Tietoturvauutiset ja blogipostaukset

[Griffin]

Operaattorien ja sähköyhtiöiden työntekijät voisivat tietysti ilmoittaa isännöitsijälle ennakkoon, että oven avaus tarvitaan. Ylimääräinen odotus sitten laskun loppusummaan.

Sähköinen avain ja oikeuksien hallinta on tähän tarkoitukseen ihan hyvä juttu. Nähtävästi Turussa ei vielä sellaista harrastettu.

Sähköinen systeemi ei ole lopulta kovin vanha juttu, joten uusiminen aiheuttaisi kuluja. Niihin varmasti siirrytään pikkuhiljaa uudisrakennuksissa ja suurissa remonteissa.

TOSIN

Sähköisessäkin järjestelmässä on heikkoutensa ja mahdolliset ongelmat hankalissa tilanteissa (esim jos palvelu on nurin tai netti poikki pidempään...). En oikein pidä fiksuna, jos kriittinen asia riippuu netin / ulkoisen palvelun toimivuudesta.

 

[Leavre271]

Sähköinen systeemi ei ole lopulta kovin vanha juttu, joten uusiminen aiheuttaisi kuluja. Niihin varmasti siirrytään pikkuhiljaa uudisrakennuksissa ja suurissa remonteissa.

TOSIN

Sähköisessäkin järjestelmässä on heikkoutensa ja mahdolliset ongelmat hankalissa tilanteissa (esim jos palvelu on nurin tai netti poikki pidempään...). En oikein pidä fiksuna, jos kriittinen asia riippuu netin / ulkoisen palvelun toimivuudesta.

Nämä sähköiset putket eivät tarvitse nettiyhteyttä. Avain tosiaankin ladataan määräajoin, jonka jälkeen avaimessa on kaikki tieto myös putki otaa virtansa avaimesta.

 

[pulatunnus]

Operaattorien ja sähköyhtiöiden työntekijät voisivat tietysti ilmoittaa isännöitsijälle ennakkoon, että oven avaus tarvitaan. Ylimääräinen odotus sitten laskun loppusummaan.

Sähköinen avain ja oikeuksien hallinta on tähän tarkoitukseen ihan hyvä juttu. Nähtävästi Turussa ei vielä sellaista harrastettu.

Jossain "korkeantuotarvaluokittelun" kohteissa voidaan tarvita saattaja, etukäteis ilmoitukset jne. Mutta eiköhän niissä tuollaiset tilat mihin tarvitsee operaattorin tai sähköyhtiön päästä ole järjestetty omat turvalliset reitit.

Nuo tuossa aiemmin keskustelu putkilukuista, se on varsin näppärä ja turvallinen juttu tavaomainaisuudet rakennuksiin, joissa tuollaisia tiloja.

Putkilukot voi olla näppäriä myös huotofirmoille, isännöitsijälle, isännöitsijän ei tarvi huolehtia joka kohteen yleisavaimista, vaan vahtia sitä putkilukon avainta. Jos se avain katoaa, niin nopeasti reagoitavissa, eikä tarvi järjestää vartiointia joka kohteeseen.


Sähköinen lukitus on kohdekohtaista, jopa yhden omistajan kiinteistömassassa voi mennä vuosikausia että lukitussaadaan yhdenmukaiseksi, ja usein ei edes järkevää tehdä kaikkiin samanlaista.

Ylimääräinen odotus sitten laskun loppusummaan.

Sille pitäisi vielä löytyä maksaja. Ja vähän huono heitto näinä aikoina jollin kipuillaan muutenkin sähkölaskujen kanssa.

Eli ehkä mennään kuitekin se tehokkuus ja turvallisuus edellä, vs se että tilaillaan jotain ovenaukaisija, jotka enemmenkin heikentää turvallisuutta.

 

[Griffin]

Nämä sähköiset putket eivät tarvitse nettiyhteyttä. Avain tosiaankin ladataan määräajoin, jonka jälkeen avaimessa on kaikki tieto myös putki otaa virtansa avaimesta.

Niijn, avain pitää ladata ja eikös se ainankin osassa järjestelmiä vaadi nettiyhteyden valmistajan servereille? Vai onko kaikissa mahdollista olla TÄYSIN paikallinen se latausasema?

 

[Leavre271]

Niijn, avain pitää ladata ja eikös se ainankin osassa järjestelmiä vaadi nettiyhteyden valmistajan servereille? Vai onko kaikissa mahdollista olla TÄYSIN paikallinen se latausasema?

Latausasema tarvitsee nettiyhteyden, mutta itse avain tai lukko ei. Näin ainakin kolmessa eri avaimessa, jota työssäni käytän.

 

[Algron28]

Se "lataus" vaatii sen aseman ja nettiyhteyden. Niitä on myös matkamallisia. Laite ottaa valmistajan järjestelmään yhteyttä ja lataa avaimeen tallennetut käyttötiedot sinne ja avaimelle päivitetään voimassa olevat oikeudet.

