Tavaly óta lehet tudni, hogy a hazánkban is kapható TP-Link Archer AX21 wifi-routerek sebezhetőek, mégis sokan vannak, akik még nem frissítették a hálózati eszközük szoftverét.

Súlyos biztonsági veszélyre figyelmeztetnek a szakértők egy Magyarországon is kapható wifi-routerrel kapcsolatban, írja a hvg.hu a Bleeping Computer cikkére hivatkozva.

A TP-Link Archer AX21 (AX1800) routerekről

tavaly januárban derült ki, hogy egy hitelesítési hiba miatt a hálózati eszközhöz hozzá lehet férni annak webes felületén keresztül, és így rosszindulatú támadók elérhetik az otthoni felhasználók internetre csatlakoztatott eszközeit.

A hiba nyilvánosságra kerülése után a TP-Link 2023 márciusában javítást adott ki a routerük firmware-éhez, aminek frissítése erősen javasolt a privát internethálózatok védelme érdekében

A Fortinet kiberbiztonsági cég most azt közölte, hogy annak ellenére, hogy már bő egy éve megjelent a javítás, rengetegen vannak, akik még nem frissítették a szóban forgó router szoftverét. Ezt kihasználva az utóbbi időben megugrott a botnet támadások száma, és jelenleg is hat különböző botnet-műveletet lehet észlelni:

-- a napi fertőzési kísérletek gyakran meghaladják az ötvenezret is.

Ha sikerül betörni egy hálózatba a router hibáit kihasználva, a támadók képesek átvenni az irányítást az internetre kapcsolódó eszközök felett.
https://rtl.hu/tudomany-tech/2024/04/23/ha-ilyen-wifi-doboza-van-otthon-most-mar-tenyleg-frissitse-mert-veszelyben-vannak-az-adatai-mutatjuk-mit-kell-tennie

Válasz

Boston Dynamics: új Atlas
http://autovezetes.network.hu/video/vicces_es_erdekes/boston_dynamics_uj_atlas
___

Boston Dynamics: Spot robotkutya
http://autovezetes.network.hu/video/vicces_es_erdekes/boston_dynamics_spot_robotkutya
___

Boston Dynamics: Do You Love Me?
http://szamitastechnika.network.hu/video/mokas_videok/boston_dynamics_do_you_love_me

Válasz

Utolsó gondolatunk az XZ Utils Linux Backdoorról

A Linux által az xz backdoor incidenssel kapcsolatos szoros kihívás rávilágít a folyamatos kódellenőrzés és az elkötelezett biztonsági közösség kritikus szükségességére. Hangsúlyozza a nyílt forráskódú biztonság fegyelmezett és éber megközelítésének fontosságát, ahelyett, hogy kizárólag arra a feltételezésre hagyatkoznánk, hogy a nyílt forráskód eredendően biztonságos. A biztonsági szakemberek, a Linux rendszergazdák, az infosec-szakemberek, az internetbiztonság rajongói és a rendszer adminisztrátorok döntő szerepet játszanak a nyílt forráskódú szoftverek biztonságának és integritásának megőrzésében. Ez az incidens emlékeztetőül szolgál arra, hogy legyen éber , aktívan járuljon hozzá a kódellenőrzési erőfeszítésekhez, és működjön együtt a szélesebb közösséggel a potenciális fenyegetésekkel szemben, amelyek hosszú távú következményekkel járhatnak.
https://linuxsecurity.com/news/security-vulnerabilities/xz-utils-linux-backdoor
___

Általános számok: Ha csak az angol nyelvet vesszük alapul, akkor a legmagasabb érték 4,66%. Hogy képet kapjunk a tényleges számokról, a Valve szerint 2022 márciusában összesen 132 millió "havi aktív felhasználó" volt, ami nagyjából 2 640 000 Linux-felhasználónak felel meg.

De nem a Steam volt az egyetlen Linux-mérőszám, amely emelkedést mutatott. A Statista szerint 2023 decemberében az AMD processzorokkal rendelkező Linux-felhasználók aránya a Steamen 33,66% volt.

Gyorsan előre a mába, és a Phoronix szerint ez a szám most 72,10%. Hasonlítsuk ezt össze az Intel CPU-kkal rendelkező Linux-felhasználók 27,9%-os arányával, és a kép máris világos lesz.

