Aşağıda müzik çalar yok mu? Dinlemek direkt olarak Soundcloud'da.

[MÜZİKAL MODEM]

ÖRDEK.  Herkese Merhaba.

Çıplak Güvenlik Podcast'ine tekrar hoş geldiniz.

Doug bu hafta hala yok, bu yüzden yine ben, Duck ve yakın arkadaşım Chester Wisniewski.

Merhaba Chet.

ÇET.  Hey, Ördek!

ÖRDEK.  Geri döneceğimi söyledin ve geri döndün!

Olumsuz hiçbir şey veya büyük bir kötü amaçlı yazılım felaketi sizi geçişte yönlendirmedi.

O halde hemen bu haftanın açılış hikayesiyle başlayalım, ki bu ilginç ve açıklaması karmaşık bir şekilde…

…çünkü şeytan ayrıntılarda gizlidir ve ayrıntıları bulmak zordur.

Ve Naked Security'den başlığı okuyacağım: Tehlikeli Android Telefon 0 günlük hatalar Ortaya Çıktı - hemen yama yapın veya bu hataları giderin.

Bunun “temel bant” denen bir şeyle ilgisi var.

Tehlikeli Android telefon 0-day bug'ları ortaya çıktı - yama yapın veya hemen düzeltin!

ÇET.  Pekala, cep telefonunuzdaki bu temel bant çipleri aslında kendi küçük işletim sistemlerini çalıştırıyor…

…5G modeminiz için, baz istasyonlarıyla konuşması için, belki GPS alıcısı, konum bilginizi alması için.

ÖRDEK.  Anladığım kadarıyla, temel bant Wi-Fi ve Bluetooth'u bile içermiyor.

Bunlar, Çip Üzerinde Sistem [SoC]'nin farklı bölümleri tarafından ele alınır çünkü radyo iletimleri ve telefon kullanılabilirliği ve mobil ağ için şeyler hakkında Wi-Fi ve Bluetooth gibi şeylere göre çok daha katı düzenlemeler vardır.

ÇET.  Evet, bunun yönetmeliği oldukça sıkı, muhtemelen güvenlik nedeniyle, değil mi?

GSM, Avrupa Telekomünikasyon Standartları Enstitüsü'nün bir spesifikasyonudur ve bunların tam olarak doğru frekansta, tam olarak doğru miktarda güçte olduklarına dair çok sıkı bir şekilde test ettiklerini ve bunların öyle bir şekilde tasarlanmadıklarını varsayıyorum. ağa bağlanıp hizmet reddine yol açabilir veya acil durum aramaları yapma becerisini veya bu tür şeyleri engelleyebilir.

Yani Çin'deki 20 farklı şirketin 30 sentlik versiyonlarını pompaladığı bir emtia çipi gibi değil.

Bunları yapan sadece (bildiğim kadarıyla) iki üretici var: Samsung ve Qualcomm.

Bu yüzden onları yapmak çok zor.

Yani, Intel birkaç yıl önce modem temel bant işine girmeye çalıştı, milyarlarca dolar harcadı ve sonunda bunu beceremediği için ayrıldı.

ÖRDEK.  Temel bant, çip diyelim, makalede System-on-Chip olarak tanımladığım daha büyük bir çipin parçası olsa da… bunu bir nevi “entegre entegre devre” olarak düşünebilirsiniz.

Tek bir yonga paketinde çok, çok küçük bir anakart gibi.

Ve bir de çip içinde çip olan bu kısmı var.

Buradaki fikir, örneğin bir iPhone'unuz varsa Android veya iOS'tan bağımsız çalışması gerektiğidir.

Bu, temel bant sabit yazılımınızda internetten erişilebilen bir hatanız varsa, bir dolandırıcı, daha fazla ilerleyemeseler ve Android'i fiilen ele geçiremeseler bile telefonunuzun mobil ağ iletişim kısmına müdahale edebilir anlamına gelir. veya uygulamalarınız.