 

[Griffin]

Se "lataus" vaatii sen aseman ja nettiyhteyden. Niitä on myös matkamallisia. Laite ottaa valmistajan järjestelmään yhteyttä ja lataa avaimeen tallennetut käyttötiedot sinne ja avaimelle päivitetään voimassa olevat oikeudet.

Ja jos lataus ei onnistukkaan, niin sitten mennään ovesta sorkkaraudalla..

 

[pulatunnus]

Ja jos lataus ei onnistukkaan, niin sitten mennään ovesta sorkkaraudalla..

Ei.

 

[Griffin]

Ei.

Yleensä jos ovesta on pakko päästä ja avainta ei ole, niin silloin mennään voi / lukko / molemmat rikkoen. Ja jos avainta ei saa ladattua, niin ainankin omien kokemusten mukaan sillä ei sitten saa sitä lukkoa auki.

Yleensä harvemmin käytettyjä lataillaan juuri ennen käyttötarvetta. Harvemmin joku käy niitä käyttämässä päivitysasemassa esim 2 kertaa viikossa..

 

[pulatunnus]

Yleensä jos ovesta on pakko päästä ja avainta ei ole, niin silloin mennään voi / lukko / molemmat rikkoen. Ja jos avainta ei saa ladattua, niin ainankin omien kokemusten mukaan sillä ei sitten saa sitä lukkoa auki.

Yleensä harvemmin käytettyjä lataillaan juuri ennen käyttötarvetta. Harvemmin joku käy niitä käyttämässä päivitysasemassa esim 2 kertaa viikossa..

Jos se duunari tulee konttorille ja päivittää avaimensa valtuuksia, jos se ei onnistu, niin saa olla aika kiire jos sorkkarauta on seuraava väline. Jos kuitenkin kiire, ja konttorilta ei löydy käypää avainta, niin ehkä siinä kiireessä konttorilta joku alkaa soitteleen löytystkö joku avaan ovea, tai antaan avainta.

Mutta jos kiire ja oven murtaminen pienempi paha, niin se toki murretaan, mutta se ei ehkä se tyypillisin ongelma modernissa kulunvalvonnassa.

Jos ajatuksesi taustalla oli Ukrainan kriisi, ja mietit sitä että jonkin toimittajan putkien valtuutuksia ei saada päivitettyä, niin sekin putkien vahvuus, sitten aletaan päivittää putkia toimivilla.

 

[ztec]

Menee melkein blogi-postaukset tasoon toi mun aamun viesti:

Tor, Onion, Darknet, Anonyymit verkot

Tails versio 5.2 on julkaistu, käyttöjärjestelmän live distributio jossa viimeisimmä tietoturva ja anonymiteetti ominaisuudet mukana: https://tails.boum.org/

bbs.io-tech.fi

Jos ei muuta, niin miten tärkeää on häivyttää metadata liikenteestä, huolehtia siitä, että ei käytä laajasti jaettuja identiteettejä ja tietenkin se, että data ja prosessit on osastoitu tiukasti. Jos jotain korkataan, on tarkoituksenmukaista että vahingot jäävät mahdollisimman pieneksi. Viestissä pitkä lista erilaisia ratkaisuita, miten tietoturvaa voi olennaisesti parantaa. Totuushan toki on se, että ns. normaaleissa ympäristöissä tietoturva on aivan katastrofaalisella tasolla ja kun sen vielä yhdistää normaaleihin käyttäjiin, niin senhän siitä tietää mitä siitä seuraa.

AnonymousPlanet.org sivusto on myös päivitetty uusimmilla tiedoilla tässä hiljattain.

 

[Humanoid]

S-Pankilla ollut pitkään hieman vakavampi ongelma verkkopankissaan:

Pankit | S-Pankissa paljastui vakava häiriö: Sadat pääsivät toisten verkkopankkeihin – ”Häiriötä hyödynnettiin väärinkäytöksiin”

Järjestelmähäiriö vaivasi pankin palveluja lähes neljä kuukautta. Pankki kertoo korvaavansa asiakkailleen kaikki häiriöstä johtuneet välittömät taloudelliset vahingot.

www.hs.fi

S-Pankissa on ilmennyt vakava häiriö. S-Pankki kertoo tiedotteessaan, että pankissa on ilmennyt järjestelmähäiriö, jonka seurauksena noin muutaman sadan hengen suuruinen joukko S-Pankin asiakkaita pystyi kirjautumaan S-Pankin verkkopankkiin toisen asiakkaan verkkopankkitunnuksilla.

Järjestelmähäiriö vaivasi pankin palveluja lähes neljä kuukautta 20. huhtikuuta–5. elokuuta. Ongelma korjattiin S-Pankin mukaan heti, kun se huomattiin eli 5. elokuuta.

