Подведены итоги двух дней соревнований Pwn2Own 2024, ежегодно проводимых в рамках конференции CanSecWest в Ванкувере. Рабочие техники эксплуатации ранее неизвестных уязвимостей были разработаны для Ubuntu Desktop, Windows 11, Docker, Oracle VirtualBox, VMWare Workstation, Adobe Reader, Firefox, Chrome, Edge и автомобиля Tesla. Всего были продемонстрированы 23 успешные атаки, эксплуатирующие 29 ранее неизвестных уязвимостей...Подробнее: https://www.opennet.me/opennews/art.shtml?num=60830
> Три эксплоита универсальны и работают не только в Chrome, но и в Edge.Только не списывай точь-в-точь
Зачем. Движок общий - Хромиум.Теперь, небось, ещё сотни приложений на Электроне, заботливо упакованные с браузером в блобы, уязвимы.
Уязвим только если в них открыть специально сформированный сайт. Или самому собрать приложение на электроне чтобы самому себя сломать. Как чистый браузер приложения на электроне мало кто использует.
Ну почему же, можно сначала найти XSS в js-части приложения на Electron, а потом уже подставить через него код, который и переполнит буфер.
> Уязвим только если в них открыть специально сформированный сайт. Или самому собрать
> приложение на электроне чтобы самому себя сломать. Как чистый браузер приложения
> на электроне мало кто использует.Открыл любезно размещённую в чатах ссылку в дискорде и привет! ))
А сколько ещё таких подобных кейсов со смузи-мессенжерами и подобным хламом, который может обрабатывать ссылки, и которые вроде бы не браузер? ;)
> Зачем. Движок общий - Хромиум.
> Теперь, небось, ещё сотни приложений на Электроне, заботливо упакованные с браузером в
> блобы, уязвимы.Теперь понятно откуда столько угнанных аккаунтов steam гуляет по сети. Причём часть из них была "защищена стимгвардом" и чот не помогло, как видим по итогу. xD
И выходит, что современный компьютер больше для какой-нибудь ерунды, а не для важных в быту сервисов. Увы и ах.
> И выходит, что современный компьютер больше для какой-нибудь ерунды,
> а не для важных в быту сервисов. Увы и ах.Чем больше г-на ты запускаешь - тем больше там багов, часть из которых окажется вулнами, ибо позволят атакующему что-то получить.
А так ты Sci-Fi не смотрел чтоли? Где удачно пущеный вирус - вырубает нахрен бортовые системы звездолета, и вот грозный капец-всему уже так, тировая мишенька и кусок металла в космосе.
Не. Задумчиво поглядываю на рекламу приложений банка и цифровые подписи на Услугах.Навеяло, что-то.
> Не. Задумчиво поглядываю на рекламу приложений банка и цифровые подписи на Услугах.
> Навеяло, что-то.Это не те ли цифровые подписи, которые настолько суперсикурные и однозначно идентифицирующие их владельца, которые подделывали сотрудники тинька, чтобы попытаться вылезти из той жопы, в которую они попали завравшись оттого что без разрешения, нахально своевольно в обход законов собирали данные на пользователей?!
Это не те ли "Услуги", взломанные аккаунты пользователей которых гуляют по сети за копейку в базарный день, на которые всякие скамеры регают себе аккаунты, чтобы выводить крипту?
Если не эти, то вопросы снимаются.
Ерунда - это и есть важные в быту сервисы, а гиков - меньшинство.
>современный компьютер больше для какой-нибудь ерундыТо ли дело раньше. Вообще не было виртуальной памяти и все приложения выполнялись в одном адресном пространстве. Это ого-го как повышало безопасность.
Так раньше на компах разве что всякие досовские игрушки исполнялись.)
Умный человек всему найдёт применение. Ах да...
> Пять атак на Microsoft Windows 11, позволивших повысить свои привилегии (три премии 15 тысяч долларов, и по одной премии в 30 тысяч и 7500 долларов). Уязвимости были вызваны состоянием гонки, целочисленным переполнением, неверным подсчётом ссылок и некорректной проверкой входных данных.И это даже без наличия исходников ОС у исследователей. А с исходниками там такое решетище дырявое будет
Потому это и проприетарщина, чтобы шаловливые ручки не лазели
Так они и так лезут, кому нужно
При наличии связей добавили эксплоиты и обналичили эксплоиты.
