da Martin Brinkmann su novembre 28, 2018 in Sicurezza –
Non ci sono commenti
Microsoft ha pubblicato un advisory di sicurezza di oggi, sotto ADV180029 — Inavvertitamente Comunicati i Certificati Digitali Potrebbe Consentire lo Spoofing-che mette in guardia gli utenti e gli amministratori circa due Sennheiser programmi software che possono aver introdotto alcune vulnerabilità in Windows dispositivi sono stati installati.
Due i prodotti Sennheiser HeadSetup e HeadSetup Pro installato i certificati root su sistemi sono stati installati. Gli utenti, che doveva eseguire il programma di installazione con privilegi elevati a causa di che, non sono stati informati.
Le versioni precedenti dell’applicazione posti la chiave privata e il certificato nella cartella di installazione che di per sé non è una buona pratica. Sennheiser usato la stessa chiave privata per tutte le installazioni di software di Sennheiser HeadSetup 7.3 o più anziani.
Qualcuno che ha installato il software su un sistema di computer o preso possesso della chiave privata, potenzialmente potrebbe abusarne. Un utente malintenzionato potrebbe rilasciare certificati sul sistema è installato il software.
Il certificato auto-firmato, contrassegnate come di un certificato CA e valida fino al 13 gennaio 2027 quando installato. Il programma di installazione “spinge il certificato nella macchina locale archivio di certificati attendibili di sistema di Windows su cui è installato”.
Aggiornamenti dell’applicazione o la rimozione di software HeadSetup su un sistema con la versione 7.3 o versioni precedenti sono stati installati non rimuovere il certificato. Sistemi il software è stato installato in un punto nel tempo rimangono vulnerabili, quindi, anche se il software non è più installato su questi sistemi.
Società di sicurezza tedesca Secorvo Consulenza Sicurezza GMHB pubblicato un report sulle vulnerabilità che fornisce ulteriori dettagli.
Secorvo descrive diversi scenari di attacco nel report:
- Leggere e modificare la sessione completa della vittima con qualsiasi apparentemente sicura HTTPS
web server - Inviare la vittima di software dannoso o fornire un link per il download dannosi
software apparentemente provenienti da un qualsiasi software ben noto editore
Sennheiser cambiato il sistema di installazione nelle versioni più recenti di Sennheiser HeadSetup. Gli attaccanti non possono creare i certificati validi più direttamente come Sennheiser mantenuto segreto di questo tempo.
I ricercatori non potevano trovare qualsiasi informazioni pubblicate sui “criteri in base a cui il SeenComRootCA opera” e di considerare il “rischio che un utente malintenzionato potrebbe ottenere illegalmente un certificato significativamente superiore [..] rispetto ad altri pre-installato Root CAs o i rispettivi Sub CAs”.
Sennheiser non ha pubblicato un aggiornamento al momento della scrittura, che consente di risolvere il problema, ma rimosso il download della configurazione esistente versioni dell’applicazione. Microsoft, tuttavia, rimossi i certificati dal relativo Certificato Lista di Fiducia.
È possibile tenere traccia del problema sotto CVE-2018-17612.
Di mitigazione
Gli amministratori possono rimuovere i certificati nel seguente modo:
- Aprire una finestra del prompt elevata.
- Selezionare Start.
- Digitare cmd.
- Fare clic destro sul risultato e selezionare “esegui come amministratore” dal menu contestuale.
- Eseguire i seguenti comandi dalla riga di comando:
- certutil -delstore radice “127.0.0.1”
- certutil -delstore radice “SennComRootCA”
Nota: se avete bisogno di un web-a base di funzionalità, è possibile rimuovere solo il primo certificato e attendere un aggiornamento del software.
Gli amministratori di Active Directory possono inserire i certificati in Certificati non attendibili store; questo si trova sotto PoliciesImpostazioni di WindowsImpostazioni ProtezioneCriteri Chiave Pubblica
Certificati Non Attendibili.