VLC mediaspeler via kwaadaardige ondertitels te hacken
De populaire open source mediaspeler VideoLAN (VLC) bevat twee beveiligingslekken waardoor een aanvaller willekeurige code kan uitvoeren en het systeem overnemen. De eerste kwetsbaarheid wordt veroorzaakt door het openen van ondertitels, waarna er een buffer overflow plaatsvindt. Het tweede lek bevindt zich in de mini Web server die in de software aanwezig is, en laat een aanvaller kwaadaardige code naar het geheugen schrijven en daarna uitvoeren. Alle platformen waar VLC voor beschikbaar is zijn kwetsbaar.
Opmerkelijk genoeg is de eerste kwetsbaarheid, die van juni dateert, al lang gepatcht, maar heeft het ontwikkelteam die nog niet in de meest recente release van begin december verwerkt. De volgende versie die de beveiligingsproblemen moet verhelpen staat gepland voor januari.
laat een aanvaller kwaadaardige code naar het geheugen schrijven en
daarna uitvoeren
in Linux?
Alle platformen waar VLC voor beschikbaar is zijn kwetsbaar.
laat een aanvaller kwaadaardige code naar het geheugen
schrijven en
daarna uitvoeren
in Linux?
Alle platformen waar VLC voor beschikbaar is zijn kwetsbaar.
laat een aanvaller kwaadaardige code naar het geheugen
schrijven en
daarna uitvoeren
in Linux?
omdat tegenwoordig bijna elke distro van apparmor of selinux
gebruik maakt.
access control)
en in eerste instantie ontwikkeld door de NSA.
zeg maar een extra beveiligingslaag die niet controleert of
users ergens rechten hebben maar of processen daadwerkelijk
de juiste rechten hebben.
maw, al ben je root (administrator) dan kunnen processen die
je start nog steeds niet rare dingen uithalen als het niet
in de policy is gedefinieerd.
voorbeeldje,
je hebt een directory waar alleen processen van jan iets
mogen lezen/schrijven.
normaal gesproken zou je als root daar altijd in kunnen.
maar als de policy zegt dat ook daadwerkelijk alleen jan en
zijn processen daar mogen lezen/schrijven dan kan je mooi
root zijn maar je mag er nog steeds nix.
dus als jan zijn VLC brak is en een hacker via een buffer
overflow in een ander proces zijn geheugen gaat zitten
harken zal dat niet lukken. zelfs als VLC root rechten zou
hebben...
...mits selinux goed is geconfigureerd uiteraard.
je zou zelfs een heel systeem met selinux kunnen beveiligen
en toch iedereen root rechten geven.
omdat tegenwoordig bijna elke distro van apparmor of selinux gebruik maakt.
Overigens voorkomen zowel AppArmor als SELinux niet de buffer overflow.
zijn processen daar mogen lezen/schrijven dan kan je mooi root zijn maar je mag er nog steeds nix.
control policies that confine user programs and system
servers to the minimum amount of privilege they require to
do their jobs. When confined in this way, the ability of
these user programs and system daemons to cause harm when
compromised (via buffer overflows or misconfigurations, for
example) is reduced or eliminated. This confinement
mechanism operates independently of the traditional Linux
access control mechanisms. It has no concept of a "root"
super-user, and does not share the well-known shortcomings
of the traditional Linux security mechanisms (such as a
dependence on setuid/setgid binaries).
zo veel veiliger zouden zijn, gewoon een fabeltje is. Het ligt er gewoon
maar aan waar de aanvaller zich op richt.
Kan Jan ergens schrijven?
Kan Jan daar een executable schrijven?
Kan Jan die starten?
Kan Jan mailen?
Als je op al die vragen ja kan antwoorden ben je fecked..
Met of zonder SELinux.
Kan Jan ergens schrijven?
Kan Jan daar een executable schrijven?
Kan Jan die starten?
Kan Jan mailen?
Als je op al die vragen ja kan antwoorden ben je fecked..
Met of zonder SELinux.
Wat probeer je eigenlijk te bewijzen, dat je gebruikers niet
tegen zichzelf kunt beschermen? Iemand kan ook ijsblokjes in
z'n pc doen als die te heet wordt. Daar doet SElinux ook al
niet veel tegen.
Een gebruiker kan ook slordig werken en dingen verwijderen.
In sommige situaties is dat net zo erg als wanneer het hele
systeem gecompromitteerd zou zijn.
Op systemen die door meer gebruikers gedeeld worden, is het
minder ernstig als er maar een gebruiker een probleem heeft,
of dat ze allemaal een probleem hebben. Je probeert schade
zoveel mogelijk te voorkomen.
Als je kijkt naar mobiele besturingssystemen, dan zie je dat
er eigenlijk alleen malware bestaat voor Symbian en Windows.
Symbian heeft een marktaandeel van 72%, Windows 6%.
Linux heeft hier een marktaandeel van 13%.
http://en.wikipedia.org/wiki/Smartphone
http://www.viruslist.com/en/analysis?pubid=200119916
Wat probeer je eigenlijk te bewijzen, dat je gebruikers niet
tegen zichzelf kunt beschermen?
betekent dat je computer een zombie kan worden. Wat dat
betreft is het echt niet veel beter of anders dan een
windows machine.
quote:Door Anoniem
Wat probeer je eigenlijk te bewijzen, dat je gebruikers niet
tegen zichzelf kunt beschermen?
Correct. En dat een onvoorzichtige actie, ook op linux,
betekent dat je computer een zombie kan worden. Wat dat
betreft is het echt niet veel beter of anders dan een
windows machine.
en het werk van de gebruiker bestaat uit het draaien van een
of meer diensten (System Account) dan?
Hoe bescherm je op zo'n systeem de ene dienst tegen fouten
in de andere, en dan zoveel mogelijk met de
uit-de-doos-configuratie?
En op systemen waarbij de gebruiker een service account is,
dan je denkt.
van een of meer diensten (System Account) dan?
root 1229 11.1 3.2 78576 66164 v0 R
5:41PM 104:10.23 X :0 -auth /home/dice/.serverauth.1210
(Xorg)
Wat is er anders?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.