Microsoft

Google afslører sikkerhedshul i Windows – russere udnytter det

Via Computerworld DK - , indsendt af arne_v

Efter ti dages varsel til Microsoft afslører Google et sikkerhedshul i Windows. Ifølge Google bliver hullet udnyttet af hackere. I et blogindlæg beskriver Google ‘0-dages sårbarheden', der også har været tilstede hos Adobe Flash. Her er det dog blevet lukket med opdateringen CVE-2016-7855.

Microsoft svarer på blogindlægget, at Google med offentliggørelsen bringer Windowsbrugere i fare. Microsoft så i stedet hellere, at man koordinerede indsatsen omkring offentliggørelse af sårbarheder.

Fra Googles side er argumentationen, at man netop er nødt til at offentliggøre sin viden, når man ved, sikkerhedshullet bliver misbrugt. Selskabet har en politik om at offentliggøre viden omkring it-sårbarheder syv dage efter, man har påpeget fejlen overfor det ansvarlige selskab.

Og netop misbrug af Windows-sikkerhedshullet er, hvad Microsofts chef for operativsystemet, Terry Myerson, anklager russiske hackere for at udføre. Gruppen, der er kendt under navne som ‘Strontium’, ‘APT28’ og Fancy Bear, er tidligere blevet anklaget for at angribe en fransk TV-udbyder og partiet demokraterne i USA.

Nogle sikkerhedseksperter vurderer, at Strontium er baseret i Rusland eller i nabolandene og arbejder ud fra en russisk interesse frem for egne interesser. De beskyldninger afvises ikke overraskende i Kreml.





Gå til bund
Gravatar

#1 ToFFo 3. nov. 2016 07:30

0-dages sårbarheden? :D
Der findes ikke pingviner på nordpolen. Who gives a shit??
Gravatar

#2 kblood 3. nov. 2016 09:38

ToFFo (1) skrev:
0-dages sårbarheden? :D


Ja, det har man det med at kalde sårbarheder som er så kritiske at man forventer de må blive løst indenfor et døgn... Microsoft har det så tydeligvis med at halte lidt efter at løse det så hurtigt. De er så vidst ikke de eneste.
Gravatar

#3 fennec 3. nov. 2016 11:59

#2
Ikke korrekt.

Det er fejl som producenten endnu ikke har opdaget, og derfor heller ikke har fikset. Det har intet med alvorligheden af fejlen at gøre. En "zero day" fejl, kan altså godt være fuldstændig harmløs.

Zero day henviser til at producenten har 0 dage til at løse problemet eller advare deres brugere.
https://en.wikipedia.org/wiki/Zero-day_(computing)

[ontopic]
Synes det er fint at give et firma syv dages "heads up", inden man frigiver alle oplysninger om en fejl. Hvis firmaet har brug for mere tid til at løse det eller send en update ud, så kan de syv dage evt. forlænges.
Its all fun and games until someone looses an eye. Then its fun and games with no depth perception.
Gravatar

#4 CBM 3. nov. 2016 12:04

Tænker det er rigtig fint at Google ligger pres på Microsoft for at de får løst et hul som allerede udnyttes

https://fricomputer.dk https://retrohardwareheaven.blogspot.com/ #ComeToTheDuckSide www.duckduckgo.com, AMD + ASUS = kvalitet! #BringBackTheKeyboard #JackOn SailfishOS rocks! Stop using Google search.. use https://justsearchportal.com/ instead (includes DuckDuckGo)
Gravatar

#5 ToFFo 3. nov. 2016 12:50

Det er ikke fordi jeg ikke ved hvad en 0-Day exploit er. Synes bare 0-dages sårbarhed var en spøjs oversættelse :)
Der findes ikke pingviner på nordpolen. Who gives a shit??
Gravatar

#6 arne_v 3. nov. 2016 13:38

#5

Jeg mener at det er den traditionelle danske oversættelse.
The greater danger for most of us lies not in setting our aim too high and falling short; but in setting our aim too low, and achieving our mark.
Gravatar

#7 CBM 3. nov. 2016 17:41

@ToFFo: deres datamat er udsat for en 0 dags sårbarhed
https://fricomputer.dk https://retrohardwareheaven.blogspot.com/ #ComeToTheDuckSide www.duckduckgo.com, AMD + ASUS = kvalitet! #BringBackTheKeyboard #JackOn SailfishOS rocks! Stop using Google search.. use https://justsearchportal.com/ instead (includes DuckDuckGo)
Gravatar

#8 kblood 3. nov. 2016 18:06

fennec (3) skrev:
#2
Ikke korrekt.

