В драйверах смарт-карт найдены уязвимости повышения привилегий

В драйверах смарт-карт найдены уязвимости повышения привилегий

В драйверах смарт-карт найдены уязвимости повышения привилегий

Эрик Сестерхенн, исследователь из X41 D-SEC GmbH, обнаружил ряд уязвимостей в нескольких драйверах смарт-карт. Некоторые из этих брешей злоумышленники могут использовать для входа в целевую систему без валидных учетных данных и получения привилегий уровня root/admin.

Как объясняет сам Сестерхенн:

«В прошлом было зарегистрировано много атак на смарт-карты, однако лишь малая чась из них уделяла внимание драйверам стека смарт-карт (часть программного обеспечения, которая взаимодействует с картой, когда она вставлена в ридер)».

«Драйверы смарт-карт представляют собой очень интересную цель с точки зрения злоумышленников, поскольку в них есть несколько парсеров, работающих с высокими привилегиями (например, root в системах Linux)».

Эксплуатация уязвимостей в этих драйверах пугает экспертов — они используются в банкоматах, дверных замках и так далее.

Сестерхенн протестировал ряд драйверов смарт-карт с открытым исходным кодом, которые разрабатывают компании Yubico, OpenSC и Apple Smart Card Services. Эксперт создал несколько инструментов, которые позволили ему протестировать стек смарт-карт OpenSC, драйверы на базе PCSC в Linux и основанные на Winscard драйверы смарт-карт в операционных системах от Microsoft.

Самым распространенным типом уязвимости, обнаруженным экспертом, оказалось переполнение буфера, чтение-запись за границами памяти, а также логические ошибки. Эксплуатация этих брешей может привести к выполнению кода, успешной DoS-атаке, обходу процесса аутентификации и прочим нехорошим вещам.

Недостатки могут быть использованы с помощью вредоносных смарт-карт.

Специалист поставил в известность всех затронутых вендоров, которые принялись разрабатывать противоядие. Некоторые патчи уже доступны — для Yubico PIV и компонентов Apple Smart Card Services.

Уязвимую библиотеку libykneomgr (используемую Yubico) обновлять не будут, поскольку она уже устарела. Для OpenSC исправления пока еще не вышли.

Отраслевые ассоциации просят сохранить доступ к зарубежным мессенджерам

Ассоциация разработчиков программных продуктов (АРПП) «Отечественный софт» обратилась в правительство с просьбой сохранить возможность рабочей коммуникации через мессенджеры WhatsApp и Telegram. Соответствующее письмо исполнительный директор АРПП Ренат Лашин направил ещё в феврале.

Как отметил сам Ренат Лашин в комментарии для «Ведомостей», ограничения в работе наиболее популярных зарубежных мессенджеров создают серьёзные препятствия для компаний-экспортёров.

В ассоциации предложили определить круг организаций, для которых такие каналы связи критически важны для взаимодействия с зарубежными партнёрами.

Глава другой отраслевой ассоциации — НП «Руссофт», состав которой во многом пересекается с АРПП, Леонид Макаров в своём официальном телеграм-канале привёл результаты опроса, согласно которым ограничения в работе Telegram создают неудобства для 90% участников ассоциации.

В комментарии для «Ведомостей» Минцифры предложило использовать мессенджер MAX. Однако, как отметил Леонид Макаров, у этого решения есть два существенных недостатка: отсутствие ряда необходимых функций и недостаточная санкционная устойчивость. В результате, по его словам, зарубежные партнёры могут склонять российских экспортёров к использованию других иностранных продуктов, которые также способны создавать серьёзные риски.

«В данной ситуации выходом может быть заключение соглашения между дружественными странами о применении децентрализованного решения, аналогичного электронной почте, где независимые почтовые серверы обмениваются сообщениями по стандартным протоколам, а клиентская часть имеет открытый исходный код. Клиенты в этих странах получают равные возможности для коммуникации, а сами страны несут полную ответственность за соблюдение общих стандартов безопасности и контроля», — предложил Леонид Макаров.

«Формально компании могут использовать средства обхода блокировок, — отметил в комментарии для «Ведомостей» председатель совета по противодействию технологическим правонарушениям КС НСБ России Игорь Бедеров. — Но складывается ситуация, при которой корпоративные требования безопасности запрещают это, а правила бизнеса не позволяют общаться с клиентами и заказчиками с личных устройств».

RSS: Новости на портале Anti-Malware.ru