Подключаешься к разработке опенсорс-проекта, вносишь уязвимость, приезжаешь на CanSecWest, получаешь бабки.
Через год повторить.
Логично. Каким бы ты не был качественным программистом, попробуй в сжатое время не то что найти уязвимости, а познакомиться в детали работы системы. Это делают люди, имеющие непосредственное отношение к разработке продукта.
> Логично. Каким бы ты не был качественным программистом, попробуй в сжатое время
> не то что найти уязвимости, а познакомиться в детали работы системы.
> Это делают люди, имеющие непосредственное отношение к разработке продукта.узнаю эту логику. вижу её буквально каждый день в h1 у mail.ru, vkontakte, etc. Если ты понимаешь о чем я.
> Если ты понимаешь о чем я.Вы пользуетесь сервисами, которые на оупеннет принято ругать. Вы об этом?
Не пользуются, а используют.
Просто нужно больше зарабатывать (ц)
В нормальном проекте подряд все пуш-реквесты не принимают.
SELinux мог бы спасти Firefox и Ubuntu.
Наверное, по умолчанию он в режиме permissive
Попробовали бы взломать Fedora, там SELinux в режиме enforcing. Или Sculpt OS.
Так самом можешь. Для этого достаточно умений скрипт-киди.
Берёшь старые сплойты с Pwn2Own и проверяешь их на соответствующей старой федора не залатанной.
И смотришь как «волшебный» SELinux «крут».
Попробовал. Не взламывается.
В диванной теории – да.
На практике - это не волшебная палочка и так просто не работает. Больше приносит багов, чем защитит от чего-то.
На сколько понимаю, в той же Fedora этот Firefox, считай не защищён SELinux.Я вот только одну используем на практику прошивку в линуксах знаю, там SELinux не помог по выше названной причине.
https://www.opennet.me/opennews/art.shtml?num=42743
Вот волшебная команда для запуска Firefox в песочнице SELinux в Fedora:sandbox -X -t sandbox_net_t -t sandbox_web_t -w 1400x1050
Она запускает sandbox с собственным X-сервером (-X), разрешает порты, необходимые для просмотра веб-страниц и общего доступа к сети (-t sandbox_web_t и -t sandbox_net_t), и запускает Firefox в окне 1400x1050 (-w 1400x1050).
Откроется новое окно с полностью чистым экземпляром Firefox, изолированным от остальных ваших процессов с помощью SELinux.
> sandbox -X -t sandbox_net_t -t sandbox_web_t -w 1400x1050Тайну не открыл.
И будет глючить, то и сё...
Это не волшебная команда
Тогда просто пользуйтесь контекстом mozilla_exec_t, заботливо созданным для вас разработчиками Fedora.
> Тогда простоОтвет типа "первая строчка из Гугла" редко когда получается умным.
Это непростой вопрос и волшебного решения тут нет.То что приложение находиться под контролем SELinux или нет – не является каким-то бинарным состоянием. Можно написать и такую политику, от которой считай мало толку. Но зато всё работать будет.
А вы всё ищете волшебное решение. В ИТ так не бывает. Его нет, но зато есть работающий SELinux, который репльно повышает безопасность операционной системы.
Я нет, это вон фанатики представляют SELinux как такое решение.
Хотя по факту десктопом он считай и не рулит – проходи кто хочет.
Целевое же использования на серверах (NGINX там) – вот это да.
Вы что-то сами придумали и опровергаете. Исходно было написано, что SELinux мог бы спасти Firefox и Ubuntu. Можете перечитать.
Так я и написал. Что это сильно диванная теория.
На практике не спасает.
Но конечно всё возможно.
А практики вы никакой не показали. Только комментарии пишете, а ведь могли бы взять эксплойт и проверить. Вот Ubuntu на Pwn2Own взломали, это практика.
А мне то зачем? Я вижу что вообщем не защищает, и десктоп покрыт SElinux-ом весьма скромно.
Это не является целью самих разработчиков всякие там KDE засовывать в SELinux (как KDE так SELinux) - это долбануться можно. И никому не надо.
А вот отношение разработчиков Гугла/Chromium к SELinux на линуксовом десктопеhttps://security.stackexchange.com/questions/124398/is-the-n...
