From bc4a068e6b6ef891859a8957fd9c510c59e85847 Mon Sep 17 00:00:00 2001 From: himazawa Date: Sun, 31 Mar 2024 20:40:00 +0000 Subject: [PATCH] deploy: 49ed5a4f3a3cbaf20f807e1faf251e5c0db5aa0f --- it/posts/long-time-no-see/index.html | 2 +- it/posts/security-theatre/index.html | 2 +- it/posts/xz-backdoor/index.html | 2 +- posts/long-time-no-see/index.html | 2 +- posts/mycroft-ai-rce/index.html | 2 +- posts/security-theatre/index.html | 2 +- posts/xz-backdoor/index.html | 2 +- 7 files changed, 7 insertions(+), 7 deletions(-) diff --git a/it/posts/long-time-no-see/index.html b/it/posts/long-time-no-see/index.html index 9c0d18a..64bc0d0 100644 --- a/it/posts/long-time-no-see/index.html +++ b/it/posts/long-time-no-see/index.html @@ -13,7 +13,7 @@ Italiano -

Tanto tempo che non ci si vede

     372 parole  2 minuti 
/posts/long-time-no-see/header.jpg
Contenuti +

Tanto tempo che non ci si vede

     372 parole  2 minuti 
/posts/long-time-no-see/header.jpg

Tanto tempo che non ci si vede, eh? Sono successe tante cose dall’ultimo post nel 2018 sul vecchio blog.

Sfortunatamente non ho scritto molto, sia per mancanza di tempo sia per l’impossibilita’ di condivider cio’ che ho imparato. Questo post contiene un’introduzione a questo nuovo sito e come funzionera’ d’ora in poi.

Innanzitutto, sono ancora nel campo della security, ma mi sono spostato alla parte di Product Security (di piu’ su questo argomento piu’ avanti ma TL;DR: noia, carriera e opportunita’ di cresita, frustrazione e paura di andare in burnout).

Fortunatamente nel mio attuale lavoro mi vengono concessi tempo e risorse per fare anche vulnerability research quindi occasionalmente postero’ alcune vulnerabilita’ interessanti che ho trovato.

Vorrei inoltre parlare degli aspetti dell’Application Security a applicata al SDLC, vedremo se funzionera'.

Il setup e’ molto semplice, uso hugo per buildare pagine statiche che vengono pubblicate su una GithubPage.

C’e’ una Github Action che builda e deploya le pagine ogni volta che una Pull Request viene approvata sul branch main.

/posts/long-time-no-see/blog_CI_CD.png
Un grafico che rappresenta il flusso logico dietro il sistema di deployment del blog

Il tema che uso e’ LoveIt. E’ molto carino e ricco di funzionalita’ ma ha alcuni bug che devono essere fixati; per esempio, se stai leggendo questa pagina in Italiano ti sarai accorto che l’header ha le traduzioni abbastanza fatte a caso.

La localization del tema e’ una feature molto carina ma dover riscrivere ogni volta lo stesso post per ogni linguaggio e’ abbastanza tedioso quindi penso che aggiungero’ il supporto a DeepL.

Infine, il blog ha un nuovo logo:

/images/logo.png
appsec.space logo

E’ stato generato da Midjourney e non significa assolutamente nulla!

Ho intenzione di cambiare molte cose: prima di tutto vorrei migrare tutti i post del vecchio blog perche’ vorreri mantenere un archivio. Successivamente potro’ cominciare a scrivere nuovi post.

Note
Se il vecchio blog risponde con un redirect a quello nuovo significa che la migrazione e’ stata completata.

Nonostante il nome sia appsec.space mi piacerebbe parlare di diversi argomenti, spaziando dall’Application security, al Malware Development (a scopo formativo, ovviamente), al mio setup per la produttivita’ a lamentele varie.

Il prossimo post sara’ sul Security Theater quindi, come diceva qualcuno, ci vediamo li.

Aggiornato il 2024-03-30  ca57033
Leggi Markdown
 Updates
Indietro | Home

Security Theatre? Direi quasi Security Circus

+

Security Theatre? Direi quasi Security Circus

 included in  incluso in General-Knowledge
     444 parole  3 minuti 
/posts/security-theatre/cargocult.jpg

Lavorando nel campo, ho visto molte organizzazioni investire una quantita’ significativa di tempo e risorse (che si traduce in persone e soldi), in misure che garantiscono poca se non zero, reale sicurezza.

