The Dutch HackInfo

Beveiligingsonderzoekers hebben tijdens de Pwn2Own-wedstrijd zerodaylekken in onder andere Adobe Reader, VirtualBox en Safari gedemonstreerd waardoor aanvallers systemen kunnen overnemen. Wanneer Adobe, Apple en Oracle met updates voor de kwetsbaarheden komen is nog onbekend.

Pwn2Own is een jaarlijkse door het Zero Day Initiative (ZDI) georganiseerde wedstrijd die onderzoekers beloont voor het demonstreren van onbekende kwetsbaarheden in browsers, virtualisatiesoftware en andere programma's. Vanwege het coronavirus werd voor het eerst in het dertienjarig bestaan van de wedstrijd besloten om deelnemers op afstand deel te laten nemen. Hiervoor moesten deelnemers een uitgebreid whitepaper inzenden waarin ze hun exploit uitleggen en instructies geven hoe die is uit te voeren. Een medewerker van het ZDI voerde de exploit vervolgens uit op het testsysteem.

Een fout in Tor Browser zorgt ervoor dat JavaScript op het hoogste beveiligingsniveau kan worden uitgevoerd, terwijl dit eigenlijk niet zou moeten kunnen. Het Tor Project, dat de browser onderhoudt, werkt aan een oplossing. In afwachting van een fix kunnen gebruikers JavaScript zelf uitschakelen.

Tor Browser biedt gebruikers verschillende beveiligingsniveaus, namelijk standard, safer en safest. Op het veiligste niveau staat JavaScript standaard op alle websites uitgeschakeld. Veel browseraanvallen maken gebruik van JavaScript en door het uitschakelen hiervan wordt het aanvalsoppervlak voor gebruikers verkleind. In het verleden zijn JavaScript-exploits tegen gebruikers van Tor Browser ingezet. Onder andere de FBI gebruikte JavaScript om gebruikers van de browser te ontmaskeren.

Onderzoekers hebben in een smart stofzuiger van Trifo verschillende kwetsbaarheden ontdekt waardoor een aanvaller op afstand mee kan kijken met de camera van het apparaat. De fabrikant werd vorig jaar gewaarschuwd, maar gaf geen reactie. De beveiligingslekken zijn dan ook nog steeds aanwezig.

De problemen spelen in de Ironpie M6, een smart stofzuiger van Trifo die automatisch kamers stofzuigt en via een app op afstand is te bedienen. Het apparaat is voorzien van een camera en onderzoekers van securitybedrijf Checkmarx vroegen zich af hoe goed de stofzuiger is beveiligd. In totaal troffen de onderzoekers zes verschillende kwetsbaarheden aan. Het grootste probleem zit in de updateprocedure van de stofzuiger-app.

Kali heeft begin dit jaar een zogenaamde 'rolling release' uitgebracht, waardoor je steeds over de nieuwste releases van tools kunt beschikken, wat imho in de snel veranderende wereld van cybersecurity een goed idee is. Merkwaardig genoeg is dit OS, dat is ontworpen voor gebruik als security tool, nog steeds zelf inherent onveilig, als je besluit het niet van een Live CD of live USB stick te draaien, maar het wilt installeren op harde schijf of op een persistent USB stick. Het gebruiken van een persistent Kali installatie is natuurlijk logischer, je wilt immers van de voordelen van een rolling release profiteren door de laatste software bij de hand te hebben.