 

[eiltanen]

S-Pankilla ollut pitkään hieman vakavampi ongelma verkkopankissaan:

Pankit | S-Pankissa paljastui vakava häiriö: Sadat pääsivät toisten verkkopankkeihin – ”Häiriötä hyödynnettiin väärinkäytöksiin”

Järjestelmähäiriö vaivasi pankin palveluja lähes neljä kuukautta. Pankki kertoo korvaavansa asiakkailleen kaikki häiriöstä johtuneet välittömät taloudelliset vahingot.

www.hs.fi

Nyt on äärimmäisen epämääräinen tapaus. Eli kirjautumalla on päässyt eri asiakkaan tietoihin? Ei oikein luottamusta herätä pankin kommentointi.

Ainoa mitä tulee mieleen on että S-Pankki muutti kesän aikana vanhoja käyttäjätunnuksia uuteen muotoon ( itse liityin 2010 ja oli jo uudenmalllinen tunnus silloin ) ja jotain meni vikaan. Tuo voisi selittää "vähäisen" määrän asiakkaista.

 

[Humanoid]

Myös Vilmassa on ollut samankaltaisia ongelmia:

Wilmassa näkyi muiden oppilaiden nimiä – Kuopiossa ongelma koski noin sataa käyttäjää

Sovelluksen vika on korjattu. Kuopion kaupunki teki tapahtuneesta ilmoituksen tietosuojavaltuutetulle.

yle.fi

Noin sadan kuopiolaisen Wilma plus -sovellusta käyttävän oppilaan ja alaikäisen oppilaan huoltajan on ollut mahdollista nähdä myös muiden ryhmässä olevien oppilaiden nimet ja opetustoimen henkilöstön tietoja. Syynä tähän oli sovelluksen rajapintaongelma.

 

[Humanoid]

Microsoft Teams tallettaa autentikaatioon tarkoitetut avaimet koneelle selkotekstinä. Näemmä vika koskee myös 2FA:han käytettyjä avaimia. Microsoftin mielestä vika ei ole tarpeeksi vakava, että sitä tarvisi korjata. Vian alkuperänä on mikäs muukaan kuin Electron jonka pohjalle ohjelmisto on rakennettu. Ensimmäistä malwarea odotellessa.

Microsoft Teams stores auth tokens as cleartext in Windows, Linux, Macs

Security analysts have found a severe security vulnerability in the desktop app for Microsoft Teams that gives threat actors access to authentication tokens and accounts with multi-factor authentication (MFA) turned on.

www.bleepingcomputer.com

The biggest concern is that this flaw will be abused by information-stealing malware that have become one of the most commonly distributed paylods in phishing campaigns.
Using this type of malware, threat actors will be able to steal Microsoft Teams authentication tokens and remotely login as the user, bypassing MFA and gaining full access to the account.
Information stealers are already doing this for other applications, such as Google Chrome, Microsoft Edge, Mozilla Firefox, Discord, and many more.

Artikkelissa kehotetaan käyttämään Teamsin selainversiota, mutta se ei ratkaise ongelmaa. Ainakin Chrome-pohjaiset selaimet tallettavat avaimia koneelle samalla periaatteella. Oikea ratkaisua olisi käyttää käyttöjärjestelmän rajapintoja joissa avaimet talletetaan Keychainiin tmv.

 

[user9999]

Lenovon tietokoneissa vakavia haavoittuvuuksia. Satoja malleja.

Lenovon tietokoneista paljastui viisi vakavaa haavoittuvuutta – päivitä heti

Lenovon tietokoneet on nyt päivitettävä ajan tasalle nopeasti. Kiinalaisvalmistaja on paikannut mallistostaan viisi vakavaa haavoittuvuutta. Yhteensä

mobiili.fi

Multi-Vendor BIOS Security Vulnerabilities (September 2022) - Lenovo Support US

support.lenovo.com

 

[Grez]

Nyt on äärimmäisen epämääräinen tapaus.

Iso osa tekijöistä alaikäisä. Nuoret on näppäriä?

Onko S-pankilla omaa softakehitystä? Olis kiva tietää minkä firman bugi tämä loppujen lopuksi on (ellei sitten S-pankin oma konfiguraatiomoka tms)

 

[ztec]

Digi Henkarista artikkeli Hesarissa.

Henkilöllisyys | Passin ja henkilökortin rinnalle tulossa kännykkäsovellus, uusista henkilötunnuksista poistuu tieto sukupuolesta

Digi- ja väestötietoviraston mukaan digitaaliseen henkilöllisyystodistukseen liittyvien mobiilisovellusten kehittäminen on jo pitkällä.

www.hs.fi

Käsittelevät myös tuota S-Pankin sähläystä ja digihenkkarista oli myös oma lanka.

Näköjään tuota oltais jo vuoden sisällä ajamaan käyttöön ja kaikki faktat projektista on pidetty pimennossa. Lupaa aina hyvää, kun pari propellihattua tekee salaa jotain ja sitten on "valmis".