Természetesen ezek a számok a játékosokat és nem az átlagos felhasználókat tükrözik. A Statcounter szerint a Linux desktop piaci részesedése stabilan 4,05%-on áll. Ez a Linux eddigi legmagasabb piaci részesedése.

Remélhetőleg, ha a Linuxon való játék továbbra is növekszik, akkor a következő öt-tíz évben végre kétszámjegyű lesz a részesedése.
http://www.linux-magazine.com/Online/News/Linux-Usage-Increases-in-Two-Key-Areas

Előzmény

Válasz

OpenSSH és XZ/liblzma: A nemzetállami támadást meghiúsították, mit tanultunk?

Hová mehetünk innen? Először a tudatosság és a megfigyelhetőség . Még a túlzott tudatosság is, ahogy ebben az esetben látjuk, az apró nyomok is számítanak. Ne összpontosítson ennek a támadásnak a pontos részleteire, amely legközelebb más lesz, hanem gondoljon általánosabban. Kezdje azzal, hogy megértse szervezete szoftverfogyasztását, ellátási láncát és kritikus pontjait. Kérdezd meg, mit kellene finanszíroznod, hogy más legyen. Ezután építsd ki az ellenálló képességet. Mélységes védelem és sokszínűség – nem monokultúra. Az OpenSSH mindig is célpont lesz, mert olyan széles körben elterjedt, és az OpenBSD fejlesztői nagyszerű munkát végeznek, és a célpont emiatt volt előttük. De sokféle ökoszisztémára van szükségünk, több erős megoldással, és szervezetként másodlagos beszállítókra van szükségünk a kritikus szoftverekhez. A harmadik kritikus biztonsági elem ebben a korszakban a helyreállíthatóság. A legrosszabb eset megtörténtének megtervezése, az eredmények és a felépülési folyamat megértése most mindenkinek a házi feladata, és a nulladik nap körüli asztali gyakorlatokkal való felkészülés biztosítása.

... a támadás az OpenSSH-kiszolgálók alcsoportját célozta meg, amelyet úgy javítottak, hogy integrálják a systemd-vel.
https://www.docker.com/blog/openssh-and-xz-liblzma/

... a támadást alaposan kitervelték. Ha a fertőzött tömörítőeszközt hozzáadják az operációs rendszerekhez, akkor számítógépek millióihoz kaptak volna hozzáférést a bűnözők. Az nem világos, hogy mi volt a cél: az, hogy tömegek eszközeinek erőforrásaihoz férjenek hozzá a támadók, vagy az, hogy közvetlenül egyes célpontokat sikerüljön elérni. A kiberbiztonsági szakemberek úgy vélik, mivel a támadást lassan és türelmesen építették fel, utóbbi lehetett a végső cél, ami pedig arra utal, hogy valamilyen állami szereplő vagy érdekelt áll a háttérben.
https://m.hvg.hu/tudomany/20240403_hackertamadas-kiberbiztonsag-linux-biztonsagi-res-hatso-ajto-red-hat-debian-xz-utils-andres-freund

Előzmény

Válasz

A Debian 10 "buster" az archive.debian.org-ra költözött, hogy helyet szabadítson fel a fő tükörhálózaton. Úgy tervezzük, hogy körülbelül két héten belül elkezdjük eltávolítani a nem LTS architektúrákhoz tartozó fájlokat; a meglévő Release fájlok
ezután a fő tükörhálózaton már nem létező fájlokra fognak hivatkozni.

Kivételt képez a biztonsági archívum (ami már nem tartalmaz nem-LTS architektúrákat): azt csak az LTS támogatás megszűnése után fogjuk archiválni.

Az LTS felhasználók számára ez nem igényel semmilyen változtatást.

