Fabio Castagnino

Posts Tagged ‘bug’

http://www.gamestop.it rotto da Elisa (in realtà l’ho rotto anche io ), ma ciò non toglie che l’errore è molto simpatico

Anche youtube non scherza…

Che dire… Criceti, scimmie, … il web 2.0 è gestito da animali

Accidenti! però sta volta non l’ho rotto io!

Per la serie errori strani e incomprensibili sta volta un ottimo candidato è MySQL Server…

The server has returned this error message:MySQL server has gone away

Domanda spontanea che mi è sorta… e dove è andato!?!? e a fare cosa?!?! XD

Ma più che altro utilissimo come errore… come lo risolvo il problema partendo da quel messaggio?!?! –.-

ok.. oggi è toccato pure a Facebook.. e anche lui si aggiunge alla lunga lista di siti che ho involontariamente rotto

dopo qualche click è letteralemente esploso XD

Un ricercatore di sicurezza ha pubblicato l’exploit di una vulnerabilità del kernel Linux che, a suo dire, è in grado di bypassare le protezioni di Linux e garantire ad un aggressore i massimi privilegi di sistema (root). La debolezza si trova nell’interfaccia TUN, utilizzata per la creazione di periferiche di rete virtuali punto-a-punto.
Lo sviluppatore (Brad Spengler), che lavora al progetto Grsecurity, afferma che la vulnerabilità da lui scoperta è contenuta nelle versioni 2.6.30 e 2.6.18 del kernel Linux: quest’ultima versione, è utilizzata in Red Hat Enteprise Linux 5, il più diffuso sistema operativo Linux-based di classe enterprise.
Avvalendosi di una tecnica già teorizzata da Julien Tinnes e Tavis Ormandy, e dimostrata lo scorso anno da Mark Dowd con un bug di Adobe Flash, Spengler ha scritto un exploit capace di approfittare delle deferenziazioni ai puntatori nulli per bypassare tutte le più comuni estensioni di sicurezza per Linux: SELinux, AppArmor e Linux Security Module.

La vulnerabilità scoperta da Spengler è causata da una funzione di ottimizzazione del compilatore GCC, la quale elimina il controllo ai puntatori nulli se la variabile è già stata assegnata. Una spiegazione più tecnica è fornita in questo articolo di The H Security.
La soluzione al problema, secondo gli esperti di sicurezza, è semplice: basta che il valore della variabile sia controllato prima che il puntatore venga assegnato.
Per le future release del kernel Linux verrà utilizzato il parametro di compilazione fno-delete-null-pointer-checks che impedisce al compilatore di eliminare automaticamente i controlli per i puntatori nulli. Una soluzione già applicata al recente kernel 2.6.30.2, che in questo modo dovrebbe risultare immune al problema scovato da Spengler.

Fonte: http://punto-informatico.it/2677050/PI/News/un-bug-nel-cuore-linux.aspx

Che bello tutti i siti/software che tocco dopo poco tempo si rompono… eppure non lo faccio apposta…

Questa volta è toccato al tool per la generazione del transcript del portale MCP di microsoft.com

È stato un progetto di verifica della sicurezza dei protocolli basato su strumenti di intelligenza artificiale creato da loro stessi a portare gli scienziati italiani del DIST, Dipartimento informatico dell’Università di Genova, ad individuare di recente una falla nel sistema di autenticazione single sign-on di Google. Un buco ora tappato dal colosso del search.
In particolare, la vulnerabilità riguardava i servizi erogati alle aziende tramite le applicazioni business. "Se i dettagli della vulnerabilità fossero caduti in mano a malintenzionati – sottolinea una nota dell’ateneo – le conseguenze avrebbero potuto essere pesanti", visto soprattutto il calibro dei clienti che utilizzano la piattaforma Google. Quindi, come da prassi, i bug hunter italiani hanno comunicato il problema a CERT e a Google, che ha realizzato una nuova versione del protocollo.
Grazie alle tecniche di intelligenza artificiale – ha spiegato il vicedirettore del DIST Alessandro Armando – è stato possibile studiare come si poteva comportare il protocollo "in presenza di un agente ostile": simulando le reazioni del sistema, si sono ottenute delle risposte. "Il numero dei comportamenti che è stato necessario analizzare per trovare la vulnerabilità – ha spiegato il ricercatore – è composto da più di 300 cifre". Secondo Armando "la verifica del corretto funzionamento degli apparati ad elevata complessità è una delle nuove frontiere dell’intelligenza artificiale".