Noi Windows patchit oli kanssa aika meheviä:
Turvallisessa koneessa ei saisi käyttää VPN:ää (IKE) haavoittuvuus, eikä TCP/IP:tä. Molemmissa remote code execution. Pisti taas raapimaan päätä, että onko noi viat istutettu järjestelmiin ihan tarkoituksella tiettyjä tahoja varten. Että pääsevät suoraan sisään koneeseen jos se ylipäätänsä on verkossa tai siinä on mikä tahansa palvelu auki tai pääset kommunikoimaan sen kanssa jotenkin.

 

[Kaalip]

Iso osa tekijöistä alaikäisä. Nuoret on näppäriä?

Onko S-pankilla omaa softakehitystä? Olis kiva tietää minkä firman bugi tämä loppujen lopuksi on (ellei sitten S-pankin oma konfiguraatiomoka tms)

Jotain spekulaatiota kuulin että aukko olisi liittynyt johonkin S-pankin QR koodi tunnistautumiseen, ainakin ilmeisesti se oli pois kytketty nyt päältä. Itselläni ei tosin ole S-pankissa tilejä/tunnuksia mutta kiinnostaisi kyllä tekninen puoli mikä siellä on ollut vikana. Ehkä Fivan raportista aikanaan jotain voisi selvitä.

 

[Ormu]

Jossain uutisoitiin, että aukko olisi löytynyt sattumalta eikä olisi vaatinut kummoisiakaan tietoteknisiä taitoja. Hankala tuosta on paljoa päätellä.

 

[escalibur]

Jotain spekulaatiota kuulin että aukko olisi liittynyt johonkin S-pankin QR koodi tunnistautumiseen, ainakin ilmeisesti se oli pois kytketty nyt päältä. Itselläni ei tosin ole S-pankissa tilejä/tunnuksia mutta kiinnostaisi kyllä tekninen puoli mikä siellä on ollut vikana. Ehkä Fivan raportista aikanaan jotain voisi selvitä.

Olihan heillä muutakin sekoilua aikoinaan. Tietosuojahuolet vaikuttivat - S-Pankki lopetti Googlen käytön

Muistaakseni tuolloin tilin katetiedot olivat näkyvissä verkkopankin session selaimen osoiterivissä yms ihmeellistä.

 

[Kautium]

Microsoft Teams tallettaa autentikaatioon tarkoitetut avaimet koneelle selkotekstinä. Näemmä vika koskee myös 2FA:han käytettyjä avaimia. Microsoftin mielestä vika ei ole tarpeeksi vakava, että sitä tarvisi korjata. Vian alkuperänä on mikäs muukaan kuin Electron jonka pohjalle ohjelmisto on rakennettu. Ensimmäistä malwarea odotellessa.

Microsoft Teams stores auth tokens as cleartext in Windows, Linux, Macs

Security analysts have found a severe security vulnerability in the desktop app for Microsoft Teams that gives threat actors access to authentication tokens and accounts with multi-factor authentication (MFA) turned on.

www.bleepingcomputer.com

Artikkelissa kehotetaan käyttämään Teamsin selainversiota, mutta se ei ratkaise ongelmaa. Ainakin Chrome-pohjaiset selaimet tallettavat avaimia koneelle samalla periaatteella. Oikea ratkaisua olisi käyttää käyttöjärjestelmän rajapintoja joissa avaimet talletetaan Keychainiin tmv.

Tästä on ollut nyt kova hössötys somessa lähinnä juuri tuon bleepingcomputerin hieman överiksi vedetyn ja jopa asenteellisen "teams paha, käytä linuksia" -tyyppisen artikkelin vuoksi.

Jengi ei tunnu nyt oikein hoksaavan, että MS ei ole siksi kokenut tarpeelliseksi tehdä tuolle mitään korkealla prioriteetilla, koska kyse on käyttäjän profiilihakemistoon sovellukseen kirjauduttaessa talletettavista tokeneista (joita käytetään siksi ettei tarvitse joka klikkauksella kirjautua uudestaan). Jotta noihin tokeneihin pääsee käsiksi, pitää käytännössä olla joko kirjautunut käyttäjä itse, tai sitten joku jolla on koneeseen admin-oikeudet. Ja jos taas on ne admin-oikeudet, voi koneelle ja sen muille käyttäjille tehdä muutenkin ihan mitä tahansa ja hyödyntää montaa muutakin tapaa, vaikka sitten nyysiä selaimesta käyttäjän session cookiet ja hyödyntää niitä samalla tavalla, tai korottaa omat oikeudet systeemiksi, jolloin vain taivas on rajana. Ensin pitää siis käytännössä olla jo aiemmin tavalla tai toisella mennyt sellaisen rajan yli, joka mahdollistaa ihan kaiken muunkin. Tai sitten jos kyse on siitä samaisesta käyttäjästä, niin tällä on toki muutenkin päääsy kaikkialle omilla tunnuksillaan. Jos taas kyse on haittaohjelmasta jonka käyttäjä onnistuu aktivoimaan, niin ollaan taas tuossa edellisessä vaiheessa, eli sen haittaohjelman pitää jollakin tavalla ohittaa suojaukset päästäkseen käsiksi sinne tokeniin, jolloin se voisi tehdä miljoona muutakin vastaavaa toimenpidettä.

