TECHBOARD #2: AnyDesk, únik dát a AI novinky

Real world hacks

Fakturační služba BitFaktura oznámila únik údajů svých zákazníků. Provozovatel 28. září odhalil neoprávněný přístup a kopírování databáze. Podle zveřejněného oznámení kromě firemních údajů a hashovaných hesel unikly také API tokeny, integrační klíče a identifikátory relací. Platné tokeny mohou umožnit přístup k účtu přes integrace bez zadání hesla, proto samotná změna hesla nemusí stačit.

Firma uvádí výměnu zákaznických API tokenů a omezení stávajících klíčů na dříve používané IP adresy. Zákazníky vyzývá, aby změnili hesla, zapnuli dvoufázové ověření a vložili nové klíče do integrací.

Svět zranitelností

Chyba v AnyDesku umožňuje získat nejvyšší oprávnění ještě před schválením spojení. Výzkumníci 8. října zveřejnili exploit AnyPwn pro AnyDesk Linux 8.0.2. Chyba při zpracování síťových zpráv vede k poškození paměti a umožňuje spustit příkazy s právy root, pod kterými služba běžně pracuje. Zveřejněný exploit demonstruje útok přes přímé spojení na TCP portu 7070.

Úplný útok přes zprostředkující servery autoři nepředvedli. Úspěch závisí na rozložení paměti a neúspěšný pokus může způsobit pád služby. Oprava je dostupná od června ve verzi 8.0.3. Říjnovou novinkou je funkční veřejný exploit, který zvyšuje naléhavost kontroly starších instalací. Při pentestu je proto třeba počítat i s rizikem výpadku.

Na Pwn2Own uspěly útoky proti telefonům i softwaru pro AI. Pwn2Own je soutěž, na které výzkumníci za finanční odměny předvádějí zneužití zranitelností a nálezy předávají výrobcům k opravě. Říjnové výsledky z Irska zahrnují úspěšné vzdálené útoky proti telefonům Google Pixel 10 a Samsung Galaxy S26. V softwaru LiteLLM, používaném při práci s jazykovými modely, výzkumník spojil nedostatečnou kontrolu vstupu s vložením kódu a získal možnost vzdáleně vykonávat příkazy. Výsledky pěkně ilustrují, že bezpečnostní testování AI musí zahrnovat i software, který zajišťuje její provoz.

Tipy na nástroje

REA propojuje AI agenty s nástroji pro reverzní inženýrství. Nástroj pomáhá zkoumat binární soubory, aplikace v JavaScriptu a Electronu či sestavení .NET. Zjištění poskytuje spolu s podklady k ověření. REA pomáhá pentesterům rychleji se zorientovat v aplikaci a odhalit místa, která vyžadují hlubší analýzu.

Sliver GUI přináší grafický přehled operací během testování. Rozhraní umožňuje spravovat relace, agenty pravidelně komunikující se serverem i získané soubory a přihlašovací údaje. Zatím nepokrývá všechny příkazy a možnosti původního frameworku.

AI/LLM novinky

Anthropic rozšiřuje přístup pro pentestery. Rozšířený Cyber Verification Program má tři úrovně: Defense Access, Red Team Access a Specialized Access. Pro pentesterské firmy je podstatná ta druhá. Ověřeným organizacím umožňuje autorizované testování s menším počtem blokování. Přístup podléhá schválení a má omezení. Individuální výzkumníci zatím do Red Team Access nespadají. Firmy musí zohlednit i podmínky uchovávání dat.

V další novince Anthropic avizuje protiopatření včetně ukončení rozhovoru vůči každému, kdo se k jeho modelům bude chovat nelidsky a hrubě. Nová pravidla mají platit od 12. listopadu. Testování a výzkum modelů mají výjimku.

CITADELO news

Bezpečný backend nezaručuje bezpečnou mobilní aplikaci. Při testování 39 mobilních projektů jsme našli 254 zranitelností. Častými problémy byly přihlašovací údaje a API klíče uložené přímo v aplikaci či nechráněná citlivá data. V novém článku o penetračním testování mobilních aplikací vysvětlujeme, jak mohou tyto slabiny umožnit útočníkovi přístup k účtu uživatele.

Jsou vaše systémy připravené na nejnovější kybernetické hrozby?

Nové zranitelnosti a veřejně dostupné exploity zkracují čas, který mají firmy na reakci. Penetrační testování pomáhá odhalit slabá místa v aplikacích a infrastruktuře dříve, než je zneužijí útočníci.