hack som det er 1998: nettsteder fremdeles sårbare for gjenopplivet robotutnyttelse - Hack

Hack Like It's 1998: Nettsteder som fremdeles er sårbare for gjenopplivet ROBOT-utnyttelse



Another week, yet another security bulletin in tech news, with yet another vulnerability that joins the fray of both Intel's meltdown and Western Digital's MyCloud hacks. A team of researchers recently wrote a paper they titled 'Return Of Bleichenbacher's Oracle Threat (ROBOT)'. This paper went on to show how a well-known, circa 1998 exploit is still a viable way to take advantage of websites of even big name companies and services, such as Facebook and PayPal (in total, around 2.8% of the top 1 million sites also tested positive). The ROBOT exploit, a critical, 19-year-old vulnerability that allows attackers to decrypt encrypted data and sign communications using compromised sites' secret encryption key, is still valid. Only, it's 19 years later.

Hjertet i problemstillingen stammer fra en sårbarhet som ble oppdaget i 1998 av forskeren Daniel Bleichenbacher, som fant sårbarheten i TLS-forgjengeren kjent som sikre sockets-lag. Angrepet kalles en Oracle-trussel fordi angripere kan skrive spesialiserte spørsmål som nettsteder og berørte systemer svarer med 'Ja' eller 'Nei'; som sådan er det mulig, gitt nok tid, for angripere å bygge opp mengden avslørt sensitiv informasjon og få et klart bilde av de beskyttede dataene. Til feilens oppdagelse av Bleichenbacher, svarte tilsynelatende SSL-arkitekter på en B-filmtype, som likevel kan ha vært nødvendig for å holde alle systemene grønne: ved å designe løsninger oven på midlertidige løsninger, i stedet for å fjerne eller omskrive den defekte RSA-algoritmen.

'Vi var i stand til å identifisere åtte leverandører og åpne-
Kildeprosjekter og et betydelig antall verter som var sårbare for mindre variasjoner av Bleichenbachers adaptive valgte chiffertekstangrep fra 1998, 'skrev forskerne i forskningsartikelen. 'Det mest kjente faktum ved dette er hvor lite anstrengelser det tok oss å gjøre. Vi kan derfor konkludere med at det ikke er tilstrekkelig testing av moderne TLS-implementeringer for gamle sårbarheter. ' Berørte produkter inkluderer noen laget av F5, ​​Citrix og Cisco.

'The surprising fact is that our research was very straightforward. We used minor variations of the original attack and were successful. This issue was hiding in plain sight,' the researchers wrote in a blog post. 'This means neither the vendors of the affected products nor security researchers have investigated this before, although it's a very classic and well-known attack.' Sources: Return Of Bleichenbacher’s Oracle Threat (ROBOT) Paper, Robot Attack, via ArsTechnica, via TPU Forums @ user StefanM