Ve ağ işinizin içindeyseler, bu muhtemelen verilerinizi gözetleyebilecekleri, aramalarınızı gözetleyebilecekleri, aramalarınızı karıştırabilecekleri, belki aramalarınızı engelleyebilecekleri, belki de tüm SMS'lerinizi okuyabilecekleri anlamına gelir.

Yani, çipinizin ana bant modem kısmında bir hata olması…

…yalnızca Android'deki herhangi bir hatadan bağımsız olmakla kalmaz, satın aldığınız telefon modeliyle de uyumlu olması gerekmez, değil mi?

Çünkü o cihaza hangi çip sürümünün yüklendiğine, hangi pazara satıldığına veya hangi fabrikada üretildiğine bağlı olabilir.

ÇET.  Evet, kesinlikle.

Demek istediğim, geçmişte kesinlikle bahsettiğiniz tüm bu faktörlere bağlı olarak, içinde farklı modemler bulunan aynı cihazları alacağınız birçok telefon oldu.

Belki Amerika Birleşik Devletleri'nde… 5G için burada Kanada'da kullandığımızdan farklı bir frekans kullanıyorlar, bu nedenle bu, bir marka çip yerine başka bir marka çip almanızı kolaylaştırmış olabilir.

Ama mağazadan satın aldığınızda, hala sadece bir "Pixel 7" veya bir "Samsung S21" veya kutunun üzerindeki adı her neyse.

Orada ne olduğunu gerçekten bilmiyorsun.

Vaktinden önce "Ah, sadece modem çipinin Qualcomm Snapdragon versiyonuna sahip bir telefon satın alıyorum."

Yani, gerçekten yapabileceğiniz bir şey değil…

ÖRDEK.  Google, cihazların bu "temel bant" bölümündeki hataları aramaya başladı.

Muhtemelen, Samsung Exynos modem çip bileşenini seçtiler çünkü Pixel 6 ve Pixel 7'deki en yeni ve en harika Pixel telefonlarında kullandıkları şey bu.

Ama aynı zamanda bir sürü başka cihazı da kapsar: Samsung, Vivo ve hatta bazı arabalardan.

Görünüşe göre 18 güvenlik açığına rastlamışlar.

Ancak dördünün o kadar şiddetli olduğuna karar verdiler ki, onları bulup ifşa etmelerinden bu yana 90 gün geçmiş olsa da ve bu nedenle, eğer olmasaydı, normalde esasen "0 günü düşürecekleri" bir konumdalar. Bir yama mevcut değil, bunu bastırmaya karar verdiler.

Aslında kendi 0-gün bırakma politikalarını geçersiz kıldılar.

ÇET.  Ve mucizevi bir şekilde, cihazlarından birini etkiliyor.

Ne tesadüf Ördek…

ÖRDEK.  Anladığım kadarıyla Pixel 6 serisi ve Pixel 7 serisi bu hatalı ürün yazılımına sahip.

Ve Google gururla, "Ah, etkilenen Pixel cihazları için yamalar bulduk" demesine rağmen...

…bunu duyurduklarında, 90 gün dolduğunda, Pixel 6es için yamaları *olmalarına* rağmen, onları henüz *kullanıma sunmamışlardı*, değil mi?

Dolayısıyla, aylık güncellemeleri çıktığında normalde 6 Mart (veya 5 Mart) olmasına rağmen, bir şekilde Pixel 6 serisi için güncellemeleri 20'sine kadar almayı başaramadılar.

ÇET.  Etkilenmeyen bir Pixel 5, Duck'ım var ve yine de ayın 20'sine kadar güncellemelerimi almadım.

Bu yüzden, Mountain View'daki işleri, her şeyin - tamir edilmiş olsa bile - rafta durduğu noktaya kadar sakızlaştırmış gibi görünüyor.

ÖRDEK.  Bu durumda, "internet-to-baseband uzaktan kod yürütme" dedikleri şey gibi görünüyor.