A Debian története iránt érdeklődőknek a jövőben az archive.debian.org-ra kell majd hivatkozniuk.
https://lists.debian.org/debian-devel-announce/2024/03/msg00003.html
___

Integrating Linux and Windows in a Dual-Boot Setup
https://www.linuxjournal.com/content/integrating-linux-and-windows-dual-boot-setup
___

Easy-to-use make-me-root exploit lands for recent Linux kernels. Get patching
https://www.theregister.com/2024/03/29/linux_kernel_flaw/

Válasz

A Linux 6.9 kernel lemond az EXT2 fájlrendszer-illesztőprogramról

Miközben a Linux 6.9 sok nagyszerű változást és új funkciókat / hardvertámogatást hoz, a deprecation oldalán a klasszikus EXT2 fájlrendszer-illesztőprogramot dobhatja.

Az EXT2 fájlrendszer már harminc éve létezik, az EXT3 több mint két évtizede, az EXT4 pedig másfél évtizede lett stabil a Linux kernelben. Az EXT2 használata csökkenő tendenciát mutat, és valószínűleg csak a régi tárolóeszközök / régebbi Linux-disztribúciók telepítéseihez való hozzáférésre használják.

Mostanában azonban elavult, mivel a fájlrendszer-illesztőprogram nem támogatja a 2038 utáni dátumokat az Y2038 probléma részeként. Mivel a 2038. január 19-én túli időbélyegek nem támogatják megfelelően, a Linux fejlesztői most arra biztatnak minden megmaradt EXT2 felhasználót, hogy frissítsenek az EXT4 illesztőprogram használatára a fájlrendszer eléréséhez. Az EXT4 illesztőprogram képes kezelni az EXT2 fájlrendszereket, miközben megfelelően támogatja az Y2038 problémán túli dátumokat.
https://www.phoronix.com/news/Linux-6.9-Deprecates-EXT2

Hozzáteszem, az EXT2 nem naplózó fájlrendszer...
https://www.szabilinux.hu/forditasok/SAG/node52.html
https://hu.linux-console.net/?p=29385

Válasz

25 évre ítélték Sam Bankman-Friedet. Változott valami?
Csütörtökön megszületett az ítélet az FTX volt vezérigazgatójának ügyében: 57 éves korában szabadulhat.

A vágy, hogy létrejöjjön egy bankoktól független, meghamisíthatatlan, biztonságos, anonim és egy tranzakció minden résztvevője számára azonos garanciákat biztosító csereeszköz, valószínűleg olyan régi, mint maga a pénz. A bitcoin – pontosabban technológiai alapja, a blockchain – ezt ígérte. És lett is volna benne ráció, hiszen mennyivel egyszerűbbé tenné a nemzetközi kereskedelmi tranzakciókat, ha az egész világ egy nemzetállamoktól független elektronikus valutában, pl. bitcoinban számolna el.

Követhetetlen, ellenőrizhetetlen, környezetszennyező

Ám míg nemzeti valutákból kevesebb mint 200 van, közülük pedig csupán néhányat használnak nemzetközi elszámolásban, a CoinMarketCap jelenleg több mint 9300 kriptoeszköz árfolyamát követi. És akkor melyik legyen a nyertes közülük? Talán a környezetpusztításban élenjáró és kezelhetetlenül volatilis bitcoin?

Az is kétségeket ébreszthet a kriptovilággal szemben, hogy amit eddig a blockchain technológiai segítségével megvalósított, az valami olyant akar kiváltani, ami már amúgy is elég jól működik. Vagy: ami elméletben ígéretes, nem biztos, hogy a gyakorlatban is megállja a helyét, mint az kiderült a zenei jogdíjkezelés esetében. Egyelőre nem hemzsegnek a DAO-k, azaz decentralizált autonóm szervezetek, az NFT-ről, ami jó ötlet volt például képzőművészeti alkotások közös birtoklására, kiderült, hogy a legtöbb esetben csak a szélhámosságokat segíti... Merthogy a blockchain sem véd a csalásoktól!

