נושא:אבטחת מידע
להלן ידיעות נוספות שפורסמו תחת נושא זה
ספריית libxml2 מפותחת ומתוחזקת ע"י מתנדב בודד, Nick Wellnhofer, אשר הכריז כי הוא מבטל את נוהל אסגרת פרצות האבטחה - נוהל בו פרצות שמדווחות באופן חשאי ומטופלות האופן דחוף ולאחר מכן מובאות לידיעת הציבור. הוא אינו מסוגל לעמוד בעומס ובמשאבים הנובעים מהתהליך ומבקר את האופן בו חברות שמרוויחות מיליארדים מעמיסות על מתנדבים המתחזקים ספריות ללא שום תגמול.כוונתו מעתה להתייחס לדיווחים האלה כמו כל באג אחר ויש לו בטן מלאה על הארגונים האלה שמשליכים על המתנדבים את עול הטיפול בפרצות:
נחשפה חולשה משמעותית ב־OpenSSH המאפשרת שליטת מנהל (Root) מלאה על שרתי אינטרנט דרך ספריית glibc של מערכת ההפעלה לינוקס.החולשה הנקראת regreSSHion מאפשרת לתוקף להשתלט על השרת ולהריץ פקודות אשר מאפשרות שליטה מלאה על המחשב.
לפי הערכות ראשוניות מדובר מעל 14 מליון שרתי אינטרנט החשופים לחולשה המקוטלגת כ CVE-2024-6387. הפרצה תוקנה ב־OpenSSH 9.8 ופורסמו עדכונים להפצות השונות.
ראו בנוסף:
הערה: נערך.
הדלת האחורית הוכנסה ע"י המתחזק העיקרי של xz [LWN], בגרסאות 5.5.1 עד 5.6.1. לדלת הזו יש גם השפעה על lzma ומכאן על ssh. למעוניינים יש תחקיר מקיף על הנושא.הפצות עם ענפים יציבים אשר משתנים בקצב איטי לא סבלו מן הסתם מהתופעה. ענפים לא יציבים שלהן או הפצות מתגלגלות פרסמו עדכונים. מומלץ למצוא בידיעה ב-lwn המקושרות למעלה את ההודעה של ההפצה שלכם.
ראו גם Backdoor found in widely used Linux utility breaks encrypted SSH connections.
בכל מקרה, לעדכן!
הערה: תודה לאנונימיים שולחי הידיעות בנושא, אשר אוחדו כאן.
6224 כניסות :: 10 תגובות
האתר Free Download Manager הגיש לחלק מהמבקרים קבצי deb המכילים רוגלה אשר גונבת סיסמאות ומידע רגיש.האתר הפנה חלק מהמשתמשים למאגרי חבילות הכוללים את הנוזקה, אשר הייתה פעילה במשך שלוש שנים עד הגילוי והחסימה שלה.
למידע נוסף: https://arstechnica.com/security/2023/09/password-stealing-linux-malware-served-for-3-years-and-no-one-noticed/.
2894 כניסות :: תגובות?
מערך הסייבר הלאומי: דגשים לאבטחת השימוש בקוד פתוח [טיוטה לעיון הציבור]ע"י דוביקס פורסם: 12/06/2022 - 20:55
מערך הסייבר הלאומי פרסם טיוטה להתייחסות הציבור בנושא ״דגשים לאבטחת השימוש בקוד פתוח״:״השימוש בקוד פתוח (Open Source) בארץ ובעולם הולך וגובר. לנוכח זאת שכיח לראות כי קוד פתוח מגיע כחלק מובנה במוצרי מדף ושירותים אשר מקורם מצד-שלישי, ואף בכלים ומערכות שצוות ה-IT עושה בהם שימוש. כמו כן, שכיח לראות שילוב קוד פתוח במוצר/בשירות אשר ארגונים מפתחים לטובת שימוש פנימי או חיצוני.
לצד זאת, היקף האיומים בקוד פתוח הולך וגדל, כאשר ארגונים רבים אינם מודעים למרחב האיומים, והצעדים הנדרשים להתמודדות מולם.
