Monthly Archives: June 2021

Prossimo, un proyecto de la ISRG para asegurar la memoria del kernel de Linux con Rust

Posted on by

Josh Aas, director ejecutivo de la Internet Security Research Group (ISRG, organización matriz del proyecto Let’s Encrypt) dio a conocer la semana pasada mediante una publicación sus intenciones de apoyar a Miguel Ojeda (ingeniero en software y desarrollador del kernel de Linux), con el objetivo coordinar los esfuerzos para trasladar la infraestructura de software crítico a un código seguro para la memoria.

Y es que la ISRG ha proporcionado al destacado desarrollador Miguel Ojeda un contrato de un año para trabajar en Rust en Linux y otros esfuerzos de seguridad en tiempo completo.

Según Miguel Ojeda, los beneficios de introducir el lenguaje Rust en el kernel de Linux superan los costos. Para el desarrollador, al usar Rust en el kernel de Linux, el nuevo código escrito en Rust tiene un riesgo reducido de errores de seguridad de la memoria, gracias a las propiedades del lenguaje Rust. El lenguaje Rust sería popular por su seguridad.

Los esfuerzos para hacer de Rust un lenguaje viable para el desarrollo del kernel de Linux comenzaron en la conferencia Linux Plumbers 2020, con la idea del propio Linus Torvalds.

Torvalds solicitó específicamente la disponibilidad del compilador de Rust en el entorno de compilación del kernel predeterminado para respaldar dichos esfuerzos, no para reemplazar todo el código fuente del kernel de Linux con equivalentes desarrollados por Rust, sino para permitir que el nuevo desarrollo funcione correctamente.

Usar Rust para nuevo código en el kernel puede significar nuevos controladores de hardware o incluso reemplazar GNU Coreutils, reduce potencialmente la cantidad de errores ocultos en el kernel. Rust simplemente no permitirá que un desarrollador pierda memoria o cree la posibilidad de desbordamientos de búfer, las principales fuentes de rendimiento y problemas de seguridad en el código complejo de lenguaje C.

El nuevo contrato de Internet Security Research Group le otorga a Ojeda un salario de tiempo completo para continuar con el trabajo de seguridad de la memoria que ya estaba haciendo a tiempo parcial. El director ejecutivo de ISRG, Josh Aas, señala que el grupo ha trabajado en estrecha colaboración con el ingeniero de Google, Dan Lorenc, y que el apoyo financiero de Google es esencial para patrocinar el trabajo continuo de Ojeda.

«Los grandes esfuerzos para eliminar clases enteras de problemas de seguridad son las mejores inversiones a gran escala», dijo Lorenc, y agregó que Google está «encantado de ayudar a ISRG a respaldar el trabajo de Miguel Ojeda para mejorar la seguridad de la memoria del kernel para todos».

“El proyecto de seguridad de memoria Prossimo de ISRG tiene como objetivo coordinar los esfuerzos para mover la infraestructura de software crítico de Internet para proteger el código en la memoria. Cuando pensamos en el código más crítico para Internet hoy en día, el kernel de Linux encabeza la lista. Llevar la seguridad de la memoria al kernel de Linux es un gran trabajo, pero el proyecto Rust para Linux está dando grandes pasos. Nos complace anunciar que comenzamos a respaldar oficialmente este trabajo en abril de 2021 al proporcionar a Miguel Ojeda un contrato para trabajar en Rust para Linux y otros esfuerzos de seguridad a tiempo completo durante un año. Esto fue posible gracias al apoyo financiero de Google. Antes de trabajar con ISRG, Miguel estaba realizando este trabajo como un proyecto paralelo. Estamos felices de hacer nuestra parte para respaldar la infraestructura digital permitiéndole trabajar allí a tiempo completo.

“Trabajamos en estrecha colaboración con Dan Lorenc, ingeniero de software de Google para hacer posible esta colaboración.

El trabajo de Ojeda es el primer proyecto patrocinado bajo la bandera Prossimo del ISRG, pero no es el primer paso que la organización ha dado hacia una mayor seguridad de la memoria. Las iniciativas anteriores incluyen un módulo TLS seguro en memoria para el servidor web Apache, una versión segura en memoria de la utilidad de transferencia de datos curl and rustls, una alternativa segura en memoria a la omnipresente biblioteca de cifrado de red OpenSSL.

