Google Project Zero - Raziskovalci iz Googlovega Project Zero ugotavljajo, da je Linux programsko okolje, kjer se najhitreje zakrpajo odkrite ranljivosti. Če to privzamemo kot merilo za varnost operacijskega sistema, Linux odločno prehiti Windows in macOS. Najslabše se je odrezal Oracle, ki je v povprečju potreboval 109 dni, da je zakrpal odkrite in prijavljene hrošče. Linuxu, ki resnično odstopa, sledita Mozilla in Google.

V okviru Projecta Zero, ki sodi pod Googlovo okrilje, strokovnjaki iščejo ranljivosti v pogosti programski opremi in nanje proizvajalca odgovorno opozorijo. To pomeni, da mu dajo na voljo 90 dni, da luknje zakrpa. Če se ne zgodi nič, začne teči dodatni 14-dnevni rok, nato pa odkrito ranljivost javno priobčijo na spletu. V takem primeru lahko ranljivost začno izkoriščati tudi zlonamerni igralci, kar predstavlja velik in skrajni pritisk na proizvajalca, da luknjo vendarle odstrani.

Gogole Project Zero je v letih 2019-2021 odkril 376 ranljivosti. Od teh jih je bilo 93,4 odstotka...

Slo-Tech - Google je pred tednom dni sporočil, da je v Windows odkril ranljivost (CVE-2020-17087), ki jo hekerji že aktivno izkoriščajo, zato je Microsoftu dal na razpolago le sedem dni za zakrpanje. Microsoft tako kratkega roka ni izpolnil, zato je Google v v petek zvečer razkril podrobnosti ranljivosti. Ta je nezakrpana (0-day), aktivno napadana in sedaj povsem razkrita. Microsoft bo popravek izdal ob naslednji priložnosti, to je drugi torek v mesecu (10. novembra) na tako imenovani Patch Tuesday.

Googlov Project Zero je namenjen iskanju ranljivosti v najrazličnejši programski opremi več proizvajalcev. O odkritih ranljivostih obvestijo proizvajalca, ki ima potem 90 dni časa, da izda popravek. Google po izdaji popravka ali najpozneje v 90 dneh javnosti razkrije podrobnosti ranljivosti, s čimer se poskrbi, da imajo proizvajalci motivacijo v doglednem času izdelati popravek. Roki pa se spremenijo, ko je ranljivost že aktivno zlorabljena. V tem primeru Google počaka le sedem dni, kar v...

Slo-Tech - Maddie Stone iz Googlovega Project Zero je v Androidu odkrila resno ranljivost, ki hekerjem omogoča prevzem nadzora nad nekaterimi telefoni z Androidom. Ranljivost se tudi v praksi že izrablja, pri čemer Project Zero s prstom kaže na NSO Group. Gre za izraelsko podjetje, ki je specializirano za iskanje, zbiranje in preprodajo ranljivosti. NSO se brani, da omenjena ranljivost ni v nikakršni povezavi z njimi. Google je obstoj ranljivosti potrdil in obljubil, da oktobra izide popravek.

Trenutno kaže, da je prizadetih več telefonov številnih proizvajalcev. Med drugim je moč zlorabiti Pixel 1 in 2, Huawei P20, Redmi 5A in Redmi Note 5, Xiaomi A1, Oppo A3, Moto Z3 in Samsung S7, S8 in S9. Googlov popravek bo neposredno uporaben za Pixel, medtem ko bodo morali ostali proizvajalci poskrbeti za njegovo integracijo v sistemsko posodobitev. Ranljivost je del Linuxovega jedra, kjer so jo odpravili v verziji 4.14 (v začetku leta 2018). Popravljena je tudi v novejših jedrih Androida, ni pa...

