В популярном менеджере паролей KeePass обнаружена уязвимость, эксплуатация которой позволяет извлечь мастер-пароль из памяти приложения. За счёт этого злоумышленники, которым удалось скомпрометировать устройство жертвы, могут похить все хранящиеся в менеджере пароли, даже если база данных заблокирована.

Источник изображения: hothardware.com

Упомянутая уязвимость отслеживается под идентификатором CVE-2023-3278. Её обнаружил исследователь в сфере информационной безопасности, известный под ником vdohney. Он опубликовал на GitHub краткое описание проблемы и PoC-эксплойт, предполагающий использование уязвимости KeePass. Проблема затрагивает KeePass 2.53 и более ранние версии приложения.

Дело в том, что в KeePass для ввода пароля используется поле SecureTextBoxEx, которое сохраняет вводимые пользователем символы в память в открытом виде. Это означает, что злоумышленнику достаточно завладеть дампом памяти, причём это может быть дамп процесса, файла подкачки pagefile.sys, файла гибернации hiberfil.sys, различных аварийных дампов или дампа памяти всей системы. Также не имеет значения, заблокировано или нет рабочее пространство и запущен ли KeePass.

Эксплойт тестировался в Windows, но, вероятно, его скорректированная версия будет работать и в macOS, так как уязвимость связана с тем, как приложение обрабатывает данные при вводе пароля, а не с самой операционной системой. Ожидается, что уязвимость будет исправлена в KeePass 2.54, запуск которого должен состояться в ближайшие несколько недель.

Предназначенное для macOS приложение Telegram содержит уязвимость, через которую злоумышленник может получить доступ к веб-камере и микрофону компьютера, обнаружил инженер Google Дэн Рева (Dan Revah).

Источник изображения: Rubaitul Azad / unsplash.com

Уязвимость клиента Telegram под macOS была выявлена ещё в феврале, и тогда же администрация платформы получила о ней уведомление. Но администрация Telegram на сообщение не отреагировала, и Рева принял решение предать своё открытие широкой огласке.

Уязвимость возникла из-за возможности интеграции в Telegram сторонней динамической библиотеки (Dylib). Из-за этого приложение обходит средства защиты Hardened Runtime и Entitlements: первое предназначено для защиты от вредоносного кода и манипуляций с памятью, а второе — для контроля над доступом к микрофону, камере и другим компонентам компьютера.

В результате становится возможным внедрить на компьютер собственную динамическую библиотеку, запуск которой будет производиться от имени Telegram с его полномочиями — она позволит негласно записывать звук и видео, сохраняя записи в файле. При включении инструмента LaunchAgent такая вредоносная библиотека сможет самостоятельно запускаться после перезагрузки компьютера, а открывать мессенджер для этого уже не потребуется.

Проблема возникла из-за того, что на macOS отсутствует жёсткое требование поддержки Hardened Runtime в приложениях, тогда как на iOS оно есть.

По данным ресурса Phoronix, компания Intel на прошлой неделе выпустила обновление микрокода для своих центральных процессоров, исправляющее некую уязвимость в сфере информационной безопасности, причём затронуло оно весьма широкий ассортимент моделей, включая мобильные версии Kaby Lake, которые дебютировали ещё в 2016 году.

Если учесть, что плановый выход преимущественно программных обновлений состоялся не так давно во вторник, то появление рекомендаций по обновлению микрокода процессоров в пятницу могло говорить о недавнем обнаружении сопутствующих уязвимостей. К сожалению, о характере уязвимостей внятной информации нет, но затрагивают они широкий перечень поколений процессоров, начиная от самых современных Alder Lake и Sapphire Rapids, и заканчивая довольно древними мобильными Kaby Lake.

Пользователям Linux соответствующие обновления уже доступны, в дальнейшем производители материнских плат должны будут включить эти исправления в грядущие версии BIOS, а программные исправления наверняка поступят к пользователям Windows по обычным каналам обновлений ещё быстрее.