С тех пор ничего не поменялось. Да, это сложная вещь, с которой трудно совладать. Поэтому и желания в неё нырять нет у разработчиков прикладног ософта. Как что так сразу валят отговорки "это проблемы вашего SELinux".
Поэтому весь десктоп мимо него и запускается. А затолкать его туда - ну так беги и помогай, раз тебе это важно.
> А практикиВот как будешь думать о практике (как это реально работает), а не чисто чтобы сунуть "ничего не знаю, есть же, вот первая строчка в гугле" - тогда о чём-то можно говорить.
А так просто фанатсикие бредни."sandbox с собственным X-сервером (-X)" - ага, удачи с этим глюкодромом, который никому из разработчиков не сдался.
Да вы не волнуйтесь так. Если уж написали бред, просто не продолжайте. А я как пользовался SELinux, так и буду.
В целом - взаимовыгодный обмен денег на знания.
Скорее способ хакерам обменять дырки на деньги легально и сразу, пусть и потенциально меньшие суммы чем мутить реальные взломы.
Понятно, что многие кто не хочет брать риски отсидки соглашаются. Синица в руках, аист в небе или утка под шконкой, вот это все.
Кто-то мог бы представить это и как форму рэкета.
> Попытки взлома Microsoft SharePoint и VMware ESXi не увенчались успехом.увенчались. Полнейшим. Просто вмварь рассчиталась в гардеробе, чтоб поменьше светить бабло.
А у cloudmts видимо оказался не тот паспорт, и им апдейт не перепал.
Fedora Silverblue пытались?
Нет. А деньги почему не занесли?
Забесплатно никто не побежит проверять.
"самые свежие стабильные выпуски приложений, браузеров и операционных систем"Отсюда вывод надо использовать самые старые выпуски, с обновлениеями а не гнаться за сважатиной
Дебианщик.
Ну не факт. Как показала практика в Nightly частенько эксплойты не срабатывают, и делодаже не в отсутствии дыры а что надо специально допиливать под ночнушку, а смысл?
Так это случайное исправление дыр или забыли сформировать security обновления?
>Уязвимость вызвана ошибкой, позволившей прочитать и записать данные в область за границей буфера, выделенного для объекта JavaScriptА у меня он отключён! Шах и мат, GitLab, GitHub, Twitter и прочему дерьму.
Если у тебя js выключен,то можно ваще какой нить netsurf или dillo взять вместо фаерфокса, разницы никакой
"По горячим следам разработчики из Mozilla оперативно опубликовали обновление Firefox 124.0.1 с устранением выявленных проблем."При этом баги в которых патчили выявленные дырки все еще закрыты для публичного доступа, а значит хорошие были дыры, широкие и глубокие.
Так можно ведь сделать дифф фикса или низя?
Можно конечно.
Но описание на блюдечке со всеми подробностями конечно лучше для злоумышленников.
> Можно конечно.
> Но описание на блюдечке со всеми подробностями конечно лучше для злоумышленников.*злоумышленники, не увидев подробного описания уязвимости*: чёёёё, диииф? не-не-не, лень. пшло оно всё. меняю завтра же работу.
Какой-то детский сад.
Время же играет роль. Конечно с простым диффом потеряешь его куда больше, а аудитория стремительно падает — всё к большому числу прилетел апдейт.
Вот и всё.
Эт у тебя детский сад. Ты не вырос из представлений о какерах.> Время же играет роль.
Злоумышленники и так мониторят код, им незачем больше или меньше это делать.
> всё к большому числу прилетел апдейт.
Ничего ни к кому не прилетит, узбагойся. Окно возможности достаточно широкое.
Не пишут об уязвимости, потому что цель этих конференций продвижение бренда, а не твоё "чтоб у васяна не было времени сделать дифф, пока другой васян решит обновиться". Маркетинг, лошадь, маркетинг. Ду ю хир ит?!
Конечно детский сад.Открываешь такой багрепорт, а там прям написано «как воспроизвести» — готовое на блюдечке с каёмочкой.
Сам фильмов и пересмотрел. Где волшебные хакеры глядя на дифф (какие-то указатели там подправили на одном из ста уровней) могут за пять минут восстановить какие данные подавать для воспроизведения.
