https://bugtraq.ru/review/archive/2016/01-04-16.html

Google пришлось откатить один из своих первоапрельских приколов; Со дна постучали: внедрение вредоносного кода в проекты Node.js; Как поломать интернет 11 строчками кода; Metaphor ставит под удар четверть андроидов; iOS-троян, распространяющийся через уязвимость в Apple DRM, успешно прорвался в App Store. Трижды.

#376, 01.04.2016

Google пришлось откатить один из своих первоапрельских приколов
dl // 01.04.16 15:10
Тяжела жизнь у тех, кто вынужден натужно шутить по расписанию. 1 апреля в Gmail была добавлена кнопка 'Send + Mic Drop', предназначенная, согласно описанию, для ситуаций, когда вы точно уверены, что только ваше мнение имеет смысл, так что все, что остается - сказать свое последнее слово в дискуссии и больше не получать писем на эту тему. В реальности все, что делала эта кнопка - вставляла в письмо перед отправкой гифку с миньоном.

Как внезапно обнаружили в Google, когда у тебя миллион пользователей, многие из которых пользуются gmail и в профессиональных целях, такие игры могут привести к значительным проблемам. Даже оставив в стороне незначительное число доверчивых, эта кнопка встала на место 'Send + Archive', которой многие пользуются на автомате. Осознав масштабы проблемы, Google извинилась и отключила миньона.
Источник: Tech Crunch

Со дна постучали: внедрение вредоносного кода в проекты Node.js
dl // 27.03.16 18:37
Любопытные вещи выясняются насчет npm. Недавняя весёлая история с leftpad продемонстрировала, какие могут возникнуть проблемы от удаления чего-то из npm. Оказывается, еще сильней рвануть может от добавления.

Исследователь из Google Сэм Сакконе (Sam Saccone) еще в начале года проинформировал npm о неприятной уязвимости, способной привести к распространению вредоносного кода по множеству зависимых друг от друга пакетов. В феврале информация об уязвимости была раскрыта, а на днях добралась до CERT, после чего привлекла всеобщее внимание.

Проблема в первую очередь связана с тем, что при установке пакета из npm могут выполняться вспомогательные скрипты (так называемые lifecycle scripts). Выполняются они обычно с правами текущего пользователя, хотя на некоторых системах им запросто может оказаться root. Проблема известная, но Сакконе пошел чуть дальше.

Во-первых, он использовал тот факт, что при использовании npm'шной версионной системы SemVer и подключении к своему проекту сторонних модулей далеко не все разработчики фиксируют их версии (ведь так удобно автоматически получить новую функциональность/исправление ошибок, когда автор модуля его обновит).

Во-вторых, многие разработчики сами являются авторами модулей, выложенных в npm, причем в npm не предусмотрен автоматический выход - кто залогинился, тот так и остается авторизованным пользователем, пока явно не выйдет. Так что подхваченный скрипт запросто может что-то сделать от имени этого пользователя.

Все это, усугубленное централизованностью npm, позволило создать демонстрационный модуль, который по сути является npm-червем. Как только его установит разработчик другого модуля, дальше он начнет распространяться как снежный ком по всем проектам, выставившим зависимость на модуль первой жертвы, от них дальше, дальше и дальше.

Администрация npm уже заявила, что не располагает ресурсами, достаточными для проверки всех модулей, и возлагает свои надежды на сообщество.
Источник: Softpedia

Как поломать интернет 11 строчками кода
dl // 23.03.16 19:37
Конечно, не весь интернет, а всего лишь кучу проектов на Node.js, но и так неплохо получилось (c).

Несколько часов назад JS-разработчик Азер Кочулу (Azer Koçulu) отозвал из NPM (популярный менеджер пакетов, используемый при разработке проектов на Node.js) более 250 своих модулей. Причиной этого стали разногласия по поводу названия одного из модулей, совпавшего с названием мессенджера Kik.

Представители разработчиков Kik сначала обратились к Кочулу с требованием переименовать модуль, тот отказался, после чего они пошли напрямую к администраторам NPM. Те не стали спорить и тихо сменили владельца модуля.