2FA:n kanssa tuolla ei ole sinänsä tekemistä. Kyseessä on palvelussa x käytetty authentication token ja jos validi sellainen on käytettävissä, niin ei siinä välissä tarvitse enää tehdä mitään 2FA-varmennusta.

Ja kyllä, MS voisi vaikka edes kryptata sen tokenin ja mahdollisesti kohun myötä jossakin vaiheessa myös niin tekee, mutta ei se tee tässä kokonaisuudessa juuri muuta kuin yhden välivaiheen lisää. Kyllä tuo minunkin mielestäni voisi olla fiksummin toteutettu, mutta silti sanon että myrsky vesilasissa.

 

[Humanoid]

Ja kyllä, MS voisi vaikka edes kryptata sen tokenin ja mahdollisesti kohun myötä jossakin vaiheessa myös niin tekee, mutta ei se tee tässä kokonaisuudessa juuri muuta kuin yhden välivaiheen lisää. Kyllä tuo minunkin mielestäni voisi olla fiksummin toteutettu, mutta silti sanon että myrsky vesilasissa.

Saa nähdä mitä MS tekee asialle. Tokenit olisi fiksuinta tallettaa johonkin mistä ne eivät ole helposti luettavissa edes paikallisesti. Ovathan toki huhunneet jo pitkään, että Teams tulee päivittymään eri pohjalle. Aika näyttää onko se sitten PWA- vai jokin muu toteutus.

 

[escalibur]

Saa nähdä mitä MS tekee asialle. Tokenit olisi fiksuinta tallettaa johonkin mistä ne eivät ole helposti luettavissa edes paikallisesti. Ovathan toki huhunneet jo pitkään, että Teams tulee päivittymään eri pohjalle. Aika näyttää onko se sitten PWA- vai jokin muu toteutus.

Tai sitten vaan keskitytään käyttämään Teamsin selainversiota. Henkilökohtaisesti en ole käyttänyt asennusversiota moneen vuoteen, vaikka käytän Teamsia päivittäin. Säästyypähän samalla koneen resurssitkin muuhun käyttöön.



Tämäkään ei olisi onnistunut selainversiolla.

 

[escalibur]

Ilmeisesti Uber on kokenut jonkinlaisen tietomurron:

 

[user9999]

Lawrence Systemsiltä lyhyt video tuosta Teams jutusta,

 

[Kautium]

Lawrence Systemsiltä video tuosta Teams jutusta,

Olennainen kohdassa 6:19, joka on sisällöllisesti käytännössä sama mitä sanoin tuossa ylempänä.

"Yes, this is a security flaw, but it is also little bit of a clickbait, because once someone has local access to the computer you have to assume you gain whatever privileges that user has." Niinpä niin.

 

[fokkusu]

 

[Desgorr]

Ei hemmetti, tuollahan on korkattu melkein kaikki palvelut jos pitää paikkansa

Näin päästy nähtävästi sisään useisiin paikkoihin. Hyvä muistutus, että tunnareita ei kannata hardkoodata



Mutta mikähän tässä on ollut ideana, kun hyökkääjä on heti ilmoittanut asiasta? For the lulz?


Edit:
Olihan tästä jo ihan uutisiakin tarjolla. Esim: Uber korkattu – hakkeri nappasi järjestelmät haltuunsa ja laittoi yhtiön sivuille pornoa

Hakkeri on kertonut päässeensä sisään erään työntekijän hyväuskoisuuden avulla. Hakkeri lähetti työntekijälle tekstiviestin, jossa hän kertoi olevansa firman it-osastolla töissä, ja sen avulla sai työntekijän kertomaan hakkerille käyttäjätunnuksensa ja salasanansa.

Hakkeri on kertonut olevansa vain 18-vuotias. Tietomurron motiivina ei vaikuttaisi olevan raha, vaan hauskanpito: hakkeri kertoo murtautuneensa Uberiin, koska yhtiöllä oli niin surkea tietoturva.

 

[TenderBeef]

Näin päästy nähtävästi sisään useisiin paikkoihin. Hyvä muistutus, että tunnareita ei kannata hardkoodata

Ja kouluttaa porukka social engineeringiä vastaan ettei pääse intranettiin kaivelemaan niitä mahdollisia hardkoodattuja tunnareita.

 

[user9999]

Aina kun tulee näitä hype firmoja niin kannattaa miettiä pitkän aikaan, että tekeekö tunnarin.
Kaikki energia noilla yrityksillä menee muuhun kuin tietoturvaan.

