.

Luki w zabezpieczeniach w oprogramowaniu Apple dotyczyły wszystkich użytkowników Safari, którzy używali najnowszej wersji w tym czasie

Niebezpieczne luki w Apple Safari wykryte podczas testów Dropbox [3]

Jak sugeruje termin, post-exploitation oznacza fazy działania, gdy atakujący złamał już system ofiary. Podczas takich własnie testów Dropbox i sposobu, w jaki system przechowywania w chmurze zareagował na próby ataku, team red natknął się na szereg luk w oprogramowaniu Apple. W próbach, zespół atakujących był wspierany przez zewnętrzną firmę konsultingową Syndis. Firma, której celem było symulowanie naruszenia bezpieczeństwa, uświadomiła sobie, że nie musiała niczego symulować - Syndis natknął się na luki w oprogramowaniu Apple, które były niczym innym jak zestawem exploitów zero-day. Razem luki pozwoliły napastnikom na wgranie zainfekowanego kodu w systemie ofiary w najprostszy sposób - wystarczyło po prostu odwiedzić złośliwą stronę internetową. "Luki w zabezpieczeniach w oprogramowaniu Apple dotyczyły wszystkich użytkowników Safari, którzy używali najnowszej (10.13.4) wersji w tym czasie" - mówi dyrektor.

CloudMounter: obsługa Dropboxa, OneDrive i Google Drive

Niebezpieczne luki w Apple Safari wykryte podczas testów Dropbox [4]

Pierwsza z nich, CVE-2017-13890, umożliwia atakującym używanie Safari w celu automatycznego pobierania i montowania obrazów dysków. Drugi błąd, CVE-2018-4176 uruchamiał bez zgody użytkownika aplikację z obrazu. Oczywiście system Gatekeeper powinien zezwalać na uruchamianie aplikacji podpisanych tylko przez zaufanych programistów. Tutaj pojawia się własnie ostatnia luka w łańcuchu exploitów, CVE-2018-4175. Może ona zostać wykorzystana do zarejestrowania nowych rozszerzeń plików i uruchomienia aplikacji, które są wtedy uważane za bezpieczne, bez angażowania Gatekeepera. Ustalenia zespołu zostały przekazane firmie Apple 19 lutego. Po miesiącu testowania i tworzenia poprawki, firma wdrożyła uaktualnienie 29 marca.

Źródło: Dropbox, ZDNet
7
Zgłoś błąd
Liczba komentarzy: 9

Komentarze:

x Wydawca serwisu PurePC.pl informuje, że na swoich stronach www stosuje pliki cookies (tzw. ciasteczka). Kliknij zgadzam się, aby ta informacja nie pojawiała się więcej. Kliknij polityka cookies, aby dowiedzieć się więcej, w tym jak zarządzać plikami cookies za pośrednictwem swojej przeglądarki.