И на кой чёрт тогда нужна виртуализация и контейнерная изоляция, если всё равно друшлаг? Оно всё просто так ресурсы жрёт?
Слака тебя ждёт. Там все просто, юниксовее и никто просто так ресурсы не жрёт.
ты начинаешь прозревать юный падаван )))виртуализация позволяет эмулировать физическое оборудование
все остальное маркетинговый булшит, так уж вышло что проще на пятно повесить картину, чем обои переклеивать, и пока хомячки кушают новое и молодежное, олды готовят дедикейтед
к сожалению индустрия меняется в погоне за хайпом, и чем закончится яхта Безоса никто не знает, возможно как и с доткомами
Виртуализация не столько для безопасности, сколько для разделения ресурсов, абстрагирования от железа и разнообразие окружений. Хотя последнее решает NixOS.
Для безопасности. Только те, кому она нужна, не VMWare используют, а микрогипервизоры типа BedRock Ultravisor или NOVA.
Ну вот есть у вас некий сервис. Он у вас развернуть на виртуальной машине. Вы бэкапите виртуальную машину, переносите ее на другую площадку, клонируете для тестирования... Добавляете процессоры и память или убираете... переключаете сети... И если железо на котором она крутиться вышло из строя- виртуальная машина просто автоматически мигрирует на другое, работающее железо.Попробуйте сделать все тоже самое с железным сервером. Сколько времени это займет? А вдруг окажется что тех сетевых карт которые были в вашем прежнем сервере больше нет в новом? А драйверов под них в бэкапе который вы сделали (чем кстати,dd?) нет?
rsync просто добавь файловую систему. На самом деле даже tar может сделать полную копию файловой системы.
Вообще Ваш вариант с VM звучит как-то слишком просто. А сколько времени проходит с момента смерти сервера до момента замены его новым? Не 0? Это плохо. Если умрёт SIP-сервер и менеджер пропустит звонок предлагающий сделку на миллион, то кто будет отвечать? Резервирование даже во времена рождения электронной почты уже считалось необходимым, потому, что тысячи человек не должны бездельничать, даже если умер сервер.
Кажется из рекламы облаков я помню, что предполагалось быстрое масштабирование типового сервиса на множество машин. Но это оказалось не так просто как подавалось.
> Не 0?если реплик больше одной, то 0. Одна из причин почему делают реплики БД, микросервисов и т.п.
У активных БД часто сыпятся диски, одна из нод умирает, другие берут на себя нагрузку, пока инженер меняет диск.
Это же Ubuntu!
> если всё равно друшлаг?Оно усложняет жизнь хакеру, ну или заводит его. Трудней, когда препятсвий больше.
> Оно всё просто так ресурсы жрёт?Виртуализация жрёт, но смотря какая, KVM по меньше. А контейнеризация обычно вообще не жрёт.
А всё почему? Потому что не на Раст!
если вломают софт на расте, особенно через ошибку "выход за границы буфера памяти" - местные комментаторы будут в unsafe-экстазе!)
Около 80 % CVE в конечном итоге возникают из-за неправильного управления памятью. Использование языков, которые не допускают ручного управления памятью (Project Verona, V, Zig), гарантирует, что вам никогда не придётся иметь дело с этими CVE.
> Около 80 % CVE в конечном итоге возникают из-за неправильного управления памятью.
> Использование языков, которые не допускают ручного управления памятью (Project Verona,
> V, Zig), гарантирует, что вам никогда не придётся иметь дело с
> этими CVE.- CVE-2019-16881 (use-after-free, remote code execution)
- CVE-2018-1000657 (buffer-overflow, arbitrary code execution)
- CVE-2019-25054 (segmentation-fault, uninitialized (да-да, неинициализированные, ты не галлюцинируешь, resources)Таких CVE много, эти три от балды взяты для демонстрации как все возникли из за неправильного управления памятью. В расте.
Жду "ваши уязвимости не уязвимости", вроде так всегда было. Начинай.
>Project Verona, V, Zig
>в расте
>>Project Verona, V, Zig
>>в растетак на них ничего не написано еще. разумеется они еще безопаснее.