 

[Humanoid]

Ilmeisesti hakkereilla oli vapaa pääsy LastPassin systeemeihin neljän päivän ajan:

LastPass says hackers had internal access for four days

LastPass says the attacker behind the August security breach had internal access to the company's systems for four days until they were detected and evicted.

www.bleepingcomputer.com

Tapaus liittyy aiempaan murtoon, josta uutisoitiin hakkerin pääseen käsiksi LastPassin lähdekoodiin.

 

[Obi-Lan]

Twitterissä ollut versio tuosa Uber hakkeroinnista on, että hakkeri pommitti työntekijän kännykkään satoja MFA Push authentication pyyntöjä. Sitten laittoi WhatsAppilla viestin "IT tuesta", että jos käyttäjä haluaa niiden loppuvan pitää hyväksyä. Se, että saa ladattua sen käyttäjän oikeuksilla skriptin missä on kovakoodattuna korkean tason tunnukset, on sitten jo huolimattomuutta.

 

[escalibur]

2K:n tukipalveluun on murtauduttu ja 2K pyytää käyttäjiä vaihtamaan salasanansa:

 

[TenderBeef]

Oracle Cloud fixes ‘critical’ data-access vulnerability

chmod a+rw at hyperscale

www.theregister.com

A "critical" Oracle Cloud Infrastructure vulnerability could have been exploited by any customer to read and write data belonging to any other OCI customer without any permission checks, according to Wiz security researchers.

Luckily, upon disclosing the bug to Oracle, the IT giant patched the security hole "within 24 hours," according to Wiz's Elad Gabay.

 

[TenderBeef]

Unpatched 15-year old Python bug allows code execution in 350k projects

A vulnerability in the Python programming language that has been overlooked for 15 years is now back in the spotlight as it likely affects more than 350,000 open-source repositories and can lead to code execution.

www.bleepingcomputer.com

Disclosed in 2007 and tagged as CVE-2007-4559, the security issue never received a patch, the only mitigation provided being a documentation update warning developers about the risk.
...
Technical details for CVE-2007-4559 have been available since the initial report in August 2007. While there are no reports about the bug being leveraged in attacks, it represents a risk in the software supply chain.

 

[Grez]

Jotenkin hämmentävää että Pythonilla toteutettuja tar-paketteja käyttäviä projekteja on pelkästään Githubissa 588 840

Toisaalta ehkä se sitten ei ole niin ihmeellistä jos projekteja on yli 100 miljoonaa ja Pythonin käyttäjiä on n. 15% käyttäjistä.

 

[mikajh]

Jotenkin hämmentävää että Pythonilla toteutettuja tar-paketteja käyttäviä projekteja on pelkästään Githubissa 588 840

Ehkä myös helpottavaa, että suuri osa noista ei toimi nykyisin käytettävillä Python-versioilla lainkaan

 

[Agent_007]

BGP-kaappauksen avulla vietiin viime kuussa Amazonilta 255 IP-osoitetta kolmeksi tunniksi. Näiden IP-osoitteiden myötä saadun TLS-sertifikaatin avulla toteutettiin hyökkäys Celer Bridge -kryptopalvelua vastaan, jonka seurauksena ohjattiin yli 230 000 dollarin edestä kryptovaluuttoja hyökkääjien huomaan.

How 3 hours of inaction from Amazon cost cryptocurrency holders $235,000

For 2nd time in 4 years, Amazon loses control of its IP space in BGP hijacking.

arstechnica.com

 

[user9999]

Microsoft Exchange sähköpostipalvelimessa nollapäivähaavoittuvuus. Vaatii palvelimelle tunnistautumisen joka pienentää haavoittuvuuden käytön mahdollisuutta ja lieventää kokonaisriskiä.

Tunnistautumista vaativa etäkäytön mahdollistava haavoittuvuus Microsoft Exchangessa | Kyberturvallisuuskeskus

Microsoft Exchange-sähköpostipalvelimessa on havaittu haavoittuvuuksia, jotka mahdollistavat mielivaltaisen koodin suorittamisen. Haavoittuvuuksia käytetään aktiivisesti hyväksi. Microsoft on julkaissut korjaavat päivitykset.

www.kyberturvallisuuskeskus.fi

/blog/2022/09/customer-guidance-for-reported-zero-day-vulnerabilities-in-microsoft-exchange-server/

msrc-blog.microsoft.com

 

[Grez]

BGP-kaappauksen avulla vietiin viime kuussa Amazonilta 255 IP-osoitetta kolmeksi tunniksi. Näiden IP-osoitteiden myötä saadun TLS-sertifikaatin avulla toteutettiin hyökkäys Celer Bridge -kryptopalvelua vastaan, jonka seurauksena ohjattiin yli 230 000 dollarin edestä kryptovaluuttoja hyökkääjien huomaan.