Como explica Josh Aas,

“Aunque este es el primer esfuerzo de seguridad de la memoria que anunciamos bajo nuestro nuevo nombre de proyecto Prossimo, nuestro trabajo de seguridad de la memoria comenzó en 2020.y el servidor HTTP Apache , y para agregar mejoras a la biblioteca TLS de Rustls ”.

Fuente: https://www.memorysafety.org

from Linux Adictos https://ift.tt/3wZro5F
via IFTTT

MyBook Users Urged to Unplug Devices from Internet

Posted on by

Hard drive giant Western Digital is urging users of its MyBook Live brand of network storage drives to disconnect them from the Internet, warning that malicious hackers are remotely wiping the drives using a previously unknown critical flaw that can be triggered by anyone who knows the Internet address of an affected device.

One of many similar complaints on Western Digital’s user forum.

Earlier this week, Bleeping Computer and Ars Technica pointed to a heated discussion thread on Western Digital’s user forum where many customers complained of finding their MyBook Live and MyBook Live Duo devices completely wiped of their data.

“Western Digital has determined that some My Book Live and My Book Live Duo devices are being compromised through exploitation of a remote command execution vulnerability,” the company said in a statement June 24. “In some cases, this compromise has led to a factory reset that appears to erase all data on the device. The My Book Live and My Book Live Duo devices received its final firmware update in 2015. We understand that our customers’ data is very important. We are actively investigating the issue and will provide an updated advisory when we have more information.”

Western Digital’s brief advisory includes a link to an entry in the National Vulnerability Database for CVE-2018-18472. The NVD writeup says Western Digital WD My Book Live and WD My Book Live Duo (all versions) have a root Remote Command Execution bug.

“It can be triggered by anyone who knows the IP address of the affected device, as exploited in the wild in June 2021 for factory reset commands,” NVD wrote.

Examine the CVE attached to this flaw and you’ll notice it was issued in 2018. The NVD’s advisory credits VPN reviewer Wizcase.com with reporting the bug to Western Digital three years ago, back in June 2018.

In some ways, it’s remarkable that it took this long for vulnerable MyBook devices to be attacked: The 2018 Wizcase writeup on the flaw includes proof-of-concept code that lets anyone run commands on the devices as the all-powerful “root” user.

Western Digital’s response at the time was that the affected devices were no longer supported and that customers should avoid connecting them to the Internet. That response also suggested this bug has been present in its devices for at least a decade.

“The vulnerability report CVE-2018-18472 affects My Book Live devices originally introduced to the market between 2010 and 2012,” reads a reply from Western Digital that Wizcase posted to its blog. “These products have been discontinued since 2014 and are no longer covered under our device software support lifecycle. We encourage users who wish to continue operating these legacy products to configure their firewall to prevent remote access to these devices, and to take measures to ensure that only trusted devices on the local network have access to the device.”

A local administration page for the MyBook Live Duo.

Wizcase said the flaw it found in MyBook devices also may be present in certain models of WD MyCloud network attached storage (NAS) devices, although Western Digital’s advisory makes no mention of its MyCloud line being affected.

The vulnerable MyBook devices are popular among home users and small businesses because they’re relatively feature-rich and inexpensive, and can be upgraded with additional storage quite easily. But these products also make it simple for users to access their files remotely over the Internet using a mobile app.

I’m guessing it is primarily users who’ve configured their MyBooks to be remotely accessible who are experiencing these unfortunate drive wipes. Regardless, it’s probably safest to observe Western Digital’s advice and disconnect any MyBooks you have from ethernet access.

If you’d still like to keep your MyBook connected to your local network (at least until you can find a suitable backup for your backups), please make double sure remote access is not enabled in your device settings (see screenshot above).

from Krebs on Security https://ift.tt/2SuQDha
via IFTTT

Windows 11 permitirá instalar manualmente aplicaciones de Android, según un ingeniero de Microsoft

Posted on by

Windows 11 permitirá instalar manualmente aplicaciones de Android, según un ingeniero de Microsoft

Ayer Microsoft hizo un sorprendente anuncio durante la presentación de Windows 11. En la presentación de su próximo sistema operativo nos sorprendió a todos informando será compatible con las aplicaciones de Android.

En el anuncio Microsoft informó que las aplicaciones de Android podrán descargarse desde la Amazon AppStore al integrar en la propia Microsoft Store la tienda de aplicaciones de Amazon, pero ahora sabemos que no será el único lugar donde se podrán descargar aplicaciones.


Continue reading →