Κακόβουλες εικόνες GIF θα μπορούσαν να παραβιάσουν λογαριασμούς στο Microsoft Teams

Για αυτο ειναι σημαντικο το Multi factor authentication.

Ξερω πολλες εταιριες που δεν το εχουν εφαρμοσει ακομα.

42 λεπτά πριν, Hetfield είπε

Για αυτο ειναι σημαντικο το Multi factor authentication.

Ξερω πολλες εταιριες που δεν το εχουν εφαρμοσει ακομα.

πρέπει να γίνει force σε πολλές περιπτώσεις

Ότι να'ναι αυτοί οι Developers,  ποιος σκέφτηκε τέτοιο κώδικα ήθελα να ήξερα....και για ποιο λόγο πχ ένα GIF να εκτελεί εσωτερικό κώδικα...

3 hours ago, ptwma said:

Ότι να'ναι αυτοί οι Developers,  ποιος σκέφτηκε τέτοιο κώδικα ήθελα να ήξερα....και για ποιο λόγο πχ ένα GIF να εκτελεί εσωτερικό κώδικα...

Αυτό γίνεται και στο "Windows Embedded Automotive" (και μπορείς για παράδειγμα να βάλεις κάτι σαν mirrorlink σε κάποια αυτοκίνητα π.χ. ford - sync 2).

3 ώρες πριν, ptwma είπε

Ότι να'ναι αυτοί οι Developers,  ποιος σκέφτηκε τέτοιο κώδικα ήθελα να ήξερα....και για ποιο λόγο πχ ένα GIF να εκτελεί εσωτερικό κώδικα...

Προφανώς και δεν ξέρεις ότι αυτό γίνεται με μια πολύ κοινή τεχνική που έχει χρησιμοποιηθεί εδώ και πολλά χρόνια. Μπορείς να διαμορφώσεις την εικόνα και τα metadata της με τέτοιο τρόπο ώστε να επωφεληθείς από κάποιο bug στο κώδικα, που να επιτρέψει να κάνεις buffer overflow attack

https://www.imperva.com/learn/application-security/buffer-overflow/

What is a Buffer Overflow Attack

Attackers exploit buffer overflow issues by overwriting the memory of an application. This changes the execution path of the program, triggering a response that damages files or exposes private information. For example, an attacker may introduce extra code, sending new instructions to the application to gain access to IT systems.

If attackers know the memory layout of a program, they can intentionally feed input that the buffer cannot store, and overwrite areas that hold executable code, replacing it with their own code. For example, an attacker can overwrite a pointer (an object that points to another area in memory) and point it to an exploit payload, to gain control over the program.

Δεν έχει να κάνει λοιπόν με το ότι κάποιος προγραμματιστής της Microsoft σκέφτηκε να εκτελεί κώδικα που είναι μέσα στο GIF. Προς θεού.

Η C και η C++ που χρησιμοποιείται συνήθως είναι γλώσσα που επιτρέπει εύκολα τέτοιου είδους σφάλματα/bugs. Για αυτό και η Microsoft και Google έχουν αρχίσει και αντικαθιστούν την γλώσσα αυτή, για τον κώδικα του λειτουργικού, με την RUST που έχει προστασία από τέτοιες ευπάθειες.

https://www.rust-lang.org/

3 ώρες πριν, Retromaniac είπε

Προφανώς και δεν ξέρεις ότι αυτό γίνεται με μια πολύ κοινή τεχνική που έχει χρησιμοποιηθεί εδώ και πολλά χρόνια. Μπορείς να διαμορφώσεις την εικόνα και τα metadata της με τέτοιο τρόπο ώστε να επωφεληθείς από κάποιο bug στο κώδικα, που να επιτρέψει να κάνεις buffer overflow attack

https://www.imperva.com/learn/application-security/buffer-overflow/

What is a Buffer Overflow Attack

Attackers exploit buffer overflow issues by overwriting the memory of an application. This changes the execution path of the program, triggering a response that damages files or exposes private information. For example, an attacker may introduce extra code, sending new instructions to the application to gain access to IT systems.