How 3 hours of inaction from Amazon cost cryptocurrency holders $235,000

For 2nd time in 4 years, Amazon loses control of its IP space in BGP hijacking.

arstechnica.com

Jännää että tässä ei nostettu sen suuremmin esille tuon kyrptopalvelun haavoittuvaisuutta. Se, että joku saa reititettyä liikenteen tietystä IP-lohkosta itselleen ei hyvin suunnitellussa järjestelmässä vielä pitäisi mahdollistaa kryptovaluuttojen pöllimistä.

 

[Pakana]

Ei nyt ihan tietoturvajuttu, mutta sivuaa aihetta kuitenkin: Turussa on kähvelletty yleisavain, jota käyttämällä pääsee useimpien taloyhtiöiden yleisiin tiloihin.

TS: Rikolliset ovat saaneet haltuunsa lähes kaikkien kerrostaloyhtiöiden putkilukkojen avaimen Turussa

Turun Sanomien tietojen mukaan rikollisilla on pääsy ainakin kyseisten taloyhtiöiden yleisiin tiloihin ja huoltotiloihin, mutta ei ilmeisesti asuntoihin.

yle.fi

Onkohan se ihan asianmukaista ja tarpeellista, että tällainen yleisavain on ylipäätään olemassa?

Hilaan nyt tän vanhan uutisen esiin, kun vasta nyt luin tätä.

Mä raahasin mukanani aiemmin tuollaista teleasentajan avainnippua, ja sen systeemin turvallisuus oli hyllä hämmästyttävällä tasolla.

Jonkinlaisesta turvallosuudesta pystyi puhumaan vain uusimpien taloyhtiöiden tapauksessa, joihin mulla ei juuri ollut asiaa. Vähintään 90% vanhemmista, sanotaan yli 15 vuotta vanhoista taloyhtiöistä käytti lukkoa/avainta jonka kopiointi onnistui missä tahansa suutarilla, eikä kukaan tiedä montako noita avaimia on liikenteessä. Yleisin putkilukko oli abloy classic avaimella. Lisäksi, perstuntumalta kolmasosa putkilukoista paljasti yleisavaimen, jolla pääsi myös asuntoihin sisään.

Ts, tuo uutinen jossa avainnippu on hävinnyt ja ei tiedetä kenellä avain on, on lisännyt tuntemattoman henkilön avattavissa olevia lukkoja ehkä 5%.

Tästä on tietysti jo useampi vuosi aikaa, mutta hyvin vahvasti epäilen että noita olisi valtavalla innolla ruvettu uusimaan. Mun kokemuksen mukaan se turvallisuustaso paranee vain siinä yhteydessä koko taloyhtiön lukot uusitaan ja sinne putkilukkoon jää vanha avain.

 

[escalibur]

Verkkorikolliset ovat oivaltaneet jakaamaan ransomwarea OneDriven DLL-puukotuksen avulla:

Side-Loading OneDrive for profit – Cryptojacking campaign detected in the wild

Cryptojackers have become very lucrative for cybercriminals in recent years as the price of cryptocurrency soared.

www.bitdefender.com

The attackers write a fake secure32.dll to %LocalAppData%\Microsoft\OneDrive\ as non-elevated users that will be loaded by one of the OneDrive processes (OneDrive.exe or OneDriveStandaloneUpdater.exe).

Threat actors use one of OneDrive’s dll files to easily achieve persistence, because %LocalAppData%\Microsoft\OneDrive\OneDriveStandaloneUpdater.exe is scheduled to run every day, by default.

To make persistence even more robust, the droppers of the fake secure32.dll also set%LocalAppData%\Microsoft\OneDrive\OneDrive.exe to run at every reboot using the Windows Registry.

Once loaded into one of the OneDrive processes, the fake secur32.dll downloads open-source cryptocurrency mining software and injects it into legitimate Windows processes.

Although the article presents DLL Side-Loading used for cryptojacking, this method can be used to achieve various other goals, like deploying spyware or ransomware.

In the two-month period from May 1 to July 1, 2022, Bitdefender detected this kind of cryptojacking of around 700 users around the globe

https://www.bitdefender.com/files/News/CaseStudies/study/424/Bitdefender-PR-Whitepaper-SLOneDriveCyberJack-creat6318-en-EN.pdf

 

[user9999]

Joku tutkimus tehty selaimien haavoittuvuuksien määrästä..

Tässä ovat haavoittuvimmat selaimet – Google Chrome listan kärjessä

Yllättäen Opera-selaimessa ei ole havaittu ainuttakaan haavoittuvuutta vuoden 2022 aikana.

www.tekniikkatalous.fi

Real news from the privacy world

At NordVPN, we believe that everyone deserves privacy and security online. Read our NordVPN blog for all the latest cybersecurity news and tech insights.

atlasvpn.com

 

[TenderBeef]

Joku tutkimus tehty selaimien haavoittuvuuksien määrästä..

