Onderzoeker publiceert exploit voor 15 jaar oude lek in kernel macOS
Een nieuwe kwetsbaarheid in macOS geeft aanvallers zonder verhoogde rechten de mogelijkheid het volledige systeem over te nemen. Het gaat om een kwetsbaarheid in IOHIDFamily, een kernelextensie voor human interface devices. De kwetsbaarheid is al zeker sinds 2002 aanwezig in macOS.
Informatie over de kwetsbaarheid en een exploit is door een gebruiker genaamd Siguza op oudejaarsavond gepubliceerd op GitHub. Op Hackers News geeft Siguza aan de kwetsbaarheid al in februari 2017 te hebben ontdekt. Vervolgens zou hij een exploit hebben uitgewerkt, die hij kort na de lancering van High Sierra had willen vrijgeven. Deze versie van macOS bleek echter enkele wijzigingen te bevatten die de werking van de exploit verstoorden, waardoor de exploit moest worden herschreven. Zo'n elf maanden na zijn ontdekking geeft Siguza de exploit dus alsnog vrij.
Zero Disclosure Initiative
Ook geeft Siguza aan de exploit te hebben aangemeld bij het Zero Day Initiative (ZDI) van Trend Micro. De hacker stelt echter eerder al de exploit en een uitgebreide tekst over de kwetsbaarheid te hebben geschreven, aangezien hij naar eigen zeggen meer van hacken houdt dan van geld. Het bedrag wat ZDI aanbood voor de kwetsbaarheid zou onvoldoende zijn geweest om hem te overtuigen de kwetsbaarheid niet openbaar te maken, iets wat Siguza op oudejaarsavond dus uiteindelijk heeft gedaan.
De hacker wijst erop dat om de exploit uit te voeren een aanvaller al de mogelijkheid moet hebben code uit te voeren op een systeem. Siguza stelt dat een aanvaller die deze rechten heeft weten te verkrijgen, zijn exploit niet nodig heeft om kernelrechten te verkrijgen. De hacker stelt dan ook dat het vrijgeven van zijn exploit voor reguliere gebruikers niets verandert.
Al langer bekend
Siguza meldt op Hacker News inmiddels contact te hebben gehad over de kwetsbaarheid. Een lid van het security team van Apple geeft volgens Siguza aan dat de kwetsbaarheid al langer bekend was. Ook zou Apple eerder een patch hebben vrijgegeven om het lek te dichten, maar deze patch verhielp de kwetsbaarheid in de praktijk niet.
Dossiers
Meer over
Lees ook
Google introduceert hogere beloningen voor opsporen kwetsbaarheden in websites
Beveiligingsonderzoekers die beveiligingsproblemen ontdekken in websites en apps van Google en hier op verantwoorde wijze melding van maken bij het bedrijf kunnen voortaan rekenen op een hogere beloning. Dit meldt Google in een blogpost. Het bedrijf stelt dat het opsporen van ernstige kwetsbaarheden in zijn websites en apps door de jaren heen moe1
‘Verschillende industriële en commerciële robots bevatten beveiligingsgaten’
De robots van Universal Robots en Rethink Robotics bevatten beveiligingsproblemen. Deze zwakke plekken kunnen door aanvallers worden misbruikt om data van bedrijven in handen krijgen. Aanvallers kunnen echter ook robots manipuleren, wat bijvoorbeeld bij collaboratieve risico's flinke risico's kan opleveren voor werknemers in de directe omgeving va1
Een derde van de IT-beslissers heeft te weinig budget beschikbaar voor IT security
90% van de IT-beslissers ziet IT security als een topprioriteit voor hun bedrijf. Tegelijkertijd is slechts tweederde van mening hier voldoende budget voor beschikbaar te hebben. Dit blijkt uit onderzoek van Bitdefender. Het onderzoek is al in oktober 2016 uitgevoerd. Bitdefender publiceert de resultaten nu in een whitepaper. Bitdefender stelt da1