Ho assistito a organizzazioni che si esibiscono in un eterno clown show nel nome della security.

Questo fenomeno e’ comunemente chiamato “security theatre”.

Il security theatre, nella sua forma piu’ semplice, e’ una grande illusione. E’ l’insieme di misure di sicurezza messe in piedi non perche’ prevengano realmente i data breach, ma solo perche’ sulla carta sembrano buoni, tranquillizzano gli stakeholders e fanno sentire tutti come se stessero davvero facendo qualcosa di utile per proteggersi.

Lo senti? Lo senti l’odore? compliance figliolo, non c’e’ nient’altro al mondo che odora cosi’. .

Come esempio, prendiamo il requisito di avere password complesse che devono essere regolarmente cambiate. Questo e’ il classico esempio di security theatre.

Per quanto possa sembrare una buona fa molto poco per prevenire un data breach. E non dimentichiamoci il downside principale: la cosiddetta “password fatigue”, che porta i dipendenti a usare password che sono piu’ facili da ricordare o sempli variazioni di quelle usate in precedenza. Del resto c’e’ un motivo (molti in realta’) se Microsoft, Google ed Apple vogliono abbandonare del tutto le password.

sistema la tua password policy

Un altro esempio di security theatre e’ il fatto di implementare sistemi che dovrebbero dare un livello aggiuntivo di sicurezza come firewall, IDS e IP (in realta’ potremmo aprire un dibattito sul fatto che aumentino o diminuiscano la superficie d’attacco), per poi non aggiornali.

Quindi, cosa possono fare le aziende per evitare questo circo infinito? Prima di tutto dovrebbero capire quali sono i veri rischi che corrono e implementare contromisure che li indirizzino in maniera adeguata. Questo deve includere in primo luogo la formazione dei dipendenti su come riconoscere e rispondere ad un attacco.

Dopotutto, la cybersecurity non e’ altro che la Corsa all’Oro 2.0, ci sono moltissimi soldi sul tavolo e tutti ne vogliono una fetta, questo causa pero’ difficolta’ nel trovare genete realmente preparata e se per caso ci si volesse affidare a dei consulenti esterni sarebbe ancora peggio, in quanto si dipenderebbe completamente da un’entita’ esterna per la propria Security Posture.

In conclusione, il security theatre e’ un problema comune nel mondo dell’IT Security. Per evitare di far parte di questo pessimo show le organizzazioni dovrebbero concentrarsi nell’implementare controlli funzionia, nel testarne regolarmente l’efficacia e nell’avere un piano di risposta comprensivo. A, per favore, smettiamola con le policy inutili.

Tip
Qui puoi trovare un articolo di Phil Venables, CISO di Google, sulla Cerimonial Security e i Cargo Cults.
Aggiornato il 2024-03-30  diff --git a/it/posts/xz-backdoor/index.html b/it/posts/xz-backdoor/index.html index 6c1a497..aec9376 100644 --- a/it/posts/xz-backdoor/index.html +++ b/it/posts/xz-backdoor/index.html @@ -19,7 +19,7 @@ Italiano -

La backdoor di xz dalla prospettiva di un Security Engineer

L'ennesimo attacco alla supply chain

     1572 parole  8 minuti 
/posts/xz-backdoor/xz.png
Contenuti +

La backdoor di xz dalla prospettiva di un Security Engineer

L'ennesimo attacco alla supply chain

     1572 parole  8 minuti 
/posts/xz-backdoor/xz.png

Come probablilmente già sai, xz è stato compromesso. Per i non addetti ai lavori xz è una libreria per la compressione dei dati molto utilizzata sopratutto su Linux.

Il pacchetto è stato usato come entrypoint per l’injection di codice malevolo in sshd, modificandone il flusso di autenticazione. Sembrerebbe che ci sia una code execution direttamente tramite i parametri della chiave.

Questa vulnerabilità, introdotta deliberatamente attraverso una backdoor, è conosciuta come CVE-2024-3094.

Note
La situazione si sta ancora evolvendo, maggiori dettagli emergeranno nel prossimo futuro e aggiornerò il post di conseguenza.

Si tratta probabilmente di un’operazione a tutti gli effetti vista la metodologia e la durata (quasi due anni), ma non sono la persona giusta per parlare di attributions, OpSec e Threat Actors. Nella sezione “Risorse” in fondo alla pagina ci sono link che riportano ad analisi più dettagliate.