Эксперты специализирующейся на вопросах кибербезопасности компании Imperva обнаружили уязвимость платформы TikTok, которая позволяла похищать конфиденциальные данные с устройств пользователей — их можно было использовать для кражи персональной информации, фишинга или шантажа. Сейчас уязвимость закрыта.

Источник изображения: antonbe / pixabay.com

Уязвимость была основана на механизме обработки входящих сообщений: интерфейс PostMessage API в TikTok позволял злоумышленникам отправлять через веб-версию платформы вредоносные сообщения, обходящие систему защиты. Воспользовавшись уязвимостью, хакеры могли получить доступ к данным об устройстве пользователя (тип устройства, ОС, браузер), к истории просмотренных видео, к данным учётной записи, а также к истории поисковых запросов.

Сейчас уязвимость в TikTok уже закрыта, но число претензий к платформе не уменьшается. Конгресс США продолжает попытки протолкнуть законопроект, который может вылиться в полную блокировку платформы в стране, а в дата-центрах владеющей TikTok компании ByteDance обнаружили многочисленные нарушения. Но весь этот поток негатива так и не смог отпугнуть рекламодателей — слишком уж велика популярность платформы.

Специалисты по кибербезопасности из Берлинского технического университета показали, что доверенный платформенный модуль (Trusted Platform Module, TPM) на платформе AMD может быть взломан с помощью атаки faulTPM на замыкание напряжения, что позволяет получить полный доступ к криптографическим данным, хранящимся внутри. Это позволяет хакеру полностью скомпрометировать любое приложение или шифрование, включая BitLocker, который полагается как раз на TPM.

Исследователи достигли своей цели через уязвимость в Platform Security Processor (PSP), присутствующий в чипах AMD Zen 2 и Zen 3. В отчёте не уточняется, уязвимы ли процессоры Zen 4, а сам процесс взлома требует физического доступа к машине на «несколько часов». Исследователи также выложили на GitHub код, использованный для атаки, и список необходимого оборудования стоимостью около $200.

Актуальность обнаруженной проблеме придаёт то, что Microsoft включила активацию TPM в системные требования для установки Windows 11. Этот шаг встретил неприятие публики из-за его пагубного влияния на скорость работы системы. И хотя требования Windows 11 относительно TPM легко обойти, поддержка этой функции со стороны Microsoft увеличила число приложений, полагающихся на TPM 2.0 для обеспечения безопасности. И все они уязвимы для faulTPM.

Специалисты использовали подопытный ноутбук от Lenovo, в котором физически подключили использованное оборудование к блоку питания, микросхеме BIOS SPI и шине SVI2 (интерфейс управления питанием). Предметом атаки стал сопроцессор безопасности PSP, присутствующий в процессорах Zen 2 и Zen 3, с целью получения данных, позволяющего расшифровать объекты, хранящиеся в TPM. Успешное извлечение «секретного ключа» из KDF даёт полный доступ и контроль над устройством и всеми содержащимися в нем данными в относительно короткие сроки.

По умолчанию, BitLocker использует только механизм TPM для хранения секретных ключей, но пользователь может назначить PIN-код, работающий в тандеме с механизмами на базе TPM. Это позволит создать многоуровневую защиту, однако эти PIN-коды не включены по умолчанию и уязвимы для атак методом перебора.

Исследователи утверждают, что атака методом манипуляции напряжением может быть исправлена только в микроархитектурах процессоров следующего поколения. Процессоры Intel уязвимости не подвержены. Официальных сообщений от AMD по этому поводу пока не появлялось.

Разработчик под ником xtekky представил проект GPT4Free — набор инструментов, предоставляющих бесплатный и почти неограниченный доступ к чат-боту на базе GPT-4 и его предшественнику GPT-3.5. Эксплойт был разработан методом обратного проектирования, которое помогло обнаружить уязвимость в API нейросети.

Источник изображения: D koi / unsplash.com

Базовый тариф GPT-4 составляет $0,03 за 1000 токенов «подсказок» (примерно 750 слов) и $0,06 за 1000 токенов «завершения» (также около 750 слов). Доступ к GPT-3.5 обходится дешевле — $0,002 за 1000 токенов. Эксплойт GPT4Free не обходит механизмы платного доступа к платформе OpenAI, а «обманывает» API, заставляя платформу считать, что запросы поступают от ресурсов, к которым привязаны платные учётные записи: поисковой системы You.com, платформы для написания текстов WriteSonic и чат-бота Quora Poe.