Başka bir deyişle, internet erişimi olan biri bir şekilde telefonunuza tehlikeli bir şekilde ping atabilir ve Android kısmından ödün vermeden veya sizi hileli bir uygulama indirmeniz için kandırmadan telefonunuza bir tür kötü amaçlı yazılım yerleştirebilir ve siz de neredeyse bilmenin yolu yok.

Peki, ne yapmalı, Chester?

ÇET.  Tabii ki cevap: Yama!

Tabii bunun dışında çok az şey var ama cihazınızda bazı ayarlar olabilir.

Keşfedilen 18 hatadan en endişe verici olanı LTE üzerinden Ses veya Wi-Fi üzerinden Ses olarak adlandırılanları etkiliyor gibi görünüyor.

Telefonunuzun nasıl iletişim kurduğunu düşünürseniz, tipik olarak (eski günlerde) sesinizi göndermek için tamamen farklı bir yol kullanıyordu, kablosuz ağ üzerinden bir telefon görüşmesi için sıkıştırılmış, örneğin size bir metin mesajı göndermek için kullandığından veya verilere erişmenizi sağlar.

Ve böcek, her şeyi veri gibi ele almak olan şeyleri yapmanın daha modern bir yolunda gibi görünüyor.

Sesli telefon görüşmelerinizi, ağın belirlenmiş ses bölümünü değil, ağın *data* bölümünü kullanarak IP paketlerinde paketlenmesini sağlarsınız - IP üzerinden ses.

Bu nedenle, telefonunuzda “Wi-Fi Aramasını Aç” veya “VoLTE Kullan” (LTE üzerinden Ses) seçeneği varsa, henüz bir yama almadıysanız bunları kapatabilirsiniz. üreticiniz.

ÖRDEK.  Bu zor bir soru, ama kesinlikle “bu alanı izle” meselesi.

Öyleyse, devam edelim sonraki hikaye, Chester.

[Kahkahalar] En sevdiğiniz konuyu içeriyor, bu da tabii ki kripto para birimi.

Müşterilerin tüm ATM ağını CAS (Çekirdek ATM sunucusu) adı verilen tek bir şeyden çalıştırmasına izin veren bir sunucu tarafından yönetilen Bitcoin ATM'leri yapan bir şirketi içerir.

Ve bana Chet Chat günlerinde bahsettiğimiz, video veya resim yüklemenize izin veren bir yükleme eklentisinin olduğu eski hataları hatırlatan bir hataları vardı...

… ancak yüklenen şeyin gerçekten bir resim olduğunu doğrulamaz, *ve* onu, saldırganın sistemi kandırıp onu yürütmesi için kandırabileceği bir yerde bırakır.

Chester, kripto para birimi ATM'lerinin video yükleme özelliklerine ihtiyaç duyduğunu kim bilebilirdi?

Bitcoin ATM müşterileri, aslında bir uygulama olan video yüklemesiyle hacklendi

ÇET.  Daha çok, "Aklı başında kim bir ATM'de Java çalışma zamanı ortamı istediğinizi düşünüyor?"

Bir sorum var Duck.

Bunu kafamda canlandırmaya çalışıyorum…

Black Hat'taydım, aman Tanrım, on yıl ya da daha fazla yıl önce olmalıydı ve Barnaby Jack bir ATM'de ikramiye çıkardı ve kasadan 20 dolarlık banknotlar uçmaya başladı.

Ve bir Bitcoin ATM'sine arka kapı girdiğimde ne olduğunu hayal etmeye çalışıyorum.

Ne çıkıyor?

Bu yıl DEF CON'da bunlardan birini ikramiye olarak alabilir miyiz?

Ve ne görecektim?

ÖRDEK.  Bence görebileceğiniz şey, Bitcoin'lerin yasal sahibinin veya her neyse kripto para biriminin onaylamadığı Bitcoin işlemleridir.