Это привело Кочулу в ярость, он снес из NPM все свои разработки и перенес их на GitHub. По несчастливому стечению обстоятельств среди них оказалась 11-строчная функция leftpad, занимающаяся дополнением строки пробелами до нужной длины. И функция эта использовалась каким-то безумным количеством JS-проектов (за последний месяц модуль left-pad скачивался почти два с половиной миллиона раз), которые сразу после этого сломались.

Администрации NPM пришлось пойти на беспрецедентный шаг и откатить отзыв злосчастного модуля. Обычно такое невозможно, что удалилось, то удалилось, но простая заливка нового одноименного модуля не исправила бы все зависимые проекты.

Это примерно все, что нужно знать о разработке на JavaScript в 2016 году.

Update: продолжение банкета.
Источник: The Register

Metaphor ставит под удар четверть андроидов
dl // 19.03.16 15:21
Израильская команда NorthBit раскрыла детали атаки на уязвимость в движке Stagefright, названной ими Metaphor. Stagefright - мультимедийная библиотека, ставшая печально известной в прошлом году после обнаружения в ней ряда уязвимостей, способных привести к полному захвату устройства.

Несмотря на то, что уязвимость потенциально затрагивает около миллиарда устройств с Android, реализованный в последних версиях системы механизм рандомизации адресного пространства (address space layout randomization, ASLR) препятствовал созданию эффективных эксплоитов, ограничивая число потенциальных жертв пользователями версий 4.х (примерно 40 миллионов устройств, 4 процента от андроидного парка).

Целью разработки Metaphor как раз и стал обход механизма ASLR, что расширило множество уязвимых систем до версий 5.0 и 5.1. А это еще 23.5 процента или 235 миллионов устройств, среди которых названы Nexus 5, LG G3, HTC One и Samsung Galaxy S5. Все, что требуется от жертвы - попасть на страницу с подготовленным mp4-файлом. В демонстрационном ролике процесс захвата системы и передачи с нее критичной информации занял менее 20 секунд, в течение которых пользователь просматривал страницу с котиками.

Реальное число потенциальных жертв несколько меньше, поскольку Google все-таки периодически выпускает исправления обнаруженных уязвимостей (как раз полторы недели назад вышло крупное исправление 19 уязвимостей, включая и использованное в Metaphor). Проблема лишь в том, что до пользовательских устройств эти исправления добираются слишком медленно.
Источник: ZDNet

iOS-троян, распространяющийся через уязвимость в Apple DRM, успешно прорвался в App Store. Трижды.
dl // 16.03.16 20:43
Жесткие правила премодерирования App Store долгое время заставляли считать его едва ли не неприступной крепостью, особенно на фоне той помойки, в которую давно превратился Google Play Market. Правда, в сентябре уже был неприятный звоночек, но в той атаке были задействованы уже существующие популярные приложения, что, видимо, ослабило бдительность цензоров.

Сейчас же сообщается сразу о трех попавших в App Store троянах семейства AceDeceiver, впервые использующих для своего распространения технику "FairPlay Man-In-The-Middle" (до сих пор она активно использовалась для установки пиратских приложений на iOS-устройства без jailbreak). Что любопытно, все трояны прикидывались сборниками обоев и неоднократно проходили модерацию. Причем сам факт их удаления из App Store уже никак не влияет на возможность проведения атаки - достаточно того, что они уже там побывали.

Идея атаки основана на перехвате запросов FairPlay, которые позволяют покупать приложения из AppStore в десктопном iTunes. Полученный код авторизации затем передается на устройство для подтверждения факта покупки. При проведении атаки полученный код используется дополнительным клиентским приложеним, имитирующим поведение iTunes, которое позволяет обмануть подключенное iOS-устройство и установить на него любое приложение без ведома пользователя.

В данном случае роль вспомогательного приложения играл Aisi Helper, популярный китайский клиент, обеспечивающий управление iOS-устройствами, джейлбрейк, бэкап, а также установку спираченных приложений и игр из левого магазина приложений даже на устройства без джейлбрейка. Установленный AceDeciver мог работать и действительно как сборник обоев, и как клиент того самого стороннего аппстора. В последнем случае он активно выманивал пользовательские AppleID с паролями и аккуратно складывал их на свой сервер - разумеется, искренне обещая пользователям, что никакие пароли никуда не уходят.

Слабым утешением может служить то, что в данном конкретном случае атакующий режим включался только для пользователей из континентального Китая.
Источник: The Register