SIAMO GEEK

Categoria: Sicurezza

Sicurezza informatica

  • Aggiornamenti di PHP per CentOS

    Sono stati rilasciati gli aggiornamenti dei pacchetti php e php53 di CentOS versione 6 e 5.x rispettivamente.

    Questo aggiornamento corregge due bachi di sicurezza dell’interprete, come indicato nella nota di quello che CenOS chiama l’upstream.

    Il primo baco corretto riguarda la funzione di hash degli array suscettibile di collisioni prevedibili. Se un HTTP POST contiene molti parametri il cui nome ha il medesimo hash, il consumo di CPU di PHP aumenta notevolmente.

    Questo problema è stato mitigato introducendo la direttiva di configurazione max_input_vars, il cui valore di default è 1.000.

    Il secondo baco corretto riguarda un integer overflow sui sistemi a 32 bit: se viene caricata un’immagine i cui dati EXIF sono stati modificati ad arte, l’interprete va in crash e potrebbe esporre i dati che ha in memoria.

  • Sicurezza stampanti HP: non si fa così

    Pochi giorni fa HP ha annunciato di aver rilasciato gli aggiornamenti del firmware delle stampanti coinvolte in un problema di sicurezza.

    Il problema riguarda la possibilità di installare su alcune stampanti HP un firmware non originale (video) che può esporre dati riservati oppure modificare i parametri di funzionamento della stampante causando danni e, potenzialmente, incendi.

    Il problema è che HP, in una maniera assolutamente irrituale rispetto a casi analoghi, non ha pubblicato l’elenco dei modelli coinvolti, ma dice semplicemente di accedere alla sezione del supporto del suo sito, mettere il nome del modello della stampante, selezionare Download e verificare se c’è un aggiornamento del firmware.

    Questa scelta è stata probabilmente dettata da qualche genio delle pubbliche relazioni o del dipartimento legale, i quali preferiscono sempre nascondere la polvere sotto il tappeto e gestire in seguito eventuali problemi, scommettendo sul fatto che o non succeda nulla oppure si possa minimizzare o smentire.

    Se questa era la norma nel secolo scorso, nel 2012 la mancanza di trasparenza in questo tipo di comunicazioni non paga più, specialmente quando ci sono molte alternative alle stampanti HP a prezzi vantaggiosi.

  • Proteggere WordPress con Fail2ban

    Come molti siti basati su WordPress, anche questo subisce un sacco di attacchi.

    Fino a pochi giorni fa gli unici sistemi di difesa erano dei plugin come Secure WordPress che nascondono informazioni utili a chi vuole fare un attacco, sia esso mirato o scripted.

    Di recente sono usciti scanner come WPScan che non solo portano un attacco a forza bruta contro il sito, ma rieschiano anche di creare dei DoS totali o parziali a causa del sovraccarico a cui sottopongono il sistema.

    (altro…)

  • BackBox 2.01

    È stata rilasciata la versione 2.01 di BackBox, la distribuzione Linux dedicata ai test di penetrazione di cui avevamo già parlato un anno fa.

    Tra le novità di questa versione ci sono un aggiornamento del sistema, un nuovo look, i menu ridisegnati e le nuove versioni dei tool, tra cui dradis 2.8, ettercap 0.7.4.2, john 1.7.8, metasploit 4.2, nmap 5.51, set 2.5.2, sleuthkit 3.2.1, w3af 1.0, weevely 0.5, wireshark 1.6.3.

    La distribuzione può essere scaricata in versione i386 oppure AMD64. (via Dissecting)

  • Di buone intenzioni…

    Questa è la storia di come qualcosa fatto in perfetta buona fede possa diventare un possibile problema di sicurezza.

    Un’azienda qualche mese fa rinnova il parco PC, quelli dismessi vengono quarantenati in magazzino.

    L’azienda informa che chiunque voglia un PC di quelli dismessi deve pagare una somma a parziale copertura delle spese per cancellare i dati del PC, ma nessuno si fa avanti perché le macchine sono obsolete.

    Arriva Natale e un responsabile decide all’ultimo minuto di usare uno di quei PC per fare un regalo ad una persona a cui potrebbe essere utile.

    Il responsabile, lo ribadisco: in perfetta buona fede, sceglie il PC che apparteneva ad una delle contabili perché è uno dei migliori tra quelli scartati. La persona porta a casa il PC, ma si blocca perché non conosce la password di accesso al PC e mi telefona. Purtroppo non posso aiutare questa persona per telefono e devo chiedere di portare il PC in azienda.

    È, quindi, necessario che ogni organizzazione abbia delle procedure definite per la dismissione di materiale informatico che contenga dei dati, anche se un computer dismesso viene affidato ad una persona a cui non interessa nulla dei dati contenuti.

    Chiavette USB e memorie SD o similari: se non più utilizzate perché non funzionanti devono essere distrutte fisicamente. Quelle obsolete devono essere cedute a terzi dopo averle formattate, riempite con dati casuali (o comunque non aziendali) e cancellate o formattate di nuovo.

    Le stampanti o multifunzioni che contengono hard disk devono essere opportunamente cancellate prima di portarle all’esterno dell’azienda o renderle al noleggiatore. Queste apparecchiature hanno, di solito una procedura di cancellazione dei dati. Se sono a noleggio, includere nel contratto di locazione la cancellazione dei dati alla fine del contratto.