Ve görünüşe göre insanların yüklediği özel anahtarlar.

Çünkü, tabii ki, kripto paralarınızın anında, anında, sizin adınıza kendi merkezi olmayan finans ağında başka biri tarafından alınıp satılabileceği bir “sıcak cüzdan” senaryosu istiyorsanız…

… o zaman ya onlara kripto para biriminizi vermeniz (onların olması için cüzdanlarına aktarmanız) ve geri vermelerini ummanız gerekir.

Veya gerektiğinde sizin adınıza hareket edebilmeleri için onlara özel anahtarınızı vermelisiniz.

ÇET.  İşlevsel olması için özel bir anahtarı teslim etmemi gerektiren herhangi bir işlem, özel anahtarın artık özel olmadığı ve bunun burada durması gerektiği anlamına gelir!

ÖRDEK.  [GÜLER] Evet, oldukça garip bir şey.

Dediğiniz gibi, özel anahtarlar söz konusu olduğunda, ipucu isimdedir, değil mi?

ÇET.  Kripto para biriminin kötü bir fikir olmasının tüm nedenlerini incelemek için kesinlikle yeterli zamanımız yok, ancak başka birine ihtiyacınız olursa diye bunu listeye ekleyeceğiz.

ÖRDEK.  Evet ve bazı tavsiyelerimiz var.

Elimizdeki ipuçlarını gözden geçirmeyeceğim, ancak bir "Ne yapalım?” bölümü, her zamanki gibi Çıplak Güvenlik ile ilgili makalede.

Bu şirketin ürünlerini kullanan kişiler için bazı ipuçlarımız var, ayrıca yüklemelere izin veren bir tür çevrimiçi hizmet oluşturma ihtiyacı hisseden programcılar için de genel tavsiyelerimiz var.

20 yıl önce almamız gereken, on yıl önce almadığımız ve görünüşe göre bazılarımızın 2023'te hala öğrenmediği dersler var…

…güvenilmeyen kişilerin size daha sonra sihirli bir şekilde güvenilir bir şeye dönüştüreceğiniz içerik vermesine izin verirken ihtiyacınız olan dikkat hakkında.

Öyleyse, cihazınızdaki uygulamalara güvenmekten bahsetmişken Chester, çifte hikaye olduğu ortaya çıkan haftanın son konusuna geçelim.

yazmak zorunda kaldım iki ayrı mal Naked Security'de iki gün üst üste!

Bazı çok heyecan verici araştırmacılar tarafından bulunan ve buna "aCropalypse" adını veren bir böcek vardı, çünkü böcekler heyecan verici olduklarında etkileyici isimleri hak ederler.

Ve bu hatayı Google Pixel Telefonlardaki uygulamada, bir ekran görüntüsü veya yakaladığınız bir fotoğrafı alıp kırpmanıza veya bazı kısımlarını silmenize olanak tanıyan uygulamada buldular.

Sorun, kırpılan dosyanın *orijinal dosyanın sonundaki verilerle birlikte gönderilmesi, ondan kaldırılmamasıdır*.

Google Pixel telefonlarında ciddi bir veri sızıntısı hatası vardı – işte yapmanız gerekenler!

Böylece yeni veriler eski dosyanın üzerine yazıldı, ancak eski dosya yeni bitiş noktasında kesilmedi.

Bu hatanın nasıl olduğu anlaşıldığında, insanlar "Hey, bakalım programcıların benzer bir hata yaptığı başka yerler var mı?"

Ve bakalım, en azından Windows 11 Aracı Snipping tam olarak aynı hataya sahip olduğu ortaya çıktı…

…gerçi tamamen farklı bir nedenden ötürü, çünkü Pixel Phones'takinin Java ile yazıldığına inanıyorum ve Windows'takinin C++ ile yazıldığını varsayıyorum.

Eğer sen Save dosya yerine Save As yeni bir dosyaya, eski dosyanın üzerine yazar ama arta kalan verileri silmez.