В свою защиту разработчик заявляет, что GPT4Free предназначен для работы только в «образовательных целях». Он также заявил, что будет пытаться продолжить работу над проектом, даже если его попробуют засудить. По всей вероятности, оказавшиеся жертвами GPT4Free ресурсы в обозримом будущем ликвидируют бреши безопасности и закроют доступ для инструмента — исходный код проекта может удалить и GitHub, но это только подстегнёт его последователей.

Доступ к нейросети GPT-4 пока ограничен, и это затрудняет возможность её испытать для всех любопытствующих. Эксперты называют её одной из наименее прозрачных разработок OpenAI, и компания до сих пор не сообщила, когда платформа появится в открытом доступе. Не исключено, что впоследствии OpenAI придётся активно отбиваться от «пиратских» попыток добраться до ресурсов нейросети.

Во вторник Google выпустила бюллетень по безопасности, в котором упоминается недавно обнаруженная уязвимость Chrome под номером CVE-2023-2136, которой был присвоен рейтинг «высокой серьёзности». Google известно о существовании эксплойта для этой уязвимости «в реальном мире». Хакеры были замечены в эксплуатации этой уязвимости через несколько дней после того, как Google исправила другую активно используемую уязвимость нулевого дня.

Источник изображения: Pixabay

На данный момент Google описывает CVE-2023-2136 как целочисленное переполнение с участием графического движка Skia с открытым исходным кодом, который используется Chrome. В официальном отчёте говорится, что использование уязвимости «позволяет удалённому злоумышленнику, скомпрометировавшему процесс рендеринга, потенциально выполнить выход из песочницы через созданную HTML-страницу», что даёт возможность получения доступа к дополнительным вычислительным процессам для запуска вредоносного кода на компьютере.

Несмотря на отсутствие подробностей, возможно, уязвимость была использована в тандеме с другой уязвимостью нулевого дня, которую Google исправила в прошлую пятницу, под названием CVE-2023-2033, которая связана с ошибкой в движке JavaScript V8 для браузера. Компания обнаружила обе уязвимости с помощью Клемана Лесиня (Clément Lecigne), исследователя безопасности из группы анализа угроз Google, которая занимается отслеживанием самых опасных групп хакеров и выявлением уязвимостей нулевого дня. Клеман обнаружил CVE-2023-2033 11 апреля, а CVE-2023-2136 — 12 апреля.

Предполагается, что уязвимости использовались в атаках через специально созданные вредоносные HTML-страницы, рассылаемые с помощью фишинговых сообщений. К счастью, Google быстро исправила обе проблемы после их обнаружения. Компания уже подготовила исправление для CVE-2023-2136, которое сейчас должно быть распространено среди пользователей. Исправление будет выпущено как версия Chrome 112.0.5615.137.

Рекомендуется обновить браузер при первой возможности. В ближайшее время в правом верхнем углу браузера должна появиться кнопка для обновления Chrome. В противном случае нужно перейти на вкладку «О Chrome», чтобы автоматически получить обновление, или посетить страницу поддержки Google, чтобы узнать, как загрузить исправления.

Компания Google выпустила исправление ранее неизвестной уязвимости, получившей обозначение CVE-2023-2033. В пятницу компания опубликовала уведомление о безопасности с предупреждением: «Google известно, что эксплойт для CVE-2023-2033 существует в реальном мире».

Источник изображения: Pixabay

Google предупредила, что хакеры активно используют серьезную уязвимость «нулевого дня» в программном обеспечении для атаки на пользователей. На данный момент Google описывает это как недостаток, связанный с «путаницей типов» в движке JavaScript V8 для браузера.