Slo-Tech - Google je ponovno ujezil Microsoft, saj je spet razkril podrobnosti o varnostni luknji, preden je Microsoft pripravil in izdal popravek zanjo. To se načeloma ne počne, a če proizvajalec luknjičaste programske opreme ne reagira na opozorila o luknji, je to sprejemljiva poteza. Google in Microsoft sta se že pred dvema letoma pregovarjala, ali je 90 dni dovolj dolgo obdobje, da bi proizvajalec moral pokrpati luknje. Google vztraja pri brezpogojnem spoštovanju tega lastnega roka, zato njegovi raziskovalci po 90 dneh od obvestila proizvajalcu luknjo razgrnejo javnosti, medtem ko Microsoft poudarja, da stvari niso črno-bele. Pred tremi meseci se je zgodilo isto in spet je Microsoft tarnal, da se Google obnaša grdo.

To pot se je zgodilo podobno. Google je razkril...

Google - Google in Microsoft sta se spet zapletla v besedno vojno glede razkrivanja nezakrpanih ranljivosti. V Mountain Viewu že leta zagovarjajo pristop, da je treba javljene ranljivosti zakrpati takoj ali najpozneje v sedmih dneh, kadar se aktivno izrabljajo, medtem ko se Microsoftu ne mudi tako zelo.

Google je pred poldrugim tednom (21. oktobra) Microsoft in Adobe obvestil, da v Flashu in jedru Windows obstajata kritični ranljivosti. Adobe je hitro reagiral in 26. oktobra luknjo zakrpal v posodobitvi za Flash, Microsoft pa ne. Ker je ranljivost resna, saj omogoča eskalacijo privilegijev pri uporabi Chroma in s tem pobeg iz varnega peskovnika, je Google včeraj javno objavil podrobnosti o ranljivosti. S tem želi pritisniti na Microsoft, da ta čim hitreje izdela...

The Register - V najnovejši verziji Applovega operacijskega sistema Mac OS X so odkrili že drugo resno ranljivost v dveh mesecih in že drugič se odkritelji niso držali kodeksa dobrih hekerjev. Osemnajstletni Italijan Luca Todesco je na Githubu objavil podrobnosti napada in delujočo izvorno kodo (proof of concept), ne da bi obvestil Apple in mu dal razumen rok, da ranljivost zakrpa. To je povzročilo precej hude krvi in številne resne kritike Todescovih dejanj.

Ranljive so verzije Mac OS X od 10.9.5 do 10.10.5, medtem ko najnovejša beta 10.11 s kodnim imenom El Capitan ni več ranljiva. Todesco je dejal, da je Apple obvestil, a je istočasno podrobnosti objavil tudi javno, ker se mu je to zdelo prav. Kodeks odgovornih...

Google - Google je v novi različici politike razkrivanja ranljivosti nekoliko omilil časovne roke, ki so v začetku tega leta povzročili veliko hude krvi. V okviru Projecta Zero je namreč Google našel ranljivosti v Microsoftovi in Applovi programski opremi, o čemer je proizvajalca obvestil. Ko v 90 dneh popravkov ni bilo, je Google v skladu s svojo politiko podrobnosti ranljivosti javno razkril, kar je hudo razburilo Microsoft in Apple. Microsoft je na primer imel popravek že bolj ali manj končan in je čakal še zadnje faze testiranja pred izdajo, kar so Googlu sporočilu, a so bili v Mountain Viewu neomajni; 90 dni je dovolj za vsakogar.

Sedaj so pri Googlu vendarle nekoliko omilili svojo politiko. Še vedno vztrajajo pri 90-dnevnem roku za razkrivanje ranljivosti, kar...

Ars Technica - Google nadaljuje svojo politiko brezkompromisnega objavljanja podrobnosti o varnostnih pomanjkljivostih in ranljivostih v tuji programski opremi, ki je minuli teden zanetila spor med Googlom in Microsoftom. Obelodanili so detajle še dveh ranljivosti, ki se pojavljata v Windows 7 (obe) in Windows 8.1 (samo ena). Microsoft ni navdušen.

