Jump to content
Forum Kopalni Wiedzy
Sign in to follow this  
KopalniaWiedzy.pl

Niezałatana dziura w Chrome pozwala na kradzież informacji

Recommended Posts

Hakerzy aktywnie wykorzystują dziurę we wbudowanym w Chrome czytników PDF-ów. Dziura daje napastnikowi dostęp do takich informacji jak adres IP komputera, dane o wersji systemu operacyjnego, wersji Chrome'a czy pełną ścieżkę dostępu do pliku PDF.

Wiadomo, że złośliwe PDF-y wykorzystujące lukę pojawiły się już w grudniu ubiegłego roku. Gdy użytkownik otworzy taki plik, informacje na temat komputera są przesyłane na serwer napastnika. Na szczęście dziura nie pozwala na kradzież haseł, co było możliwe dzięki niedawno odkrytej luce w Adobe Readerze.

Odkrywcy dziury poinformowali Google'a o problemie pod koniec grudnia. W lutym firma odpowiedziała, że wyda łatę do końca kwietnia. W takiej sytuacji firma, która znalazła dziurę zdecydowała się o niej poinformować wcześniej. Użytkownicy Chrome'a powinni korzystać z alternatywnego czytnika PDF lub też odłączać komputer od sieci podczas otwierania pliku PDF za pomocą Chrome'a.


« powrót do artykułu

Share this post


Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
Sign in to follow this  

  • Similar Content

    • By KopalniaWiedzy.pl
      Badacze z Singapuru poinformowali o zidentyfikowaniu luk w ponad 480 urządzeniach Bluetooth w tym bransoletkach do fitnessu, urządzeniach medycznych czy urządzeniach z gatunku "smart home". Błędy znaleziono w SKD Bluetooth Low Energy (BLE) mogą zostać wykorzystane do wywołania awarii lub uzyskania przez napastnika prawa do odczytu i zapisu danych.
      Zestaw 12 dziur, nazwany przez badaczy Sweyntooth, występuje w urządzeniach wielu dużych producentów, takich jak Texas Instruments, Dialog Semiconductors, STMicroelectronics, Microchip, NXP, Cypress czy Telink Semiconductor.
      Naukowcyz Singapore University of Technology and Design donoszą, że błędy występują m.in. w smartwatchach Fitbit Inspire, urządzeniach Eve Systems, August Smart Lock, CubiTag, eGee Touch i wielu innych.
      Badacze już poinformowali producentów urządzeń, a wielu z nich przygotowało odpowiednie poprawki. Część urządzeń instaluje je samodzielnie, problem jednak w tym, że nie wszystkie. Głównym wyzwaniem będzie upewnienie się, że osoby, które powinny ręcznie zaktualizować swoje oprogramowanie, rzeczywiście to zrobiły. Pocieszeniem może być fakt, że ataku na wspomniane dziury nie da się dokonać za pośrednictwem internetu. Napastnik musi znajdować się w bezpośrednim sąsiedztwie atakowanego urządzenia.
      Jednak największym zmartwieniem naukowców są urządzenia medyczne. Ataky można bowiem dokonać na rozruszniki serca, monitory poziomu glukozy oraz urządzenia aplikujące leki. Tymczasem dziury pozwalają na doprowadzenie do ich awarii, wymuszenie restartu i zablokowanie ich czy przyjęcie nad nimi kontroli. Ten ostatni sposób ataku stanowi dla chorych najwieksze zagrożenie.

      « powrót do artykułu
    • By KopalniaWiedzy.pl
      W procesorach Intela odkryto kolejną lukę. Dziura nazwana CacheOut to luka typu side-channel, czyli błąd pozwalający na wykorzystanie pewnych szczegółów, często prawidłowej, implementacji.
      Dziura odkryta przez naukowców z University of Michigan i University of Adelaide występuje we wszystkich procesorach od architektury SkyLake po Coffee Lake powstałych przed rokiem 2019. Wiadomo, że nie występuje ona w procesorach AMD, ale badacze nie wykluczają, że jest obecna w układach IBM-a i ARM.
      Jak zauważyli eksperci gdy dane są pobierane z cache'u L1 często trafiają do buforów, z których mogą zostać wykradzione przez napastnika. Bardzo atrakcyjnym elementem CacheOut jest fakt, że napastnik może zdecydować, które dane z L1 zostaną umieszczone w buforze, skąd dokona kradzieży. Specjaliści wykazali, że możliwy jest wyciek danych mimo wielu różnych zabezpieczeń. w tym zabezpieczeń pomiędzy wątkami, procesami, wirtualnymi maszynami, przestrzenią użytkownika a jądrem systemu.
      Intel, który o problemie został poinformowany już w ubiegłym roku, sklasyfikował lukę L1D Eviction Sampling/CVE-2020-0549/INTEL-SA-00329 jako średnio poważną i przygotował odpowiednie poprawki. Odpowiedni mikrokod zostanie upubliczniony a nwjbliższym czasie. Tymczasowym obejściem problemu jest wyłączenie wielowątkowości lub wyłączenie rozszerzenia TSX.

      « powrót do artykułu
    • By KopalniaWiedzy.pl
      Cyberprzestępcy wykorzystują nowo odkrytą dziurę zero-day w Internet Explorerze. Luka pozwala napastnikowi na korzystanie z systemu na prawach aktualnie zalogowanego użytkownika. Błąd występuje w IE 9, 10 i 11 w wersjach na Windows 7, 8.1, RT 8.1, 10, Server 2008, 2008 R2, Server 2012, 2016 i 2019.
      US CERT (Computer Emergency Response Team) informuje, że atak może zostać przeprowadzony za pomocą odpowiednio spreparowanej witryny lub dokumentu HTML renderowanego przez przeglądarkę. Microsoft donosi, że dotychczas zanotowano ograniczoną liczbę ataków z wykorzystaniem tej dziury.
      Dziura pozwalająca na zdalne wykonanie kodu wykorzystuje błąd w przetwarzaniu obkektów przez silnik Internet Explorera. W wyniku błędu dochodzi do awarii podsystemu pamięci tak, że napastnik może wykonać dowolny kod na prawach zalogowanego użytkownika. [...] Jeśli zalogowany jest administrator, napastnik może przejąć kontrolę nad systemem. Ma wówczas możliwość instalowania programów, przeglądania, zmiany i usuwania danych czy też stworzenia nowego konta z pełnymi uprawnieniami użytkownika, czytamy na stronach Microsoftu.
      Koncern opublikował też porady dotyczące obejścia problemu i tymczasowego zabezpieczenia się przed atakiem. Proponuje ograniczenie dostępu do JScript.dll. Jednak, jako że technika ta wymaga uprawnień administracyjnych, korzystania z linii komend, a ograniczenia należy wyłączyć przed zainstalowaniem łatki, działania takie zalecane są tylko wówczas, jeśli jesteśmy narażeni na atak.
      Odpowiednia poprawka zostanie opublikowana w drugą środę przyszłego miesiąca, w ramach comiesięcznego zestawu łat.

      « powrót do artykułu
×
×
  • Create New...