If attackers know the memory layout of a program, they can intentionally feed input that the buffer cannot store, and overwrite areas that hold executable code, replacing it with their own code. For example, an attacker can overwrite a pointer (an object that points to another area in memory) and point it to an exploit payload, to gain control over the program.

Δεν έχει να κάνει λοιπόν με το ότι κάποιος προγραμματιστής της Microsoft σκέφτηκε να εκτελεί κώδικα που είναι μέσα στο GIF. Προς θεού.

Η C και η C++ που χρησιμοποιείται συνήθως είναι γλώσσα που επιτρέπει εύκολα τέτοιου είδους σφάλματα/bugs. Για αυτό και η Microsoft και Google έχουν αρχίσει και αντικαθιστούν την γλώσσα αυτή, για τον κώδικα του λειτουργικού, με την RUST που έχει προστασία από τέτοιες ευπάθειες.

https://www.rust-lang.org/

Δε διαφωνώ,  καταλαβαίνω και πώς δουλεύει,  απορώ με το ποσό χαμηλής ποιότητας κώδικα βγάζουν ΌΛΕΣ οι εταιρείες.  Αφού είναι γνωστό λοιπόν πως ενδεχομένως να μπορείςνα κάνεις κάτι τέτοιο,  γιατί δεν το δοκιμάζει κάποιος μετά το compile,

1 ώρα πριν, ptwma είπε

Δε διαφωνώ,  καταλαβαίνω και πώς δουλεύει,  απορώ με το ποσό χαμηλής ποιότητας κώδικα βγάζουν ΌΛΕΣ οι εταιρείες.  Αφού είναι γνωστό λοιπόν πως ενδεχομένως να μπορείςνα κάνεις κάτι τέτοιο,  γιατί δεν το δοκιμάζει κάποιος μετά το compile,

Το ότι είναι γνωστή η τεχνική, δεν σημαίνει ότι είναι και εύκολη ή ότι ξέρεις πού ακριβώς να την εφαρμόσεις κάθε φορά. Δεν μπορεί ο προγραμματιστής να κάθεται να προσπαθεί να χακαρει την εφαρμογή του. Μιλάμε για αμέτρητες ώρες. Αυτό που μπορεί να κάνει είναι να προσπαθήσει να εφαρμόσει όλα τα good practices. Αλλά και πάλι είναι αδύνατο.

Για αυτό αλλάζει η ίδια η γλώσσα σε μια άλλη που δεν αφήνει καν να δημιουργηθούν αυτές οι συνθήκες. Δεν είναι θέμα κακού κώδικα, τις περισσότερες φορές. Μάλιστα μπορεί να μην είναι θέμα καν δικού σου κώδικα.

Το λογισμικό παράγεται χρησιμοποιώντας άλλες έτοιμες βιβλιοθήκες, και γράφεται και κάποιος μέρος νέο που έχει το logic της νέας εφαρμογής. Να σαι σίγουρος ότι οι βιβλιοθήκες φόρτωσης μιας εικόνας (gif, jpeg κτλ) είναι από αυτές που κανείς δεν κάθεται να φτιάξει αν δεν υπάρχει λόγος πολύ ιδιαίτερος. Αν η βιβλιοθήκη έχει πρόβλημα εσύ που την χρησιμοποιείς στο δικό σου λογισμικό το αγνοείς, και μπορεί να έχεις προβλημα.

Αυτά στα λέω γιατί τα γνωρίζω λόγω επαγγέλματος (προγραμματιστής)

@Retromaniac Κάπου είχα διαβάσει πως το 10-15% είναι μόνο κώδικας που παράγεται,  τα υπόλοιπα είναι έτοιμα libraries.  Πιστεύω καταλαβαίνεις το θέμα μου , αφού το ξέρεις τι σόι testing κάνεις για να αποφύγεις τέτοια αστεία πράγματα σαν developer;

No offence δεν το λέω για εσένα 

Microsoft === Ινδοί developers (με ότι αυτό συνεπάγεται)

Για οσους κραζετε τους developers για τετοια θεματα ευπαθειας, αφου δε ξερετε, καλυτερα να μη μιλατε καν.