Ошибка типов обычно связана с тем, что программное обеспечение не может проверить ресурс, открывая способ доступа к другим процессам в программе. Это может включать в себя чтение или запись памяти вне обычных границ в коде программы. Следовательно, уязвимость может быть особенно значимой, особенно потому, что она связана с JavaScript, который широко распространен на веб-страницах. В прошлом хакеры использовали ошибки путаницы типов, чтобы запускать вредоносный код на компьютерах, иногда через веб-сайт или ссылку.

Google обнаружил ошибку благодаря Клеману Лесину (Clément Lecigne), исследователя безопасности из группы анализа угроз компании, которая занимается отслеживанием элитных хакеров и обнаружением уязвимостей нулевого дня.

Патч компании поставляется в версии Chrome 112.0.5615.121. В правом верхнем углу браузера должна появиться кнопка для обновления Chrome. В противном случае перейдите на вкладку «О Chrome», чтобы автоматически получить обновление, или посетите страницу поддержки Google (откроется в новом окне), чтобы узнать, как загрузить исправления. CVE-2023-2033 — первая уязвимость нулевого дня, обнаруженная в Chrome в этом году.

Microsoft выпустила очередной патч в рамках программы Patch Tuesday, содержащий исправления для 97 уязвимостей в разных продуктах компании. Помимо прочего, разработчики устранили уязвимость нулевого дня CVE-2023-28252, которая связана с драйвером Windows Common Log File System (CLFS) и позволяет повысить уровень привилегий в атакуемой системе.

Источник изображения: Microsoft

Согласно имеющимся данным, упомянутая уязвимость активно используется хакерами для проведения атак с использованием вымогательского программного обеспечения. Проблема затрагивает все актуальные серверные и клиентские версии Windows, поэтому установку патча лучше не откладывать.

По данным «Лаборатории Касперского», уязвимость CVE-2023-28252 используется злоумышленниками для развёртывания вымогателя Nokoyawa. Преимущественно атаки такого типа нацелены на представителей малого и среднего бизнеса на Ближнем Востоке, в Северной Америке и Азии. Специалисты по информационной безопасности отметили, что упомянутая уязвимость нулевого дня отличается от других тем, что она активно эксплуатируется финансово мотивированными киберпреступниками.

Впервые вредоносное ПО Nokoyawa было замечено в феврале 2022 года. Предполагается, что члены ныне не существующей группировки Hive выступали в роли операторов этого ПО. Как и другие вымогатели, Nokoyawa шифрует данные на атакуемых устройствах, после чего требует выкуп за их восстановление. Операторы вредоноса также угрожали жертвам раскрытием конфиденциальных данных, которые они якобы похищают в ходе атак.

Широкомасштабная кампания по внедрению вредоносного кода в сайты под управлением WordPress, получившая название Balada Injector, продолжается не менее пяти лет. По меньшей мере миллион сайтов были скомпрометированы с использованием уязвимостей плагинов и тем WordPress. После внедрения на сайт вредоносный код перенаправляет посетителей на мошеннические сайты, включая фейковые службы поддержки, незаконные лотереи и запросы на решение Captcha.

Источник изображения: WordPress

Одновременно внедрённые скрипты ищут конфиденциальную или потенциально полезную информацию, такую как журналы доступа, логи ошибок, файлы с отладочной информацией, инструменты администрирования баз данных, учётные данные администратора и многое другое. Они также загружают на сайты бэкдоры для постоянного доступа и захвата сайта.

Исследователи лишь недавно объединили вредоносную активность в единую кампанию, которая не показывает никаких признаков замедления. «Только в 2022 году наш внешний сканер сайтов SiteCheck обнаружил это вредоносное ПО более 141 000 раз, при этом более 67 % сайтов с заблокированными ресурсами загружали скрипты с известных доменов Balada Injector», — отметили эксперты по безопасности компании Sucuri.

Balada Injector используют уязвимости безопасности в плагинах и темах системы управления контентом (CMS) WordPress. Плагины — это модульные надстройки для WordPress, позволяющие администраторам сайта добавлять различные функции, такие как проведение опроса, поддержка доски объявлений или интеграция электронной коммерции. Уязвимости в темах и плагинах WordPress могут позволить злоумышленнику внедрить код или получить несанкционированный доступ к сайту.