> Четыре успешные атаки на Ubuntu Desktop, позволившие непривилегированному пользователю получить права root (по одной премии в 20 и 10 тысяч долларов, две премии в 5 тысяч долларов).Какая проблема-то? Через восстановление пароля за 10 секунд. Как и Windows, впрочем. Да, к сведению. По умолчанию в Ubuntu нет пользователя root (хотя и можно сделать специально).
Вы плохо знаете линукс и убунту. Пользователь root в убунту есть. По умолчанию просто запрещён вход под ним. Так-то половина системных сервисов работает как root, просто запустите top и увидите.
>Пользователь root в убунту есть. По умолчанию просто запрещён вход под ним.И правильно делают. Мозги убунтоидов девственны.
Из-за таких знатоков, как Вы, уважаемый инжинир, пользователи много проблем имеют.
У root слишком большие права.
Пора вкорячивать SYSTEM-права, а admin может не всё.
>За взлом Tesla дополнительно вручён автомобиль Tesla Model 3Нормально так
https://www.youtube.com/watch?v=-CV14txxrIs
Т.е. победителя наказали теслой
Наградили. Сломал - твоя теперь, забирай и делай с ней что хочешь.
Сломал значит купил :)
Вот вам и Ubuntu!
Потому что надо выбирать дистрибутив не по названию, а по системе мандатного управления доступом. Для широкого пользования есть только две такие реально работающие системы, это SELinux в семействе Fedora/RHEL и Smack в Tizen. Для бизнеса, который может за это заплатить, есть уже верифицированные микрогипервизоры и безопасность на основе возможностей. Типа Capsicum в UNIX, систем на базе гипервизора Cyberus, Genode OS.
Тестировался Desktop. Там вообще сплошной дырявый забор.
SELinux под него не заточен.
Разве в Ubuntu есть SELinux? SELinux не универсальное решение для обеспечения безопасности, но это лучший мандатный контроль доступа, который существует. SELinux заточен под десктоп так же хорошо, как и под Android, где он тоже используется.
> Разве в Ubuntu есть SELinux?Нет. Я имел в виду Fedora c SELinux
> SELinux заточен под десктоп так же хорошо
Фанатские бредни. разработчики SElinux с тобой несогласны. Это не магическое средство. В дебрях десктопа, где всё с друг-другом это самое – очень сложно.
Тем более с таким сложным софтом как браузер, который так же имеет свою песочницу, и по хорошему надо бы её отключить, что тоже не особо кому из разработчиков сдалось, и начинается багодром.
Это всё давно написано и расписано, и мало кого волнует.
Эти "разработчики SElinux" сейчас с вами в одной комнате? Я не фанат, а пользуюсь тем, что лучше. А SELinux это лучшее из того, что есть. Вы можете писать здесь какой угодно бред, Интернет стерпит, но факт остаётся фактом — взломали Ubuntu, а не Fedora.
Так они пишут вубликации как эт отработает и всё такое.> Я не фанат
Да не фанат, а именно что фанатик.
Сказать такое "SELinux заточен под десктоп так же хорошо, как и под Android" может только он.
Под Android по сути нельзя выпустить приложение, чтобы забить на это болт. Там жёсткая изоляция между приложениями по дизайну.
Под линукс десктоп это нормальная практика. Никто особо не побежит параноить поэтому поводу, типа "я делаю десктопное приложение под линукс, надо чтобы оно нормально под SELinux работало".А так вот объяснение от того же "Senior Distinguished Engineer at Red Hat"
https://danwalsh.livejournal.com/72697.html
Когда в 2015 году пошло использование пробивки на Firefox в дикой природе такой вопрос часто задавали "А как же SELinux? Должен был помочь этот волшебный инструмент".
Было давно, но ничего принципиально не поменялось.> но факт остаётся фактом — взломали Ubuntu, а не Fedora
Да, ломают что интересно. Только принцип Джо не говорит о безопасности других решений. И дефолтная Fedora бы не спасла – такова реальность.
С тех пор 9 лет прошло. Вы ретроград и фанатик дырявой Ubuntu? Это ваш выбор.
> Было давно, но ничего принципиально не поменялось.
Почему не AppArmor?
Во взломанной Ubuntu как раз AppArmor.
> Почему не AppArmor?Так типичное мышление фанатиков. Что исследовали и нашли дыры – то небезопасно.
А что не исследуют – то безопасно.