A questo indirizzo è disponibile la lettera con cui Google ha avvertito i clienti di Google Apps, una missiva dei primi di agosto in cui viene spiegato nei dettagli come comportarsi e cosa modificare delle proprie applicazioni per bypassare il problema.
Oltre ad Armando, hanno lavorato al sistema che ha consentito l’individuazione del bug anche studenti e ricercatori del progetto AVANTSSAR dell’Unione Europea, un progetto che riguarda appunto la sicurezza delle reti.

Dopo meno di 24 ore dal suo rilascio salta fuori il primo bug, relativo alla sicurezza del browser di Google.

È Aviv Raff il ricercatore di sicurezza che a poche ore dalla presentazione di Google Chrome avverte che il browser di mammaG soffre di una vulnerabilità.

Con una demo esplicativa del problema, disponibile a questo indirizzo, Raff dimostra come gli utenti Windows di Chrome possano finire vittima di un attacco carpet bombing. Come viene evidenziato da ZdNet, un aggressore potrebbe associare una vulnerabilità nel WebKit su cui si basa e un bug Java emerso di recente: l’utente verrebbe così messo in condizione di aprire senza rendersene conto file eseguibili direttamente dall’interno del browser.

Nella sua demo, Raff evidenzia la facilità con cui l’utente possa essere spinto a depositare sulla scrivania di Windows file malevoli. Il browser di Google, che così tanto punta sulla sicurezza, non sarebbe quindi immune da rischi nonostante il ricorso alla sandbox in cui viene fatto girare il motore di rendering del browser.

Stando alla knowledge base di Debian un programmatore ha avuto la bella idea di togliere due righe di codice che hanno reso predicibile la generazione di numeri casuali, che sono la base per gli algoritmi crittografici. (Credito a Luciano Bello che ha trovato il bug).

Cosa  ha provocato e provocherà questo bug?

• Tutti i certificati generati con OpenSSL a partire dalla versione 0.9.8c-1 (del 17 Settembre 2006 !!!) su un OS basato su Debian sono craccabili e DEVONO essere rigenerati…
• Tutte le chiavi di SSH, OpenVPN, DNSSec, qualsiasi certificato X.509 e chiavi di sessione per connessioni SSL/TLS sono compromesse…
• Tutti i certificati Verisign come da questo bollettino, devono essere sostituiti in quanto compromessi…

Questo significa che la patch di Debian NON risolve totalmente il problema in quanto tutte le chiavi ed i certificati che sono stati generati con la versione bacata sono ormai compromessi.

La causa del bug probabilmente sta nel fatto che qualcuno ha modificato del codice senza poi siano stati fatti la review di sicurezza su quel codice, cosa che avrebbe in tutta probabilità portato alla luce il problema.
Si, sto dicendo che applicando SDL nel modo corretto questo bug non sarebbe passato.

Ok, ma quanto è sfruttabile il bug? Semplicissimo, basta usare questi tool e il crack è pronto. Inutile nasconderli, security through obscurity NON funziona, se ancora ci fosse bisogno di dirlo.

Questo feroce bug colpisce non solo Debian e le distro derivate come Ubuntu, ma tutti quei sistemi embedded che sono basati su Debian. Pensiamo a telecamere IP, centralini, router, access point, etc. Si, perché Debian è una delle distro più usate in apparati embedded.

La vera domanda perciò è: quanto tempo occorrerà adesso per aggiornare tutti questi sistemi? Probabilmente infinito perché tipicamente i sistemi embedded non vengono MAI aggiornati dopo la loro produzione. Questo deve far riflettere e cominciare a far cambiare la mentalità nel software per cui un sistema non aggiornato è MORTO.

Diamo infine un caloroso benvenuto a Debian nel mondo reale, fatto di persone umane che sbagliano a prescindere dalla bandiera dell’OS a cui stanno lavorando. La sicurezza è un problema di tutti, nessuno escluso. Già perché personalmente non penso che sia affatto scandaloso trovare un bug di sicurezza, il vero scandalo è che molti pensavano che questo non accada sulle distro Linux e meno che mai in Debian.