По оценкам экспертов, сейчас WordPress используется на 60 % сайтов. Такая популярность делает WordPress мишенью для огромного числа злоумышленников. А если добавить к этому огромный объём кода, доступность настроек, сложность экосистемы плагинов и отсутствие последовательных методов безопасности, становится понятно, почему WordPress настолько привлекательна для киберпреступников.

Эксперты по безопасности только за неделю с 15 марта насчитали 37 недавно обнаруженных и исправленных уязвимостей в плагинах и одну уязвимость темы, которые затронули более 6 миллионов сайтов на WordPress. Также известно о 27 уязвимостях в плагинах и 3 уязвимостях в темах, для которых ещё не выпущено исправлений. И эти цифры не являются чем-то из ряда вон выходящим. Всего в 2022 году выявлено 1425 уязвимостей плагинов и тем WordPress.

«WordPress определённо нуждается в обновлении на регулярной основе, тем более если у вас есть сайт с большим количеством плагинов и стороннего кода, и это один из многих примеров, когда безопасность оказывается слишком сложной для обычного пользователя, который использует сайт для ведения бизнеса», — отмечает Кейси Эллис (Casey Ellis), основатель и технический директор платформы Bugcrowd bug bounty.

Sucuri отслеживает новые волны активности Balada Injector, возникающие каждые две недели, с перерывами между ними, которые «вероятно используются для сбора и тестирования недавно обнаруженных уязвимостей и уязвимостей нулевого дня».

Даже крупные организации не застрахованы от проблем с безопасностью WordPress. Часто сайт разрабатывается и поддерживается отдельным работником или небольшой командой. Эти сотрудники больше заинтересованы в поддержании актуальности сайта, чем в обеспечении его безопасности, в следствие чего пропускаются исправления и предупреждения системы безопасности. Чтобы защититься от Balada Injector и других угроз WordPress, необходимо убедиться, что всё программное обеспечение сайта обновлено, неиспользуемые плагины и темы удалены, а брандмауэр включён.

Израильская компания NSO Group приобрела широкую известность после того, как выяснилось, что она разработала программное обеспечение Pegasus для взлома устройств на базе iOS и продавала его правительствам ряда стран. Теперь же специалисты Citizen Lab из школы им. Манка при Университете Торонто опубликовали отчёт по итогам расследования, в ходе которого им удалось обнаружить непубличную компанию QuaDream — разработчика ещё одного шпионского ПО для iOS.

NSO Group и QuaDream ведут схожий бизнес, но информация о втором разработчике практически не появлялась в СМИ, компания не имеет официального сайта, а также страниц в социальных сетях. Фактически об этой компании стало известно из-за судебного разбирательства с кипрской InReach.

По данным исследователей, специалисты QuaDream создали эксплойт для взлома устройств с iOS 14. Шпионское ПО продавалось всем желающим, которые были готовы заплатить за него. Предполагается, что эксплойт активно использовался в период с января по ноябрь 2021 года, а информация о нём в СМИ появилась лишь в феврале 2022 года.

Специалисты по информационной безопасности из Microsoft помогли Citizen Lab понять, для чего может использоваться ПО QuaDream, а сам эксплойт получил название KingsPawn. Оказалось, что с его помощью можно перехватывать и записывать телефонные разговоры, использовать микрофон устройства для слежки, вести фотосъёмку с устройства жертвы и даже генерировать пароли для прохождения двухфакторной аутентификации в iCloud. В эксплойт также встроена функция самоуничтожения, которая позволяет скрыть следы пребывания вредоноса на устройстве в случае необходимости.

Google выпустила патчи, закрывающие несколько выявленных в ОС Android уязвимостей, в том числе три наиболее опасные: две из них получили статус критических, а третья, по сведениям компании, эксплуатировалась злоумышленниками.

Источник изображения: neo tam / pixabay.com

Перечисляя подробности в отчёте по безопасности Android за апрель 2023 года, Google уточнила, что наиболее опасным уязвимостям были присвоены номера CVE-2023-21085, CVE-2023-21096 и CVE-2022-38181. Первая и вторая — уязвимости Android, которые позволяют выполнять код в удалённом режиме без дополнительных привилегий для злоумышленника. Правда, эксплуатировать их можно только в результате фишинговой атаки, то есть для их работы необходимо участие потенциальной жертвы, пусть и неосознанное.