Принцип Джо.Ubuntu ломают каждый год общими линукс уязвимостями. Значит Ubuntu дырявая, а остальной линукс – нет. Логика 🙂
Слова дёшевы. Докажите.
> SELinux заточен под десктоп так же хорошоНу и кстати из свежего про такую выдумку
https://www.opennet.me/opennews/art.shtml?num=60826Против такого тоже не поможет. Когда что-то построено по принципу "всё может делать что попало и как попало", то не может тут SELinux помочь как волшебная палочка.
Запрещать налево и направо доступ и всё перестанет работать.
"В KDE понаписали, а теперь SELinux исправь вжух-магией!". Только в сказках.
Как раз и поможет. Но openSUSE использует не SELinux, а AppArmor, как и Ubuntu.
Про браузер я уже написал, как волшебный SELinux не помог в Fedora с реальной эксплуатируемой уязвимостью Firefox.Второй по опасности компонент, с которым была куча уязвимостей в 2010-ых. Построитель превьюшек/тегов в файлов менеджере. Просто ужас. Всякие там корявые и падучие gstremer-thumbnail и прочие.
1) помог ли волшебный SELinux в Fedora против этого и отбивал эти атаки?
Нет2) это же легко изолировать раз-два?
Нет. Спустя годы в GNOME это засунули в Bubblewrap (в SELinux его не запихали в Fedora), попутно наломав сторонние приложения и получив тормоза (сломали кэш). Сделать по нормальному заняло значительно времени и доработок. Вот так в реальности c десктопом. А не "вжух" магия "selinux-enable = true". Изолировать все эти десктопные переплетения десктопа в SELinux или какую песочницу – это очень сложная задача.
Вы написали про то, что было 9 лет назад. Вы живёте в прошлом.
Допилят:
https://opennet.ru/59987-ubuntu
Remove MObjectKeysLength::computeRange
https://hg.mozilla.org/releases/mozilla-release/rev/83c1d327...Avoid registering unnecessary MessageManager listeners when SHIP is enabled
https://hg.mozilla.org/releases/mozilla-release/rev/00dc57b4...
первая ссылка - заглядение
просто удалили код
нет кода - нет уязвимости!
Почитал и охренел. Выходит, все вокруг уязвимое по самое не хочу. Серверы, десктопы, эмбеды и т.д.
goto 16 bit. человек не может контролировать что больше
Счеты еще никто не смог взломать.) Сломать да, но не взломать)
Счёты так же взламываются через целочисленное переполнение.
>Счёты так же взламываются через целочисленное переполнение.Могут ли "Отцы и дети" понять друг друга? "Счёты" нельзя ВЗломать их можно только слоМать.
Счёты, русские счёты — простое механическое устройство (счётная доска с костями) для выполнения арифметических расчётов.
Представляют собой раму, имеющую некоторое количество спиц; на них нанизаны костяшки, которых обычно по 10 штук. Счёты являются одним из ранних вычислительных устройств и вплоть до конца XX века массово использовались в торговле и бухгалтерском деле, пока их не заменили калькуляторы, в том числе практически всегда встроенные даже в самые дешёвые мобильные телефоны. Исключительно редко по прямому назначению используются и в наши дни, например в деревенских и сельских магазинах, но нередко используются для обучения детей дошкольного возраста арифметике, поэтому назвать счёты инструментом, полностью вышедшим из употребления, нельзя.
Попытки взлома Microsoft SharePoint и VMware ESXi не увенчались успехом.
Ну это только говорит о том, что эти попытки были и эксплоиты были написаны и протестированы авторами в своём окружении, но при финальной демонстрации что-то пошло не так и эксплоиты не сработали из-за каких-то косяков в них.
Такие неработающие «эксплойты» и собака может хоть каждый день писать.
Зато у mts cloud демонстрация получилась что надо!(злые языки говорят что там надо поставить паааатчик почему-то доступный только клиентам с расширенной поддержкой - т.е. мало иметь паспорт правильного цвета и еще и заплатить мешок денег, надо еще пару мешков добавить сверху чтобы тебе было позволено его скачать)
Теперь тёмно-красные перейдут на VMmanager?
на БХУВ
Полагаю, на продаже рабочих сплоитов блекарям, они бы заработали существенно больше.
Чем тесла?