Archives pour la catégorie Faille / Exploit

Vulnérabilités ou exploit importants ou techniquement intéressants.

Les passwords d’Ashley Madison pas si sécurisés

Pour ceux qui ont suivi l’histoire, Ashley Madison s’est fait leaker sa base de données. Et donc des petits pirates ont décidés de faire joujou avec les dumps. Il s’avère qu’un dénommé Blazer s’est rendu compte que nombre des mot de passe n’étaient sécurisés que par un simple hash md5 (big fail). Il a donc (avec ses amis) pu récupérer environ 11 millions de passwords utilisateur… De quoi faire joujou pour du brute force ailleurs…

Via Sophos

Le Malvertising a le vent en poupe

Via TheRegister :

Les attaques malvertising sont connues depuis un moment (premier cas en 2007) mais c’est la première fois qu’une telle augmentation du nombre d’attaque est enregistré. Avec la complexification des systèmes d’advertising, l’augmentation du nombre de supports et l’industrialisation du domaine, il apparaît que les hackers cherchent de plus en plus à profiter de ce vecteur d’attaque. En effet, le nombre d’attaque enregistrée a bondi de 260% sur les 6 derniers mois.

A quand une sécurisation des systèmes d’advertising / tracking ? Une raison de plus pour ne pas oublier votre adBlock 🙂

RubyGems DNS redirection

Apparemment la plateforme RubyGems était vulnérable à des attaques de type DNS redirection. Malgré l’utilisation du protocole HTTPS, la résolution DNS utilisant la méthode SRV sans vérification sur l’origine entraîne la possibilité de rediriger le trafic vers un serveur tiers. Le cas est intéressant car il affecte des milliers d’utilisateurs, d’où le danger des services centralisés comme npm, gems, windows update, etc… Revérifiez vos modules tiers Ruby, du code malveillant peut y être caché.

source : The Register

Jellyfish, exemple de GPGPU Malware

Un groupe de hackers à mis en ligne quelques PoC concernant l’infection d’une machine par le biais du GPU. Pour que le PoC fonctionne, il faut un GPU compatible avec OpenCL.
Actuellement, il n’existe presque pas d’antivirus scannant la mémoire GPU d’où la dangerosité de ce vecteur d’attaque d’autant plus qu’il est possible d’accéder au CPU par la suite.

Pour quelques explications supplémentaires en français voir developpez.com.

Les codes sources des PoC (malware, keylogger et scanner) voir github.

Machine à voter vulnérables

Ce ne sera ni le premier ni le dernier cas de vulnérabilité sur des machines à voter électronique mais celui-ci mérite quand même une palme d’or. L’Etat de Virginie utilise des machines aussi facile à pirater que de rentrer un mot de passe de type abcde… En effet, un audit publié le 14 Avril, réalisé suite à des plantages à répétition, montre que les machines sont vulnérables via une connection wifi. Le dernier audit datant de 2002, apparemment elles n’auraient jamais été revérifiées…

Source : Sophos

Faille massive des applications mobiles

La compagnie israélienne Skycure a découvert une faille majeure dans la communication des applications mobiles avec la partie serveur. En effet, la firme a découvert que nombre de ces applications communicant par le biais de services web sont vulnérables aux attaques de type HTTP Request Hijacking.

Cette attaque consiste à falsifier la réponse du serveur par une réponse de type 301 Moved Permanently. Ceci a pour effet de rediriger l’appel à l’API vers le serveur de l’attaquant.

La recommandation dans ce cas est de tenter l’appel à une URL secondaire avant d’accepter la redirection, ce que ne font pas la majorité des applications au jour d’aujourd’hui.

Les détails de la vulnérabilités seront dévoilées durant la conférence RSA Europe 2013.

Source : The Register