Tässä ovat haavoittuvimmat selaimet – Google Chrome listan kärjessä

Yllättäen Opera-selaimessa ei ole havaittu ainuttakaan haavoittuvuutta vuoden 2022 aikana.

www.tekniikkatalous.fi

Real news from the privacy world

At NordVPN, we believe that everyone deserves privacy and security online. Read our NordVPN blog for all the latest cybersecurity news and tech insights.

atlasvpn.com

Mielestäni aika nolla-tutkimus*. Monet selaimet käyttää pohjana Chromiumia, myös tutkimuksessa mainitut Edge ja Opera. Tuolla atlasvpn:n sivulla mainitaankin:

While quite different in features, Google Chrome, Microsoft Edge, and Opera are all built on the Chromium engine. It means that Chromium vulnerabilities may impact all of these browsers.

Mielestäni tuo "may impact" on aika löyhästi muotoiltu.

EDIT: * Toki tuosta voi katsoa esim. Chromen ja Firefoxin eroa... kuitenkin muistaen, että Firefoxin käyttäjiä on melkein 20x vähemmän ja markkinaosuus aika pieni, ja sillä on varmasti jotain vaikutusta miten haavoittuvuuksia tulee esiin.

 

[leripe]

Myöskin jännästi suosituimpaan selaimeen ja moottoriin löydetty eniten haavoja. Taitaa myös olla googlella ehkä parhaat bug bountyt ym.

 

[user9999]

Saksalaisen vaateverkkokaupan Zalandon suomalaiskäyttäjien asiakastileille on päästy käsiksi.

Oletko tilannut Zalandolta? Tarkista heti tiliotteesi – asiakastileille on päästy tunkeutumaan

Suomalaisten Zalando-tileillä on tehty tilauksia ulkomailta.

www.iltalehti.fi

”Jäi epäuskoinen olo”: Suomalaisten Zalando-tileille on tunkeuduttu jo keväällä – yhtiön vastaukset hämmentävät

Zalando-tilien väitettyä kaappaamista on tapahtunut jo keväällä, kertovat Iltalehden lukijat.

www.iltalehti.fi

Suomalaisten tileille murtauduttiin, mutta miten? Näin vastaa Zalando

Zalandon mukaan yhtiön verkkokaupan turvallisuus ei ole vaarantunut.

www.iltalehti.fi

 

[Infy]

Saksalaisen vaateverkkokaupan Zalandon suomalaiskäyttäjien asiakastileille on päästy käsiksi.

Oletko tilannut Zalandolta? Tarkista heti tiliotteesi – asiakastileille on päästy tunkeutumaan

Suomalaisten Zalando-tileillä on tehty tilauksia ulkomailta.

www.iltalehti.fi

”Jäi epäuskoinen olo”: Suomalaisten Zalando-tileille on tunkeuduttu jo keväällä – yhtiön vastaukset hämmentävät

Zalando-tilien väitettyä kaappaamista on tapahtunut jo keväällä, kertovat Iltalehden lukijat.

www.iltalehti.fi

Suomalaisten tileille murtauduttiin, mutta miten? Näin vastaa Zalando

Zalandon mukaan yhtiön verkkokaupan turvallisuus ei ole vaarantunut.

www.iltalehti.fi

Zalandon mukaan syynä on käyttäjien huonot salasanat, eikä itse palvelua olisi korkattu.

 

[ztec]

Digiturvaviikko menossa, joten nyt ne salakalat kuntoon, jos jollakulla on vielä jotain onnetonta käytössä.

Digiturvaviikko 2022

Tervetuloa mukaan edistämään digitaalista turvallisuutta yhdessä Digiturvaviikolla 10.–14.10.2022! Viime vuonna 300 organisaatiota ympäri Suomen ilmoittautui mukaan ja tarjosi henkilöstölleen mahdollisuuden oppia ja kehittää digiturvaa virtuaalisen teemaviikon aikana. Osallistuminen on tänäkin...

www.lyyti.fi

 

[escalibur]

Intelillä on vuotanut astetta isompi satsi lähdekoodia:

The leak contains 5.97 GB of files, source code, private keys, change logs, and compilation tools, with the latest timestamp on the files being 9/30/22, likely when a hacker or insider copied the data.

BleepingComputer has been told that all the source code was developed by Insyde Software Corp, a UEFI system firmware development company.

The leaked source code also contains numerous references to Lenovo, including code for integrations with 'Lenovo String Service', 'Lenovo Secure Suite', and 'Lenovo Cloud Service.'

Intel confirms leaked Alder Lake BIOS Source Code is authentic

Intel has confirmed that a source code leak for the UEFI BIOS of Alder Lake CPUs is authentic and has been released by a third party.

www.bleepingcomputer.com

Intel Confirms Alder Lake BIOS Source Code Leak, New Details Emerge

Hack's perpetrator and origins remain unknown.

www.tomshardware.com