Третья была выявлена в драйвере графического процессора Arm Mali — она эксплуатировалась злоумышленниками с конца прошлого года, правда, в компании не уточнили, какие хакеры прибегали к этому средству, и кто стал жертвой атаки. Уязвимость позволяла злоумышленникам повышать привилегии без взаимодействия с пользователем.

Всего в апреле Google выпустила два патча Android: первый был направлен на исправление ошибок в самой системе, второй был связан с ядром Arm и компонентами, которые выпускают партнёры компании: Imagination Technologies, MediaTek, UNISOC и Qualcomm. В общей сложности закрыты более 60 уязвимостей. К сожалению, из-за фрагментации Android выпуск обновлений зависит от производителей устройств — поддерживаемые модели смартфонов и планшетных компьютеров должны получить их в ближайшее время.

Хакеры начали активно эксплуатировать уязвимость, обнаруженную в платном плагине Elementor Pro для CMS WordPress — самой популярной в мире платформы для создания сайтов. Плагин установлен на 12 млн сайтов под WordPress, а уязвимости присвоен рейтинг 8,8 из 10, то есть она носит статус критической.

Источник изображения: Gerd Altmann / pixabay.com

Elementor Pro предлагает инструменты упрощённый разработки элементов сайта и управления ими, а также включает средства взаимодействия с плагином WooCommerce, предназначенным для создания интернет-магазинов. Уязвимость проявляется на сайтах с установленными одновременно Elementor Pro и WooCommerce: любой зарегистрированный пользователь может создавать новые учётные записи с администраторскими привилегиями. На прошлой неделе разработчик Elementor Pro выпустил обновление версии 3.11.7, в которой уязвимость была закрыта.

Уязвимость связана с модулем взаимодействия Elementor Pro и WooCommerce — одна из его функций предназначена для обновления некоторых параметров интернет-магазина, но при этом проверка ввода данных не производится, а сама функция не обладает средствами ограничения доступа пользователям с недостаточными привилегиями. В результате получивший полномочия администратора злоумышленник, в частности, может изменить параметр siteurl, чтобы перенаправить весь трафик заражённого сайта на внешний вредоносный ресурс. Атаки на сайты с устаревшей версией плагина часто производятся с IP-адресов 193.169.194.63, 193.169.195.64 и 194.135.30.6; а на взломанном сайте часто появляются файлы с именами wp-resortpack.zip, wp-rate.php и lll.zip.

Microsoft исправила серьёзную проблему в системе безопасности поисковой машины Bing — она открывала несанкционированный доступ к данным пользователей платформы и сотрудников самой корпорации, а также позволяла манипулировать результатами веб-поиска, сообщает The Wall Street Journal.

Проблему обнаружила специализирующаяся на кибербезопасности израильская компания Wiz — она была вызвана ошибкой в конфигурации облачной платформы Azure. Microsoft внесла необходимые исправления 2 февраля, то есть за пять дней до появления функций генеративного ИИ в Bing. Проблема с неправильной конфигурацией затронула небольшое число приложений, использовавших механизм входа в систему Azure Active Directory, уточнили в Microsoft.

Доказательств злонамеренной эксплуатации уязвимости обнаружено не было, добавили в Wiz, но неясно, как долго она была открыта для хакеров — возможно, что даже несколько лет. Один из сотрудников компании рассказал, что ему удалось получить доступ к веб-сайту, которым сотрудники Microsoft пользовались для создания викторин в Bing. Из-за ошибки в конфигурации Azure любой владелец бесплатной учётной записи Microsoft мог при помощи этого сайта менять содержимое поисковой выдачи Bing по отдельным запросам. И этой возможностью эксперты тоже воспользовались, подставив ссылку на фильм «Хакеры» (Hackers) 1995 года в выдачу по запросу «лучшие саундтреки».