    I dischi dei PC devono essere cancellati prima di cedere il computer. Se non si vuole reinstallare il sistema operativo, procedere come segue:

    1. cancellare tutti i dati al di fuori dei profili utente;
    2. disinstallare tutto il software aziendale e quello le cui licenze non sono trasferibili;
    3. se il PC ha un IP fisso, configurare il DHCP;
    4. se il PC è in dominio, resettare la password dell’Administrator locale e rimuovere il computer dal dominio;
    5. cancellare tutti i profili utente;
    6. cancellare il contenuto di C:\WINDOWS\TEMP;
    7. creare una directory con dei file grossi senza dati aziendali, come ad esempio le distribuzioni ISO di Linux;
    8. duplicare la cartella di cui al punto precedente in modo ad averna 2, 4, 8, eccetera fino ad andare in disk full;
    9. cancellare le copie delle cartelle di cui sopra.

    La persona o l’organizzazione che riceve il PC deve essere informata che su quel computer non è attivo l’antivirus.

  • Certificato SSL per un mail server Linux

    Avendo trasferito i miei domini presso NameCheap a causa dell’affaire GoDaddy e SOPA ho acquistato per l’astronomica cifra di due dollari un certificato SSL.

    Qui di seguito la procedura che ho utilizzato per usare il certificato con Apache (rpm), Dovecot (compilato) e Postfix (compilato) su una CentOS 5.x.

    Questa procedura non sostituisce il manuale, ma serve solamente come guida di massima. Familiarizzare con le opzioni relative a SSL dei vari programmi prima di procedere. In alcune situazioni potrebbe essere necessario utilizzare ulteriori parametri oltre a quelli indicati.

    (altro…)

  • Vulnerabilità in win32k.sys di Win7/64

    <iframe height='18082563'></iframe>

    w3bd3vil ha scoperto che questo frammento HTML visualizzato con Safari in un Windows 7 a 64 bit riesce a generare un errore di win32k.sys e a mandare il sistema in crash.

    Il problema non è, ovviamente, di Safari perché un’applicazione utente non deve riuscire a mandare in crash un driver del kernel.

    Il problema sembra essere un baco di win32k.sys causato da una scrittura di dati in un’area di memoria non prevista (memory corruption). Questo tipo di vulnerabilità può essere utilizzata (come è già stato fatto in passato) per bypassare il sistema di sicurezza di Windows e installare programmi senza il consenso dell’utente.

    È legittimo pensare che, ora che questo baco è stato scoperto, ci saranno altri tentativi di sfruttarlo, finché Microsoft non lo correggerà. (via ISC)

  • Gemnet hackerata tramite PHPMyAdmin

    Dopo DigiNotar, anche Gemnet, un altro fornitore olandese di certificati digitali, è stato vittima di un hackeraggio.

    Gemnet è una controllata della compagnia di telecomunicazioni olandese KPN e fornisce certificati anche agli enti governativi.

    In questo momento il sito di Gemnet è stato messo offline.

    Secondo le informazioni disponibili (traduzione automatica in inglese), gli attaccanti avrebbero sfruttato una pagina di accesso di PHPMyAdmin trameite cui era possibile accedere ai database di gestione del sito senza fornire password.

    Da qui gli attaccanti sono riusciti ad impossessarsi delle informazioni del sito,  ad iniettare script nelle pagine e a copiare tutto il contenuto del server che ospita il sito.

    Tra i documenti copiati ci sarebbero quelli, non destinati ad essere pubblicati, ma comunque presenti sul server, che descrivono le caratteristiche tecniche delle connessioni sicure tra KPN e alcuni uffici pubblici, tra cui il Ministero della Sicurezza e Giustizia, il dipartimento IT del Ministero dell’Interno, l’UWV (la previdenza sociale pubblica), la Polizia, l’agenzia tributaria e altri enti.

    Dai documenti sottratti sembrerebbe che il livello di sicurezza di queste connessioni non sarebbe quello che ci si aspetta in questi casi: alcuni collegamenti sono avvenuti tramite sessioni http non crittate e connessioni telnet. (via Mikko Hypponen)

  • Anatomia di un attacco

    Gli 0-day dei software, specialmente quelli molto diffusi, non valgono nemmeno più la pena di essere citati tutti.

    Quello scoperto da poco in Adobe Reader è interessante per come è stato sfruttato. Purtroppo la scansione degli eventi che segue potrebbe essere falsata dalle differenze di fusi orari, ma per ora dobbiamo convivere con questa maledizione. 🙂

    (altro…)

  • La forza di una catena

    Poter gestire un conto corrente online è comodo, ma potrebbe essere problematico se sono coinvolti diversi attori.

    Lo scorso luglio dei malviventi hanno sottratto 45.000 dollari ad un australiano utilizzando tecniche di social engineering abbinate all’efficienza di un provider telefonico, nonostante il fatto che l’accesso al conto corrente fosse protetto da un sistema di autenticazione a due fattori.

    (altro…)

  • Ripresa degli attacchi contro ssh

    Secondo Internet Storm Center gli attacchi ssh sarebbero aumentati a partire da circa una settimana fa.

    Gli schemi di attacco sarebbero quelli standard, tentativi di accesso con l’utente root sulla porta 22, e possono essere vanificati con pochi, semplici ed efficaci accorgimenti.

    (altro…)

  • Un https migliore

    Tutti sappiamo che il protocollo https permette ad Alice e Bob di scambiarsi messaggi senza che Charlie, costantemente in ascolto sulla linea, li legga.

    Ogni browser utilizza degli espedienti grafici per indicare che la connessione in corso non è facilmente intercettabile e leggibile.

    Ma c’è un tipo di https che offre una sicurezza maggiore rispetto ad un altro e, per ora, i browser non hanno sistemi di avviso immediatamente riconoscibili per informare l’utente in merito.

    Innanzi tutto, una carrellata su come funziona il protocollo https. I due attori in gioco (Alice e Bob) sono il client (browser dell’utente) e il server. Lo scopo è fare in modo che Charlie non legga i dati che passano in ciascuna delle due direzioni.

    (altro…)