Ključno vprašanje je definicija odgovornega razkritja. Google vztraja pri 90-dnevnem roku od obvestila proizvajalcu ranljive programske do javnega razkritja. Obstoj roka je razumljiv, saj s tem neodzivnega proizvajalca prisilijo v zakrpanje luknje. A Microsoft še ni neodziven, le nekoliko počasen je.

Google se je odločil, da bo lasten 90-dnevni rok brezpogojno spoštoval, ne glede na okoliščine in zagotovila proizvajalcev....

Slo-Tech - Google in Microsoft nadaljujeta obmetavanje z razkrivanjem ranljivosti in obtoževanje, kdo slabše skrbi za svoje uporabnike. Začel je Google, ki je konec decembra javno razkril podrobnosti o ranljivosti v Windows 8.1, še preden je Microsoft uspel zakrpati luknjo. Slednji mu ni ostal dolžan in je izpostavil, da ima Android 4.3 ranljivost, ki pa je Google sploh ne namerava odpraviti.

V zelo starih časi so se ranljivosti takoj po odkritju priobčile javnosti, proizvajalci programske opreme pa so hitro spisali popravke. Kasneje se je ta način umaknil tako imenovanemu odgovornemu razkritju (responsible disclosure) oziroma koordiniranemu razkritju ranljivosti (coordinated vulnerability...

threatpost - Večno vprašanje, ki si ga dobri hekerji pri odkritju varnostnih ranljivosti zastavljajo, je, kdaj razkriti luknjo javnosti. S tem namreč dobijo tudi nepridipravi, ki za ranljivost morda še niso izvedeli, vse informacije za njeno izrabljanje in začne se dirka med proizvajalcem programa (pisanje popravka) in uporabniki (namestitev popravka) na eni strani ter napadalci na drugi strani. Odgovorno razkritje je doktrina, da naj najditelj luknje najprej obvesti proizvajalca, javnost pa šele po izdaji popravka. A včasih se zgodi, da popravka v doglednem času ni in ni. Druga možnost je takošnje razkritje celemu svetu, kar ima druge prednosti in slabosti.

Google je že pred leti začel zagovarjati vmesni pristop, ki da razvijalcem programa 60 dni časa za...

ZDNet - Znano je, da Microsoft redno objavlja poročila in podatke o ranljivosti svoje programske opreme, manj ljudi pa ve, da to počno tudi za programe tretjih proizvajalcev. V programu MSVR (Microsoft Vulnerability Research), ki teče že od leta 2008, redno prijavljajo napake tretjim proizvajalcem, letos pa so spremenili tudi politiko MSRC-ja (Microsoft Security Response Center), tako da zanje občasno izdajajo tudi varnostna priporočila.

Pri tem so zelo produktivni. V zadnjem letu, torej od julija 2010, so odkrili 109 ranljivosti v programski opremi tretjih proizvajalcev in jim to diskretno javili. Samo avgusta letos so odkrili kritične ranljivosti v WordPressu in Safariju, pretekli mesec pa v Google Picasi in Facebooku. Skupno so v zadnjem...

Slashdot - Mnogokrat pišemo o tako imenovanih zero day ranljivostih programov, pri čemer se vedno obregamo na urnost proizvajalcev pri pripravi popravkov, redko pa se govori o ekonomski vrednosti teh ranljivosti. Kot so pokazali zadnji napadi, so zero day ranljivosti dragocene tako za napadalce kot tudi obrambo.

Kot pišejo v zanimivem članku na Net Security, je treba za odkritje kakšne kvalitetne luknje žrtvovati približno tri mesece trdega dela hekerjev. Ti zato na podzemnih trgih ranljivosti, ki so se razcveteli v zadnjem času, zanje zahtevajo več sto tisoč dolarjev. Na njih so poleg zlikovcev dejavne tudi vladne agencije, ki lahko cene navijejo tudi milijona dolarjev. Obstaja pa še beli trg, kjer sodelujejo podjetja, kot so VeriSign, TippingPoint in Google, ki kupujejo zero day ranljivosti z namenom pokrpati svoje izdelke,...