Kybernetické hrozby – 2020-04-01
Seznam důležitých kybernetických hrozeb a událostí za období 25.3. – 6.4.2020.
Název: Bezpečnostní aktualizace Mozilla Firefox
Technologie: Firefox, Firefox ESR
Důležitost: Kritická (8.8)
Popis: Zranitelnosti CVE-2020-6819 a 6820 umožňují kvůli chybě use-after-free neoprávněný přístup k informacím. Zranitelnost je aktuálně pod útokem.
Doporučení: Aktualizace Firefox na verzi 74.0.1, FireFox ESR na 68.6.1
Zdroje: https://www.mozilla.org/en-US/security/advisories/mfsa2020-11/,
Název: Aktualizace Google Chrome
Technologie: Google Chrome
Důležitost: Vysoká
Popis: Aktualizace řeší zranitelnosti, které umožňují např. útoky use-after-free nebo heap overflow.
Doporučení: Zkontrolovat / aktualizovat na verzi 80.0.3987.162.
Zdroje: https://chromereleases.googleblog.com/2020/03/stable-channel-update-for-desktop_31.html
Název: Bezpečnostní problémy s aplikací Zoom
Technologie: Zoom
Důležitost: Vysoká
Popis: Zoom je aplikace pro on-line meetingy. Vzhledem k současné situaci došlo k několikanásobnému nárůstu uživatelů včetně korporátních a z toho důvodu začala být zajímavým cílem pro kybernetické útoky. Došlo k podrobnému prozkoumání bezpečnosti aplikace a byly identifikovány tyto možné problémy:
- Privacy policy – byla kritizována především z důvodu možnosti rozsáhlého sbírání dat o uživatelích, včetně obsahu meetingů. K 29. 3. došlo ze strany Zoom ke změně, kdy nemůže zneužívat data z meetingů k žádné reklamě. Nicméně jsou stále využívány marketingová data o uživatelích, kteří navštívili jejich stránky.
- Aplikace pro iOS odesílala analytická data na sociální síť FB, funkce je dostraněna.
- Attendee tracking – funkce umožňovala hostiteli sledovat činnost účastníků meetingu (klikání mimo okno Zoomu apod.). 2. 4. bylo odstraněno.
- Pokud hostitel ukládá lokálně záznam meetingu, může se dostat k soukromým zprávám, které si účastníci posílali.
- Zoom zneužíval pro instalaci na macOS techniku, která je zneužívána malwarem a umožňovala instalovat aplikaci bez vědomí uživatele. 2. 4. bylo opraveno.
- Chyby v aplikaci na macOS umožňovaly získat root oprávnění a přistupovat během meetingu k mikrofonu a kameře. Bylo opraveno 2. 4.
- Zoom Windows aplikace obsahovala chybu UNC path injection, která umožňovala vzdálený útok na odcizení přihlašovacích údajů. Ke zneužití stačilo odeslat odkaz na UNC cestu v rámci meetingu. Bylo opraveno 2. 4.
- Zoom umožňoval přes nepublikovanou data mining funkcionalitu dohledávat účastníky meetingu na síti LinkedIn. To bylo možné i ve chvíli, kdy byl účastník přihlášen anonymně. Uživatelé s instalovanou funkcí LinkedIn Sales Navigator mohly díky tomu během meetingu přistupovat k LinkedIn profilům dalších účastníků bez jejich vědomí. Funkcionalita byla vypnuta.
- Zoom umožňoval propojení uživatelů ze stejných domén a tím došloo k problému s účastníky připojenými s veřejnými adresami (gmail, Hotmail, apod.). Domény byly z této funkce blacklistovány.
- Mnoho hostitelů zakládá na Zoomu meetingy, které jsou přístupné komukoli, kdo zná adresu. Útočníci vyhledávají v současné době takovéto meetingy a do místností se připojují za účelem získání informací nebo prostě trollí. Je doporučeno zakládat meetingy s „předsálím“ a / nebo chráněné heslem. Funkce předsálí byla implementována 4. 4.
- Zoom tvrdí, že meetingy jsou chráněné end-to-end šifrováním. To platí pouze v případě, že šifrování všichni účastníci používají Zoom klient a meeting není nahráván. Pokud to neplatí, jsou dešifrovací klíče uložené v cloudové infrastruktuře Zoomu a tím pádem mohou být napadnuté hackery nebo přístupné US vládním organizacím.
- Další problém se šifrováním je ve využité technologii, která využívá jediný AES-128 klíč pro všechny účastníky.
Doporučení:
- Školení uživatelů na bezpečné využití Zoomu – předsálí, hesla pro meeting
- Posoudit, jak citlivé informace se během meetingu probírají a jestli se jedná o dostatečně bezpečnou platformu. Pokud ne, zvážit přechod na něco jiného. Ale také brát v úvahu, že pod útokem jsou dnes všechny platformy pro on-line meetingy.
Zdroje: https://blogs.harvard.edu/doc/2020/03/27/zoom/, https://thehackernews.com/2020/04/zoom-windows-password.html, https://nukib.cz/cs/informacni-servis/aktuality/1424-upozorneni-na-rizika-online-konferencnich-sluzeb/, https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account, https://objective-see.com/blog/blog_0x56.html, https://thehackernews.com/2020/04/zoom-cybersecurity-hacking.html