TECHBOARD #2: AnyDesk má verejný exploit, českej BitFakture unikli aj integračné kľúče

Real world hacks

Fakturačná služba BitFaktura oznámila únik údajov svojich zákazníkov. Prevádzkovateľ 28. septembra odhalil neoprávnený prístup a kopírovanie databázy. Podľa zverejneného oznámenia okrem firemných údajov a hashovaných hesiel unikli aj API tokeny, integračné kľúče a identifikátory relácií. Platné tokeny môžu umožniť prístup k účtu cez integrácie bez zadávania hesla, preto samotná zmena hesla nemusí stačiť.

Firma uvádza výmenu zákazníckych API tokenov a obmedzenie existujúcich kľúčov na predtým používané IP adresy. Zákazníkov vyzýva, aby zmenili heslá, zapli dvojfázové overenie a vložili nové kľúče do integrácií.

Svet zraniteľností

Chyba v AnyDesku umožňuje získať najvyššie oprávnenia ešte pred schválením spojenia. Výskumníci 8. októbra zverejnili exploit AnyPwn pre AnyDesk Linux 8.0.2. Chyba pri spracovaní sieťových správ vedie k poškodeniu pamäte a umožňuje spustiť príkazy s právami root, pod ktorými služba bežne pracuje. Zverejnený exploit demonštruje útok cez priame spojenie na TCP porte 7070.

Úplný útok cez sprostredkovacie servery autori nepredviedli. Úspech závisí od rozloženia pamäte a neúspešný pokus môže spôsobiť pád služby. Oprava je dostupná od júna vo verzii 8.0.3. Októbrovou novinkou je funkčný verejný exploit, ktorý zvyšuje naliehavosť kontroly starších inštalácií. Pri penteste preto treba počítať aj s rizikom výpadku.

Na Pwn2Own uspeli útoky proti telefónom aj softvéru pre AI. Pwn2Own je súťaž, na ktorej výskumníci za finančné odmeny predvádzajú zneužitie zraniteľností a nálezy odovzdávajú výrobcom na opravu. Októbrové výsledky z Írska zahŕňajú úspešné vzdialené útoky proti telefónom Google Pixel 10 a Samsung Galaxy S26. V softvéri LiteLLM, používanom pri práci s jazykovými modelmi, výskumník spojil nedostatočnú kontrolu vstupu s vložením kódu a získal možnosť vzdialene vykonávať príkazy. Výsledky pekne ilustrujú, že bezpečnostné testovanie AI musí zahŕňať aj softvér, ktorý zabezpečuje jej prevádzku.

Tipy na nástroje

REA prepája AI agentov s nástrojmi na reverzné inžinierstvo. Nástroj pomáha skúmať binárne súbory, aplikácie v JavaScripte a Electrone či zostavy .NET. Zistenia poskytuje spolu s podkladmi na overenie. REA pomáha pentesterom rýchlejšie sa zorientovať v aplikácii a odhaliť miesta, ktoré vyžadujú hlbšiu analýzu.

Sliver GUI prináša grafický prehľad operácií počas testovania. Rozhranie umožňuje spravovať relácie, agentov pravidelne komunikujúcich so serverom aj získané súbory a prihlasovacie údaje. Zatiaľ nepokrýva všetky príkazy a možnosti pôvodného frameworku.

AI/LLM novinky

Anthropic rozširuje prístup pre pentesterov. Rozšírený Cyber Verification Program má tri úrovne: Defense Access, Red Team Access a Specialized Access. Pre pentesterské firmy je podstatná tá druhá. Overeným organizáciám umožňuje autorizované testovanie s menším počtom blokovaní. Prístup podlieha schváleniu a má obmedzenia. Individuálni výskumníci zatiaľ do Red Team Access nespadajú. Firmy musia zohľadniť aj podmienky uchovávania dát.

V ďalšej novinke Anthropic avizuje protiopatrenia vrátane ukončenia rozhovoru každému, kto sa k jeho modelom bude správať neľudsky a hrubo. Nové pravidlá majú platiť od 12. novembra. Testovanie a výskum modelov majú výnimku.

CITADELO news

Bezpečný backend nezaručuje bezpečnú mobilnú aplikáciu. Pri testovaní 39 mobilných projektov sme našli 254 zraniteľností. Častými problémami boli prihlasovacie údaje a API kľúče uložené priamo v aplikácii či nechránené citlivé dáta. V novom článku o pentestovaní mobilných aplikácií vysvetľujeme, ako môžu tieto slabiny umožniť útočníkovi prístup k účtu používateľa.

Sú vaše systémy pripravené na najnovšie kybernetické hrozby?

Nové zraniteľnosti a verejne dostupné exploity skracujú čas, ktorý majú firmy na reakciu. Penetračné testovanie pomáha odhaliť slabé miesta v aplikáciách a infraštruktúre skôr, než ich zneužijú útočníci.