Sikkerhedsfirma: Eksisterende hul i udbredt Intel-program lader angribere eksekvere hvad som helst
Intels Driver & Support Assistant (Intel DSA) har i mindst tre måneder gjort programmets millioner af brugere verden over sårbare over for et klassisk privilegie-eskaleringsangreb. Det skriver improsec på deres blog.
Man har altså, på ganske nem vis, kunne få processor-gigantens udbredte software til at køre hvad som helst med administratorrettigheder på en hvilken som helst enhed, man har lokal adgang til.
»Programmet er ret dårligt lavet generelt, men den store brist ligger i at man kan eskalere ens rettigheder til administrator fra hvad som helst, hvis bare man har lokal adgang til maskinen - Og at fejlen er så nem at opdage,« fortæller Anders Kusk, der som sikkerhedskonsulent hos Improsec fandt fejlen og rapporterede den til Intel allerede tilbage i maj.
Alligevel har Intel endnu ikke, trods gentagne advarsler, rettet fejlen.
»Det er utroligt, ingen har set eller fikset det før. Alle brugere på enheden kan misbruge det her, og åbner man Intels hjemmeside med programmet installeret, kører Driver & Support Assistant hvad som helst. Alternativt kan man bare bede programmet gøre det med kommandoprompt,« siger Anders Kusk.
Var det din hensigt, at lave fejl her?
Man må da som minimum forvente at V2's medarbejdere og skribenter er rimeligt omhyggelige med deres arbejde, som at stave, huske links, læse korrektur mest af alt på det der oversættes via google translate. Noget der er "smuttet" mægtigt mange gange i de år jeg har været med !
Er journalister på akkord (x ord pr minut), det virker desværre ofte sådan, journalist uddannelsen er vel læren om opklaring og formidling, og begge dele halter gevaldigt når seriøsiteten ser ud til at glippe regelmæssigt !
Når det er skrevet, så er jeg opsat på at forstå hellere end konstant at ville proklamere "FEJL", men sjusk er ikke ok !
"Tips og korrekturforslag" er i mit hovede mere til hvis man får ideer til noget, deraf "forslag", altså ikke som du ser det, hvor der skulle stå "Indrapporter fejl og mangler" !
Nåhh videre ! Intel er presset og har også hvilet på lauerbærrene vildt længe (IT tid), og de har også haft alt for travlt med ikke-kerneopgaver, de har også længe skubbet sorteper rundt, de har for længe stået som u/kronede herskere af CPU, sådan ender det ofte når produkt folket ikke høres, mens penge og reklame folket løber med al opmærksomheden. "Det skal være færdigt for to mdr siden, for vi har lovet ! - Ja men det kan ikke lade sig gøre - Du er fyret" ! Desværre er IT-land blevet for komplekst selv til dem der beskæftiger sig med det på højeste niveau, det er også markant lettere at finde fejl i andres produkter og tæt på umuligt at se egne, men fejlfinding fylder voldsomt meget, måske er bug-bounty ideen blevet en industri, og vil man finde fejl så finder man fejl !
I må have en fin dag !
Hvem er det der påtager sig en offerrolle?
Ah, skru lidt ned for offerrollen. Der står jo: "Tips og korrekturforslag til denne historie sendes til tip@version2.dk" under artiklen - og lur mig om ikke grunden til de gerne vil have det af den vej, er for at undgå debatten kommer til at handle om slåfejl frem for indholdet i artiklen... For....
WTF Intel?! Er desværre ikke specielt overrasket - denne type ting ser vi alt for ofte i store virksomheder hvor det hele nemt falder mellem både 3 og 4 stole. "... Det er utroligt, ingen har set eller fikset det før...", jaa, det ved man vel ret beset ikke. Men jeg synes det siger lidt om problematikken omkring sikkerhed. Det hjælper jo ikke meget med et "Cyberforsvar", en national handleplan, virksomheder som har security policies, holder deres software opdateret etc. etc.., når problemet grundlæggende ligger 2 steder:
I skal da være glade for at vi der betaler for produktet er så venlige give jer et heads up. I kan ikke forvente at folk skriver en mail. Det er trods alt ikke vores job at korrektur læse jeres produkt.
Hej alle sammen. Der var for mange slåfejl i artiklen, som gerne skulle være rettet nu.
Generelt sætter vi meget pris på korrekturrettelser på mail - når det er sagt er det selvfølgelig ikke okay med slåfejl i et færdigt produkt. Slet ikke på overskrifts-niveau.
God dag og tak for opmærkesomhd3n.
Og "ladere" i overskriften.
I demonstrationen hedder folderen "Dlls". Det er nok at lave folderen og forhindre ikke-administratorer at oprette filer i den.
Skal man bare oprette en folder der hedder bll?
Mon ikke det skal være dll - og giv så lige en simpel vejledning til det!
Hans
Dette er meget indforstået:
Hvilken konvertering? Sætning er skrevet som om at vi ved hvilken konvertering der er tale om.
Der er også denne uafsluttede sætning:
Kunne I ikke tage at slå stavekontrollen til, når I skriver? :)
adminstratorrettigheder, dårbarheden, sikekrhedsbrister, førlger