המסמך ׳דגשים לאבטחת השימוש בקוד פתוח (Open Source)׳ מציג רשימת דגשים להחלה במסגרת תהליכים ארגוניים דוגמת פיתוח מאובטח ורכש והתקשרויות, אשר אימוץ שלהם יקטין את הסיכון לארגון וללקוחותיו.״
Jetpack, חברה המייצרת כלי אבטחה עבור וורדפרס, גילתה כי 93 תוספים וערכות נושא השייכות לחברת AccessPress כוללים דלת אחורית. ההנחה כי הקוד הוחדר ע"י פריצה אל אתר החברה.בעת התקנת אחד התוספים הנגועים מוזרק קוד המקודד ב-base64 לקוד האתר. ההערכה כי הקוד מפנה לאתרים הכוללים נוזקה והונאה. כמו כן מאפשר לתוקפים למכור גישה לאתרים הנגועים.
לבעלי אתרי וורדפרס, מומלץ:
בתור מה שנראה כחלק ממחקר, נשלחו פאצ'ים לקרנל מאוניברסיטת מינסוטה אשר הכילו ביודעין בעיות אבטחה. חלקם נכנסו, חלקן טופלו לפני ההכנסה וחלקן נפסלו.לאחר ניסיונות חוזרים לעשות זאת, Greg KH חסם קבלת פאצ'ים מכל הדומיין של האוניברסיטה ואף יידע את הנהלת מחלקת מדעי המחשב וההנדסה של האוניברסיטה.
מקורות:
הבאג (Dirty COW = Dirty copy-on-write) קיים כבר 9 שנים בקרנל (2.6.22 ומעלה) של לינוקס ומאפשר שינוים/ניצול הרשאות כתיבה-קריאה במכשירים הפועלים על הקרנל(אנדרואיד, רסברי-פאי,ראוטרים ועוד מיני הפצות לינוקס) ...
WhatsApp, אפליקציית הצ'אט הפופולארית, מצפינה את כל ההודעות שלכם עם פרוטוקול ההצפנה של חברת Open Whisper Systems, פרוטוקול הצפנה End-to-end בקוד פתוח.כמדי חודש, צוות Digital Whisper מפרסם גליון חודשי בעברית בנושאי טכנולוגיה עם דגש על אבטחת מידע. המאמרים נכתבו ע"י צוות האתר וכותבים-אורחים.הגליון החמישים וחמישה כולל את המאמרים הבאים:
כמדי חודש, צוות Digital Whisper מפרסם גליון חודשי בעברית בנושאי טכנולוגיה עם דגש על אבטחת מידע. המאמרים נכתבו ע"י צוות האתר וכותבים-אורחים.הגליון החמישים וארבעה כולל את המאמרים הבאים:
כמדי חודש, צוות Digital Whisper מפרסם גליון חודשי בעברית בנושאי טכנולוגיה עם דגש על אבטחת מידע. המאמרים נכתבו ע"י צוות האתר וכותבים-אורחים.הגליון החמישים ושלושה כולל את המאמרים הבאים:
כמדי חודש, צוות Digital Whisper מפרסם גליון חודשי בעברית בנושאי טכנולוגיה עם דגש על אבטחת מידע. המאמרים נכתבו ע"י צוות האתר וכותבים-אורחים.הגליון החמישים ושניים כולל את המאמרים הבאים:
כבר מספר שעות ששרתי הNS של centos אינם מגיבים כראוי וגלישה לאתר centos.org אינה אפשרית.אין עדיין התחייסות באתר http://planet.centos.org/ אשר עדיין עובד.
פקודות ה yum במערכות centos יכשלו במידה והן פונות לmirrorlist של centos.org.
כמדי חודש, צוות Digital Whisper מפרסם גליון חודשי בעברית בנושאי טכנולוגיה עם דגש על אבטחת מידע. המאמרים נכתבו ע"י צוות האתר וכותבים-אורחים.