Buna ne dersin, Chester?

Windows 11 ayrıca "aCropalypse" görüntü verisi sızıntısına karşı savunmasızdır

ÇET.  [İRONİK] Bildiğiniz gibi geçici çözümlere sahip olmayı her zaman severiz.

Sanırım geçici çözüm, bir görüntünün yalnızca ilk %49'una kadar kırpılıyor.

ÖRDEK.  Oh, tepeden kırpmayı mı kastediyorsun?

ÇET.  Evet.

ÖRDEK.  Pekala… o zaman eski görüntünün alt tarafını yeni görüntünün üstüne ve eski görüntünün alt kısmına mı getiriyorsunuz?

ÇET.  Ancak, belgenin alt kısmındaki bir imzayı yeniden düzenliyorsanız, önce ters çevirdiğinizden emin olun.

ÖRDEK.  [GÜLER] Pekala, başka geçici çözümler de var, değil mi?

Yani, şu özelliklere sahip bir uygulama kullanıyorsanız: Save As seçeneği, yeni bir dosya oluşturduğunuz yerde, açıkça üzerine yazılacak ve geride bırakılabilecek hiçbir içerik yoktur.

ÇET.  Evet.

Bir kez daha, bu hataların düzeltileceğinden şüpheleniyorum ve çoğu insanın daha önce tartıştığımız gibi Salı Yaması'nı veya Google Yama Günü'nü takip ettiğinden emin olması gerekiyor... asla tam olarak bilmiyorum.

ÖRDEK.  Asıl sorun gerçekten görünüyor (ve Çıplak Güvenlik makalesine bazı onaltılık dökümler koydum), PNG dosyalarının çalışma şekli, neredeyse bir sürü işlem kodu veya dahili küçük bloklar içermeleridir.

Ve şunu söyleyen bloklar var: IDAT… yani dosyadaki veriler bu kadar.

Ve sonunda diyen biri var IEND, bu, "Bu görüntünün sonu" anlamına gelir.

Yani sorun şu ki, bir dosyayı kırparsanız ve eski verilerin %99'unu orada bırakırsa, gidip Dosya Gezgini gibi bir şeyle veya herhangi bir resim görüntüleme programıyla görüntülediğinizde, *kırpılmış dosyayı görürsünüz*, çünkü verileri geri yükleyen PNG kitaplığı önce buna ulaşacaktır IEND etiketle ve git, "Tamam, şimdi durabilirim."

Ve sanırım muhtemelen bu yüzden böcek asla bulunamadı.

ÇET.  Genellikle programlı olarak karşılaştırma kontrolleri yaparken, genellikle karma değerlerle çalışırsınız, hangisi farklı olurdu, değil mi?

Yani özellikle *boyuta* bakmanız gerekiyordu, hash değişmese bile, değil mi?

ÖRDEK.  Aslında, bir programcıysanız, bu tür bir hata, diskteki yerinde bir dosyanın üzerine yazdığınız, ancak dosyayı yeni verilerin kesileceği modda açmayı unuttuğunuz veya ihmal ettiğiniz bir hatadır. biter…

…bu aslında oradaki pek çok programı etkileyebilecek bir hatadır.

Ve dosyanın içinde "bu resim etiketinin sonu" olan herhangi bir veri formatı buna kolayca açık olabilir.

ÇET.  Ağustos ayında Las Vegas'ta başka uygulamalarda bunu tartışan pek çok görüşme olabileceğinden şüpheleniyorum.

ÖRDEK.  Yani, hepsi dosyanın nasıl açıldığıyla ilgili.

Eğer bir programcıysanız, gidip açık modu araştırın. O_TRUNC, bu, bir dosyayı yazmak için açtığınızda ve zaten var olduğunda, dosyayı yerinde üzerine yazmak yerine kısaltmak istediğiniz anlamına gelir.