Затем они обнаружили более серьёзную угрозу: возможность получить доступ к электронной почте, документам, календарям и другим данным пользователей Microsoft 365 — злоумышленники могли использовать его для кражи конфиденциальных данных, фишинговых рассылок и взлома других систем. Кроме того, они выявили в облаке Azure около тысячи сайтов с аналогичными проблемами, и не меньше десятка из них принадлежали сотрудникам самой Microsoft. «Если это могло случиться с Microsoft, это могло случиться с любым, кто пользовался Azure», — заключил технический директор Wiz Ами Луттвак (Ami Luttwak).

Специализирующиеся на вопросах кибербезопасности исследователи Северо-восточного университета (США) и Лёвенского католического университета (Бельгия) обнаружили уязвимость в протоколе IEEE 802.11, более известном как Wi-Fi, которая заставляет беспроводную точку доступа передавать сетевые фреймы в незашифрованном виде, пишет BleepingComputer.

Источник изображения: Dreamlike Street / unsplash.com

Фреймы Wi-Fi (Wi-Fi frames) — это пакеты информации, включающие в себя заголовок, полезную нагрузку и метаданные: MAC-адрес отправителя и получателя, а также управляющие данные. Фреймы упорядочиваются и передаются контролируемым образом, что позволяет избежать коллизий и увеличить производительность, а также отслеживать состояние сетевого оборудования. Исследователи обнаружили, что помещённые в очередь или буферизованные фреймы обладают недостаточной защитой от вторжения — их можно перехватывать и фальсифицировать, манипулируя передачей данных. Уязвимости подвержен сам протокол Wi-Fi, то есть её можно эксплуатировать на различном сетевом оборудовании и устройствах под управлением Linux, FreeBSD, iOS и Android. Можно также перехватывать TCP-соединение и вмешиваться в клиентский веб-трафик.

Стандарт IEEE 802.11 предусматривает механизмы энергосбережения: фреймы, адресованные спящим устройствам, для экономии энергии буферизуются и ожидают своей очереди. Когда клиентское устройство переходит в спящий режим, оно отправляет на точку доступа фрейм, в заголовке которого указывается «бит энергосбережения», после чего все адресованные ему фреймы ставятся в очередь. В протоколе отсутствует регламент безопасности буферизованных фреймов, и нет ограничений на продолжительность их пребывания в таком состоянии. Когда клиент выходит из спящего режима, точка доступа извлекает буферизованные фреймы из очереди, шифрует их и отправляет адресату.

Источник изображения: bleepingcomputer.com

Эксплуатируя этот механизм, злоумышленник может подделать MAC-адрес сетевого клиента и отправить на точку доступа фрейм с «битом энергосбережения» заставляя тем самым сетевое оборудование ставить в очередь фреймы, адресованные устройству жертвы. Затем хакер отправляет на точку доступа фрейм с командой на выход из спящего режима, чтобы получить буферизованные данные. Эти фреймы шифруются либо ключом, общим для всех устройств в сети, либо ключом сквозного шифрования, который есть лишь у отправителя и получателя. Но злоумышленник может изменить контекст безопасности фреймов, отправив на точку доступа фрейм аутентификации, после чего она начнёт отправлять данные либо в незашифрованном виде, либо шифруя их ключом, которые предоставил сам хакер.

Атака реализуется при помощи программы MacStealer, которую написали сами авторы исследования — она сканирует сети Wi-Fi и позволяет на уровне MAC-адреса перехватывать трафик для других клиентов. Уязвимости подвержены сетевые устройства LANCOM, Aruba, Cisco, ASUS и D-Link — её эксплуатация позволяет, например, внедрять в TCP-пакеты вредоносный код JavaScript или другие данные с сервера злоумышленника. Уязвимость также можно использовать для отслеживания веб-трафика на устройстве жертвы, но сегодня он преимущественно подвергается TLS-шифрованию, так что фактические возможности её применения для этой цели ограничены. Подробный доклад о выявленной проблеме исследователи представят 12 мая на конференции BlackHat Asia. Фактов эксплуатации данной уязвимости на практике пока не зафиксировано.