La situazione non sembra rosea quindi sto provando a scrivere questo blogpost in modo tale da fare un pò di chiarezza.

Non voglio trattare aspetti troppo tecnici della compromissione ma voglio guardare alla issue dalla prospettiva di un Security Engineer, riassumendo cosa è andato storto e quali sono le possibili remediation a questo problema.

tip
Controlla la sezione Risorse per i link ad una timeline più dettagliata

  • 2023:

    • Un nuovo maintainer appare sul progetto xz

  • 29 Mar 2024:

    • Andres Freund invia un’email alla mailing list oss-security che riguarda una backdoor in xz/liblzma. diff --git a/posts/long-time-no-see/index.html b/posts/long-time-no-see/index.html index 2d539a4..344b381 100644 --- a/posts/long-time-no-see/index.html +++ b/posts/long-time-no-see/index.html @@ -13,7 +13,7 @@ English -

Long Time No See

+

Long Time No See

 included in  category Blog-News
     390 words  2 minutes 
/posts/long-time-no-see/header.jpg

Long time no see, uh? Lot of stuff happen since the last post in 2018 on the old blog.

Unfortunately I wasn’t able to write much, both for the lack of time and the impossibility to share what I learned. This post contains an introduction to this new website and how it will work from now on.

First of all, I’m still in Security but moved to Product Security (more on this on a later post but TL;DR: boredom, careeer and growth opportunities, frustration and fear of burnout). diff --git a/posts/mycroft-ai-rce/index.html b/posts/mycroft-ai-rce/index.html index 13551f7..41f5307 100644 --- a/posts/mycroft-ai-rce/index.html +++ b/posts/mycroft-ai-rce/index.html @@ -13,7 +13,7 @@ English -

Getting "Zero Click" Remote Code Execution in Mycroft AI vocal assistant

Hey Mycroft, we've got a Problem

+

Getting "Zero Click" Remote Code Execution in Mycroft AI vocal assistant

Hey Mycroft, we've got a Problem

 included in  category Vulnerability-Research
     818 words  4 minutes 
/posts/mycroft-ai-rce/mycroft.png

During my journey contributing to open source I was working with my friend Matteo De Carlo on an AUR Package of a really interesting project called Mycroft AI. It’s an AI-powered vocal assistant started with a crowdfunding campaign in 2015 and a more recent one that allowed Mycroft to produce their Mark-I and Mark-II devices. It’s also running on Linux Desktop/Server, Raspberry PI and will be available soon™ on Jaguar F-Type and Land Rover

While looking at the source code I found an interesting point: here

 1
  2
diff --git a/posts/security-theatre/index.html b/posts/security-theatre/index.html
index 40f7dea..17973ab 100644
--- a/posts/security-theatre/index.html
+++ b/posts/security-theatre/index.html
@@ -13,7 +13,7 @@
 
 
 English
-
Security Theatre? More like Security Circus

+
Security Theatre? More like Security Circus

  included in  category General-Knowledge
     474 words  3 minutes 
/posts/security-theatre/cargocult.jpg
I have seen many companies invest significant time and resources into security measures that have little to no actual effect on security. This is commonly referred to as “security theater”.
Security theater refers to the practice of implementing security measures for the sake of appearances, without any significant impact on actual security. These measures may give the illusion of protection, but in reality, they provide little to no real security benefits.
Organizations often fall into the trap of focusing solely on compliance requirements without considering their actual security needs. Compliance-driven security measures may give the illusion of being protected, but they often fail to address the specific security risks faced by an organization.
Useless compliance can also result in organizations wasting valuable resources on implementing measures that do not have a significant impact on their security posture. This can lead to a situation where an organization is in compliance with regulations, but the security budget is depleted, while their assets are still vulnerable to attacks.
Oh, how I love the smell of compliance in the morning.
An example of Security Theatre is the use of complex passwords that are changed regularly. Although it may seem like a good idea, it can lead to password fatigue and employees using easier-to-remember passwords, which actually undermines security. This is among the reasons why companies like Microsoft, Apple, and Google are moving away from passwords.
fix your password policy
Another example of security theatre is implementing security controls that are not properly configured or maintained. For instance, firewalls, IDS and IPS are a common security measure that are often poorly configured or not kept up-to-date with the latest security patches
Cybersecurity has become the new gold rush, with numerous individuals and organizations seeking to take advantage of the potential financial gains. However, finding skilled personnel to address these security concerns can be challenging, and relying on consultants can lead to a situation where the organization becomes overly dependent on their expertise.
Organizations can protect themselves from the constant security threats by taking a proactive approach. The first step is to gain a thorough understanding of the specific risks they are facing and then implement the necessary measures to mitigate these risks. This includes educating their employees to be aware of potential attacks and how to respond in such situations.
In conclusion, to avoid being caught in the trap of “security theater”, organizations must concentrate on establishing practical security measures and regularly evaluate their effectiveness. Having a well-thought-out response plan in place is also critical in ensuring the protection of the organization’s assets.
Additionally, organizations should cease creating redundant policies that serve no purpose in enhancing the organization’s overall security posture.
Tip
Here you can find an interesting article from Phil Venables, Google CISO, about Cerimonial Security and Cargo Cults
Updated on 2024-03-30 
 ca57033
Read markdown
 Security Theatre, Infosec, Rants
Back | Home