Bazen bunu yapmak istersiniz… örneğin, doğru sağlama toplamını eklemek için bir EXE dosya başlığına yama uyguluyorsanız, o zaman dosyayı o noktada kesmek istemezsiniz.

Ancak bu durumda, özellikle bir görüntüyü *tehlikeli kısımlardan kurtulmak için* kırptığınızda* [GÜLÜŞLER], kesinlikle orada olmaması gereken hiçbir şeyin kalmasını istemezsiniz.

ÇET.  Evet, bunların hepsi harika noktalar Duck ve bence asıl mesele şimdilik...

…Windows 11'e yama uygulamanız gerektiğini biliyoruz ve en azından Google'ın resim düzenleyicisini kullanıyorsa, muhtemelen sadece Pixel telefonlardan oluşan Android cihazınıza yama uygulamanız gerekiyor.

Ama muhtemelen bu tür şeyleri daha çok göreceğiz, değil mi?

Bu yüzden *tüm* yamalarınızdan haberdar olun!

Demek istediğim, Naked Security podcast'ini bekleyip "Oh, Android düzeltmesini uygulamam gerekiyor çünkü Duck öyle dedi" dememelisiniz.

Bunları çıktıkları anda tüketmeyi alışkanlık haline getirmemiz gerekiyor çünkü bu hataları yapan uygulamalar sadece bunlar değil; bellek sızıntısına neden olacak tek Firefox hatası bu değil; bu şeyler her zaman oluyor.

Ve güncel kalmak genel olarak önemlidir, yalnızca bazı kritik hataları duyduğunuzda değil.

ÖRDEK.  Bu biraz “fidye yazılımı sorunu” gibi değil mi?

Bu gerçekten "genel aktif düşman/kötü amaçlı yazılım sorunu".

Bunun küçücük bir parçasına, sadece fidye yazılımına odaklanmak yeterli değil.

Kapsamlı savunmaya olduğu kadar derinlemesine savunmaya da ihtiyacınız var.

Ve iş yama yapmaya gelince, dediğin gibi, her zaman haber değeri taşıyan bir bahaneye ya da çizgiyi aşmak için süslü bir isme sahip bir böceğe ihtiyacın varsa, çözümün değil, sorunun bir nevi parçasısındır. diyorsun?

ÇET.  Evet, kesinlikle!

[GÜLER] Belki de bu konsept olması gerekense, o zaman sadece bir Etkileyici Adı Olan Hata Sophos web sitesine bir yere koyabileceğimiz ve sonra birileri bir hata bulduğunda, ona bir isim verebileceğimiz bir jeneratör aracı...

…insanları bunu yapmaya motive etmek için gereken buysa.

ÖRDEK.  Ah, demek istiyorsun… çok tehlikeli bir böcek olmasa ve CVSS puanı -12 olsa bile, ona harika isimler verirsin!

Ve geçmişte harika olanlar oldu, değil mi?

bizde vardı logjam, Heartbleed... Orpheus'un Liri, eğer bunu hatırlarsan.

Bu böceğin sadece bir web sitesi ve logosu yoktu, aynı zamanda bir tema melodisi de vardı!

Peki ya bu?

Windows güvenlik açığı – “Orpheus' Lyre” saldırısı açıklandı

ÇET.  [GÜLÜŞLER] Bir MySpace sayfasına falan giriyormuşuz gibi hissediyorum.

ÖRDEK.  Tabii ki, tema melodisini oluşturduğunuzda ve ardından onu temiz 7 saniyelik kısma indirdiğinizde, dosyada aCropalypse hatası nedeniyle bazı istenmeyen ses verileri bırakmamaya dikkat etmeniz gerekir. [GÜLER]

Mükemmel.

Doug yokken yerini doldurduğun ve içgörülerini bizimle paylaştığın için çok teşekkür ederim Chester.

Her zaman olduğu gibi, sadece söylemek bize kalıyor…

ÇET.  Bir dahaki sefere kadar, güvende kalın!

[MÜZİKAL MODEM]