Det er fejl som producenten endnu ikke har opdaget, og derfor heller ikke har fikset. Det har intet med alvorligheden af fejlen at gøre. En "zero day" fejl, kan altså godt være fuldstændig harmløs.

Zero day henviser til at producenten har 0 dage til at løse problemet eller advare deres brugere.
https://en.wikipedia.org/wiki/Zero-day_(computing)

[ontopic]
Synes det er fint at give et firma syv dages "heads up", inden man frigiver alle oplysninger om en fejl. Hvis firmaet har brug for mere tid til at løse det eller send en update ud, så kan de syv dage evt. forlænges.


7 dage er en fin heads up, det er da endda mere end man burde forvente, så vil ikke mene at det jo netop er meningen at de skal offentliggøres derefter. Hvis ikke de kan løse de i den perioder, så er folk jo nød til at vide hvad hullet er så da selv kan prøve at tage forbehold for det.
Gravatar

#9 arne_v 3. nov. 2016 18:29

kblood (8) skrev:
Hvis ikke de kan løse de i den perioder, så er folk jo nød til at vide hvad hullet er så da selv kan prøve at tage forbehold for det.


Hmmm.

Hvad forventer du at den almindelige Windows vil gøre for at undgå:


The Windows vulnerability is a local privilege escalation in the Windows kernel that can be used as a security sandbox escape. It can be triggered via the win32k.sys system call NtSetWindowLongPtr() for the index GWLP_ID on a window handle with GWL_STYLE set to WS_CHILD.


?

:-)
The greater danger for most of us lies not in setting our aim too high and falling short; but in setting our aim too low, and achieving our mark.
Gravatar

#10 Chucara 3. nov. 2016 22:16

#9: Worst case, så er en slukket maskine svær at hacke...
Newz.dk: Hvor alle er eksperter indenfor alt.
Gravatar

#11 ShamblerDK 4. nov. 2016 09:16

Endnu et søm i kisten til Adobe Flash. HTML5 all the way!
"Witchcraft to the ignorant... simple science to the learned." - Leigh Brackett
Gravatar

#12 CBM 4. nov. 2016 19:40

#11: amen to that! :)
https://fricomputer.dk https://retrohardwareheaven.blogspot.com/ #ComeToTheDuckSide www.duckduckgo.com, AMD + ASUS = kvalitet! #BringBackTheKeyboard #JackOn SailfishOS rocks! Stop using Google search.. use https://justsearchportal.com/ instead (includes DuckDuckGo)
Gravatar

#13 kblood 5. nov. 2016 13:21

arne_v (9) skrev:
kblood (8) skrev:
Hvis ikke de kan løse de i den perioder, så er folk jo nød til at vide hvad hullet er så da selv kan prøve at tage forbehold for det.


Hmmm.

Hvad forventer du at den almindelige Windows vil gøre for at undgå:


The Windows vulnerability is a local privilege escalation in the Windows kernel that can be used as a security sandbox escape. It can be triggered via the win32k.sys system call NtSetWindowLongPtr() for the index GWLP_ID on a window handle with GWL_STYLE set to WS_CHILD.


?

:-)


Nu er det nok mest kritisk for virksomheder, men der er altid noget man kan gøre.

Hvis du kigger det fulde quote af det du lige linkede, så fortsætter den med:
"Chrome's sandbox blocks win32k.sys system calls using the Win32k lockdown mitigation on Windows 10, which prevents exploitation of this sandbox escape vulnerability."

Så det er jo en ting at gøre. Med Flash, så opdaterer man det. Med Windows, så må man jo holde sig til Chrome for at undgå det indtil Windows har fået en fix. Man kunne bruge en virtuel maskine til at gå på nettet, det begrænser jo omfanget af problemet, og som #10 skriver, så kan man slukke maskinen, eller man kan bare tage dens net forbindelse.
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login