Ahogy a TechCrunch fogalmaz, még nem született meg sem a blockchain, sem a kriptovaluta ún. killer appja. És nincsenek olyan blockchain-alapú startupok sem, melyek nem a spekulációval, hanem azzal váltak sikeressé, hogy gazdasági értéket teremtettek.
https://bitport.hu/25-evre-iteltek-sam-bankman-friedet-valtozott-valami
___

Decentralizált internet P2P, Blockchain alapokon?
http://netpolgar.network.hu/blog/netpolgar_avagy_digitalis_irastudo_klub_hirei/decentralizalt-internet-p2-p-blockchain-alapokon

Válasz

Evan Boehs - Minden, amit az Xz Backdoor-ról tudok
Kaptam néhány e-mailt, amelyek figyelmeztetnek egy Jia Tan nevű személy LinkedIn-jére . Életrajza nagyszabású sebezhetőség-kezeléssel büszkélkedhet...
https://boehs.org/node/everything-i-know-about-the-xz-backdoor
( https://hup.hu/node/184769 )
A backdoor-t kifejezetten a github által futtatott tesztkörnyezet helyezte bele, és csak a github release-ben volt megtalálható.

Előzmény

Válasz

Rosszindulatú kódot fedeztek fel az xz upstream tarballjaiban, az 5.6.0-s verzióval kezdődően. A liblzma építési folyamata egy sor összetett obfuszkáción keresztül egy előre elkészített objektumfájlt von ki a forráskódban létező álcázott tesztfájlból, amelyet aztán a liblzma kód bizonyos funkcióinak módosítására használ. Ennek eredményeképpen egy módosított liblzma könyvtár jön létre, amelyet bármely, a könyvtárral összekapcsolt szoftver használhat, és amely elfogja és módosítja a könyvtárral való adatinterakciót.
https://security-tracker.debian.org/tracker/CVE-2024-3094

A veszélyeztetettség az összes Linux terjesztést érinti, kivéve a korábbi 5.4.x verziójú xz-utils csomagokat. Azonnali és sürgős beavatkozást igényel a felhasználó részéről. Javaslatok:
https://www.redhat.com/en/blog/urgent-security-alert-fedora-41-and-rawhide-users
A Debian terjesztésnél (is) érdemes frissíteni, azonban a stabil kiadást nem érinti a biztonsági rés:

Andres Freund felfedezte, hogy az xz-utils, az XZ-formátumú tömörítő segédprogramok, veszélyeztetettek, és az XZ-formátumú rosszindulatú kódot építik be a liblzma5 könyvtárba.

Jelenleg nem ismert, hogy a Debian stabil verziói érintettek lennének.
A kompromittált csomagokat a Debian tesztelési, instabil és kísérleti disztribúciókban, az 5.5.1.1alpha-0.1 verziószámtól kezdve (feltöltve 2024-02-01-én), egészen az 5.6.1-1-ig bezárólag visszaállítottuk, hogy az upstream 5.4.5 kódot használja, amit mi a következő verziószámmal láttunk el: 5.6.1+really5.4.5-1.

A Debian testing és unstable rendszert futtató felhasználóknak javasoljuk, hogy frissítsék a xz-utils csomagokat.

Package : xz-utils
CVE ID : CVE-2024-3094
https://security-tracker.debian.org/tracker/source-package/xz-utils

Válasz

Az Ubuntu hosszú távú támogatási kiadásai még hosszabbak lettek, a Canonical ma bejelentette, hogy az első kiadástól számítva akár 12 éves biztonsági lefedettségre is jogosultak.

Mint tudjuk, minden Ubuntu LTS-kiadás 5 évre szóló szabványos biztonsági (és egyes alkalmazások) frissítéseket kap. Ez a „fő” Ubuntu repo csomagjaira vonatkozik. Az Ubuntu Pro előfizetés további 5 éves biztonsági lefedettséget ad a „fő” és „univerzum” csomagokra.

Pro LTS támogatás

Most itt van a Legacy Support, egy megvásárolható kiegészítő az Ubuntu Pro ügyfelei számára. Ez további 2 év lefedettséget biztosít.

Így a teljes LTS-támogatási időszak akár 12 évig is elérhető az Ubuntu 14.04 LTS és újabb verziók kiadásától számítva.

A Legacy Support hozzáadásával ez azt jelenti, hogy az Ubuntu 14.04 LTS „Trusty Tahr” minden támogatása 2026 áprilisában ér véget.

Nem pedig idén áprilisban, így az informatikai szerveknek egy kicsit több idejük van a tervezésre és a felkészülésre. frissítés egy újabb verzióra.
http://pingvinvilag.nhely.hu/2024/03/26/tovabbi-lts-frissites/

Válasz