Zranitelnosti v kamerách Wyze
Společnost Bitdefender objevila tři zranitelnosti v kamerách Wyze. První umožňuje obejít při vzdáleném připojení přihlášení. Klient při něm posílá IOCtl příkaz ID 0×2710 a po jeho obdržení kamera generuje náhodnou hodnotu, kterou následně zašifruje 16bytovou „enr“ a výsledek pošle klientovi. Ten hodnotu „enr“ zná, dešifruje tedy původní hodnotu a pošle ji kameře s IOCtl příkazem 0×2712. Pokud jsou hodnoty stejné, může klient začít s kamerou pracovat.
Analytici společnosti Bitdefendet ovšem zjistili, že pokud útočník vynechá odeslání příkazu 0×2710, zůstane v paměti zařízení hodnota NULL. Pokud tedy zahájí komunikaci rovnou odesláním příkazu 0×2712 také s hodnotou NULL, zařízení obě hodnoty porovná a útočníka „ověří“.
Druhá zranitelnost má svůj původ v stack buffer overflow a umožňuje útočníkovi vzdálené spuštění kódu. Třetí zranitelnost spočívá v možnosti přistupovat k obsahu vložené SD karty bez jakékoliv autentizace. Zranitelnosti se týkají zařízení Wyze Cam version 1, Wyze Cam Black version 2, a Wyze Cam version 3. Záplaty ovšem byly vydány pouze pro verze 2 a 3.
Zyxel opravil kritickou zranitelnost na svých firewallech a VPN
Výrobce síťových zařízení Zyxel vydal bezpečnostní aktualizace, kde opravuje kritickou zranitelnost ovlivňující některé jeho podnikové firewally a VPN, které by mohly umožnit útočníkovi převzít kontrolu nad zařízeními. V programu CGI některých verzí firewallu byla nalezena zranitelnost autentizačního obcházení způsobená špatnou konfigurací mechanismu řízení přístupu. Chyba by mohla umožnit útočníkovi obejít ověřování a získat administrativní přístup k zařízení.
Chybě byl přidělen identifikátor CVE-2022–0342 a její závažnost je hodnocena 9,8 z 10. Za nahlášení chyby se zasloužili Alessandro Sgreccia z Tecnical Service Srl a Roberto Garcia H. a Victor Garcia R. z Innotec Security. I když neexistují žádné důkazy o tom, že by tato zranitelnost byla zneužita, doporučuje se uživatelům nainstalovat aktualizace firmwaru, aby se předešlo možným hrozbám.
Apple opravuje dvě zero-day zranitelnosti
Apple ve čtvrtek vydal další aktualizace na své zařízení, které řešily mimo jiné také dvě zero-day zranitelnosti ve svých mobilních a desktopových operačních systémech, které mohly být zneužívány. Zranitelnosti byly opraveny v rámci aktualizací iOS a iPadOS 15.4.1, macOS Monterey 12.3.1, tvOS 15.4.1 a watchOS 8.5.1.
Obě zranitelnosti byly společnosti Apple nahlášeny anonymně. První z nich s označením CVE-2022–22675 umožnila zápis mimo své hranice v komponentě pro dekódování zvuku a videa nazývaném AppleAVD, což potom dávalo možnost útočníkům spouštět libovolný kód s oprávněními jádra. Druhá zero-day zranitelnost s označením CVE-2022–22674 měla problém se čtením mimo své hranice v modulu Intel Graphics Driver, který dovoloval neoprávněnému uživateli číst paměť jádra.
Zranitelná auta
Zranitelnost (CVE-2022–27254), která postihuje modely Honda Civic LX, EX, EX-L, Touring, Si a Type R vyrobené v letech 2016 až 2020, umožňovala odemknout, zamknout, ovládat okna, otevřít kufr i nastartovat motor. Dálkový ovladač na klíče dotčených modelů Hondy přenáší nešifrovaný radiový signál (433,215 MHz), který může být útočníkem zachycen a později znovu použit.
Spring4Shell na spadnutí
Bezpečnostní odborníci varují, před bezpečnostní chybou, kterou nazvali „Spring4Shell“ kvůli jeho snadnému zneužití a povaze založené na Javě. Původní zranitelnost, objevená v prosinci loňského roku, nesla název Log4Shell. Laťka pro zneužití je sice nastavena velmi nízko, může ale docházet k intenzivnímu skenování internetu pro nalezení zranitelných strojů. Tato zranitelnost by se mohla nacházet v libovolném počtu Java aplikací.
Narušení maďarské ministerské sítě
Posledních deset let mají Rusové plný přístup k interním záležitostem maďarského Ministerstva zahraničních věcí – zjistili investigativní reportéři z Direkt36.hu. Jejich článek dostupný v angličtině cituje bývalé důstojníky maďarské tajné služby, kteří se snažili zranitelnosti zalátat, než byl jejich úřad kybernetické obrany v roce 2015 rozpuštěn „kvůli ekonomickému tlaku ze strany Ruska“.
Narušení se má týkat celé ministerské sítě, včetně šifrované komunikace a utajovaných diplomatických zpráv. Od podzimu 2012 navíc některé počítače obsahovaly upravený TeamViewer, přes který lze napřímo vidět konkrétní akce zaměstnanců. Rusové tak snadno sledovali, co maďarská vláda kdy plánuje, dokonce i nyní během krizových jednání v EU a NATO po invazi na Ukrajinu.
Útok začal zřejmě klasickým phishingem a postupně se kromě centrály rozšířil do 150 budov ve více než 90 zahraničních misích. Co víc, když ministr zahraničních věcí Péter Szijjártó, který je ve funkci od roku 2014, dostával před Silvestrem minulého roku medaili Řádu přátelství od svého ruského protějšku Lavrova, o kompromitaci svého úřadu Rusy prý nutně věděl.
Volá vám Europol?
Společnost Avast varuje před telefonáty vydávající se za telefonáty od Europolu. V případě přijetí hovoru je volaný spojen s automatem, který mu „vysvětlí“, že došlo k úniku osobních dat, a že by měli stisknout klávesu „1“ pro spojení se zaměstnancem Europolu. V některých případech je dokonce použita technika, která způsobí, že číslo volajícího opravdu vypadá, že patří Europolu.
Během telefonátu pak dojde k vylákání osobních údajů oběti pod záminkou ověření, jako například jméno a příjmení, adresa a číslo občanského průkazu. Avast se domnívá, že pomocí těchto údajů si chtějí útočníci otevřít konto na jméno oběti.
Ve zkratce
- Severokorejští hackeři distribuují trojanizované aplikace DeFi Wallet, aby ukradli krypto obětí
- Exploit modulu „esp6“ v linuxovém jádru
- Čekání na opravu chyby OpenSSL
- Malwarová kampaň Mars Stealer se šíří pomocí Google Ads
- Zranitelnost SonicOS ovlivňuje SonicWall Firewall
Pro pobavení
A bit of humor by attackers during this COVID era ;-) pic.twitter.com/7jXmVM9WpG
— Xavier Mertens (@xme) March 17, 2022
O seriálu
Tento seriál vychází střídavě za pomoci pracovníků Národního bezpečnostního týmu CSIRT.CZ provozovaného sdružením CZ.NIC a bezpečnostního týmu CESNET-CERTS sdružení CESNET, bezpečnostního týmu CDT-CERT provozovaného společností ČD - Telematika a bezpečnostních specialistů Jana Kopřivy ze společnosti Nettles Consulting a Moniky Kutějové ze sdružení TheCyberValkyries. Více o seriálu…