diff --git a/posts/xz-backdoor/index.html b/posts/xz-backdoor/index.html
index 0c3466b..c224438 100644
--- a/posts/xz-backdoor/index.html
+++ b/posts/xz-backdoor/index.html
@@ -15,7 +15,7 @@
 
 
 English
-
The xz backdoor from a Security Engineer persepective
Yet another supply chain attack
     1422 words  7 minutes 
/posts/xz-backdoor/xz.png
Contents
+
The xz backdoor from a Security Engineer persepective
Yet another supply chain attack
     1422 words  7 minutes 
/posts/xz-backdoor/xz.png
As you probably already heard, the xz package got compromised.
The package was used as entrypoint to inject malicious code in sshd, altering the authentication flow. This forged vulnerability is now known as CVE-2024-3094.
Looks like the injected code takes the payload from a specific key and execute it.
Info
The situation is still ongoing, more details will emerge in the near future and I will update this post accordingly.
This is probably a full fledged operation due to its methodology and duration but I’m not the right guy to talk about OpSec and Threat Actors attributions.
 Check the Resources section for additional links.
The situation doesn’t look too good so I’m trying to write this blogpost as a summary.
I don’t want to address the technical aspect of the compromission but I want to look at the issue from the perspective of a Security Engineer, summarizing what went wrong and trying to find a remediation.
Tip
Check the Resources section for a link to an article with a detailed timeline
  • 2023:
    • A new maintainer shows up in the xz project
  • 29 Mar 2024:
    • Andres Freund sent an email to the oss-security mailing list regarding a backdoor in xz/liblzma.
 He was optimizing his infrastructure and found that ssh was suspiciously slow. Some debug later he found the issue was likely caused by the backdoor. The initial analysis was performed with the help of Florian Weimer.
    • Impacted distros are starting to ship patches to downgrade the xz version (more on that later)
  • 30 Mar 2024:
    • GitHub blocked access to the repostiory and blocked the account of both the xz maintainers, an updated code is available here
    • An official statement was released by the project maintainer
  • 31 Mar 2024:
The extent of this breach is still unkown, but here is a (partial) list of components shipping the known malicious version of xz:
Distributions:
The backdoored package is also contained in the repositories of the following package managers:
  • Homebrew
  • MacPorts
  • pkgsrc
At the moment we know that there are checks in the backdoor to target Linux instances and only x86_64/amd64 builds so the real number could be downsized, but since the entire situation is unclear I would not reccommend to keep a compromised package on your system.
The reasons behind the xz repositories lockdown are still a mistery to me, especially knowing that with the source code available additional anaysis on the backdoor could be performed.
Blocking access to the source code is something that will delay further results, that is honestly really bad for time-critical situation like this one. An updated mirror is available here
The patch strategy for basically everyone was to force a downgrade from the 5.6.0-5.6.1 to another version.
Some (homebrew, for example), forced the downgrade to 5.4.6.
This looks interesting because for sure we know there is a backdoor on that (5.6.0-5.6.1) versions, but we also know that the attacker has been working on the repository for over two years.
The 5.4.6 version is also builded by the attacker and honestly wouldn’t trust it much.
As I said at the beginning of the post, I don’t want to go too deep into the technical analysis of the backdoor, for two main reasons: with the sourcecode locked and only an archive available the informations are incomplete and I really don’t want to reverse the xz binary.