terça-feira, 25 de fevereiro de 2014

Apple - SSL/TLS Bug Fixed #InfoSec

OBS: Primeiro paragrafo é um agradecimento, quer ir direto para o assunto, pule e leia o Segundo paragrafo.

Não sou de ficar com blá blá blá nas minhas postagens, mas agradeço muito a força da Brasil Pentest por ter divulgado minha page no facebook, duvido muito que vocês não conheçam mas, caso não, o site é brasilpentest.com dê uma visitada que os conteúdos são ótimos! E outra pessoa a quem quero os agradecer, é você, leitor, que o acompanha ( e espero que continue ) e os novos convidados pela Brasil Pentest, se você já leu outras postagens minhas sabe que está é a única melosa e fiquei enrolando pra começar o que eu realmente tenho que postar. Antes de começar quero deixar claro que minha demora de postagem é meu tempo e que estou escrevendo um Paper, não vou falar sobre o que é, mas acho que vai ajudar muito vocês, principalmente os programadores que segue a ideia Ethical Hacking, agora se for é 'kiddie', sinto muito. Mas beleza, se está lendo a culpa não é minha, só bastava pular este paragrafo. :)


Fiquei uns tempos sem postar nada, mas eu fiquei ligado nos assuntos rapazes, vi hoje de tarde afirmando que o BUG da Apple foi fixed, corrigida. Tecnicamente, a falha foi descoberta no iOS, lançada na sexta feira passada a versão 7.06 (Suporte Apple Security) que era para corrigir a falha de segurança MITM (Man-In-The-Middle). Se já conhece o conceito desta falha, saberá que é referente à uma falha onde o atacante consegue interceptar o dado e fazer aquilo que está ao seu alcance, certo? É exatamente isto, a falha permite o atacante dentro da rede de seu alvo não apenas ler os dados de sessões privilegiadas e protegidas por SSL/TLS, mas como bônus de alterar-los também. O que surpreende é que pós fazer aquela análise toda no patch, foi confirmado que a falha afeta também o Mac OS-X até a versão 10.9.1.

Adam Langley, foi quem averiguou o script e detectou a brecha. Segundo suas palavras a falha reside em um par de falhas em uma fileira.

"Esta verificação de assinatura está verificando a assinatura em uma mensagem ServerKeyExchange. Isso é usado em ciphersuites DHE e ECDHE para comunicar a chave efêmera para a conexão. O servidor está dizendo 'aqui está a chave efêmera e aqui é uma assinatura, do meu certificado, então você sabe que é de mim"
"Agora, se a ligação entre a chave efêmera e a cadeia do certificado está quebrada, então tudo se desmorona. É possível enviar uma cadeia de certificado correto para o cliente, mas assinar o aperto de mão com a chave privada errada, ou não assiná-lo em tudo! Não há nenhuma prova de que o servidor possui a chave privada correspondente a chave pública no seu certificado". Langley ainda afirma mostrar aos usuários Mac OS X, se suas máquinas estão realmente vulneráveis.

"Porque a cadeia do certificado está correta e é o link a partir do aperto de mão para essa corrente que está quebrado, não acredito que qualquer tipo de fixação de certificado impediria isso. Também, isto não só afeta sites usando DHE ou ECDHE ciphersuites – o atacante pode escolher a ciphersuite neste caso e escolherá o que funciona para eles", disse de Langley.


Houve também suposta confirmação dos Security Professional CrowdStrike que também analisaram o script, diz que a falha é provável em qualquer site protegidos por SSL ou serviços webmail.

Devido a uma falha na lógica de autenticação nas plataformas dos X e iOS, um invasor pode contornar as rotinas de verificação de SSL/TLS sobre o handshake de conexão inicial. Isso permite que um adversário disfarçar-se como provenientes de um ponto de extremidade remoto confiável, tais como seu provedor de webmail favorito e executar completa intercepção de tráfego criptografado entre você e o servidor de destino, bem como dar-lhes uma capacidade para modificar os dados de vôo (tais como entregar façanhas para assumir o controle do seu sistema)", afirma o grupo CrowdStrike.

Agora a boa notícia aos usuários da Apple, é que hoje foi lançado a atualização que corrige a falha de validação de certificado no seu sistema OS X Mavericks, versão 10.9.2
Levantando ao fato de que a validação de certificado não é a correção de segurança único emitida pela Apple hoje, que é conhecida por publicar atualizações de segurança longa e pedante. Outras atualizações incluem correções para:


  • um número de vulnerabilidades de Apache; 
  • um problema de corrupção de memória relacionado com a manipulação de fontes type 1; 
  • alguns aplicativos de areia ignora; 
  • o sistema de certificados de raiz;
  • um estouro de buffer que poderia permitir execução de código arbitrário em CoreAnimation; 
  • um problema de sinal na manipulação do CoreText de fontes unicode que poderia levar à execução de código arbitrário ou encerramento inesperado do aplicativo;
  • uma interceptação de credencial para alguém usando curl para se conectar a uma URL HTTPS que contém um endereço IP; 
  • um bug que poderia permitir que um invasor assuma o controle do relógio do sistema; 
  • um problema no finder que poderia permitir acesso não autorizado a determinados arquivos; 
  • um problema de vazamento de memória estimulado pelas JPEGs criados maliciosamente; 
  • um problema com os drivers da NVIDIA através do qual a execução de um aplicativo malicioso pode resultar na execução de código arbitrário dentro da placa de vídeo; 
  • múltiplas vulnerabilidades PHP; 
  • um bug livre duplo que existiam em QuickLook que poderia ser explorada para ocasionar um encerramento inesperado do aplicativo ou a execução arbitrária de código se um invasor dowloaded um documento do Microsoft Word criado maliciosamente; 
  • um punhado de bugs do QuickTime que poderia levar ao encerramento do aplicativo ou a execução de código arbitrário; 
  • e um montão de problemas que afetam os usuários que ainda não atualizou para a mais recente iteração de Mavericks dos X.
Para todo o entendimento, pode-se conferir aqui: http://support.apple.com/kb/HT6150

3 comentários: