January 2022 - nexa - server-nexa.polito.it

Qualcuno sta rubando la nostra attenzione

by Antonio Iacono

Tradotto in italiano per Internazionale [1] l'articolo di Johann Hari apparso sul Guardian ad inizio mese [2]. Un tratto dell'articolo è stato letto stamattina nel corso della rubrica "Pagina 3" di Radio Tre [3] A. [1] https://www.internazionale.it/magazine/johann-hari/2022/01/27/qualcuno-sta-… [2] https://www.theguardian.com/science/2022/jan/02/attention-span-focus-screen… [3] https://www.raiplaysound.it/audio/2022/01/Pagina-3-del-28012022-9b4ade83-6c…

Jan. 28, 2022

Re: [nexa] Harmonising Artificial Intelligence OXIL authors explore the role of standards in the EU AI regulation

by Antonio Iacono

> https://oxcaigg.oii.ox.ac.uk/wp-content/uploads/sites/124/2021/12/Harmonisi… > Il documento cita alcuni commenti inviati su richiesta della Commissione europea in merito alla "European Commission’s Proposal for a Regulation on Artificial Intelligence (AI) systems". A parere mio andava "interpretato" anche il commento dei componenti della U.S. Chamber of Commerce [1], i quali, allergici alle regole: "we advocate for sound policy frameworks that support economic growth, promote consumer protection, and foster innovation" A. [1] https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/1…

Jan. 28, 2022

Re: [nexa] A bug lurking for 12 years gives attackers root on most major Linux distros

by Giacomo Tesio

Ciao Giovanni, On January 27, 2022 5:52:25 PM UTC, "380°" <g380(a)biscuolo.net> wrote: > > Insomma non temete: dopo 12 anni dalla sua introduzione, questa vulnerabilità > > è stata corretta entro poche ore dalla propria diffusione pubblica. > > ...mentre dopo 50 anni dall'introduzione del C sarà ancora possibile > scrivere codice che esegue accesso alla memoria "out of bounds" senza > che chi lo scrive e chi lo legge si renda conto di quel fatto? :-O siamo sicuri che il problema sia il sempre bistrattato C? O è piuttosto la complessità di Linux? Leggi la discussione sul fix lato kernel (fix di due righe!): ``` The first argument to argv when used with execv family of calls is required to be the name of the program being executed, per POSIX. By validating this in do_execveat_common(), we can prevent execution of shellcode which invokes execv(2) family syscalls with argc < 1, a scenario which is disallowed by POSIX, thus providing a mitigation against CVE-2021-4034 and similar bugs in the future. The use of -EFAULT for this case is similar to other systems, such as FreeBSD and OpenBSD. Interestingly, Michael Kerrisk opened an issue about this in 2008, but there was no consensus to support fixing this issue then. Hopefully now that CVE-2021-4034 shows practical exploitative use of this bug in a shellcode, we can reconsider. ``` https://lore.kernel.org/lkml/20220126043947.10058-1-ariadne@dereferenced.or… Leggi le due righe del fix. Si passa da ``` if (retval < 0) goto out_free; ``` a ``` if (retval < 1) { retval = -EFAULT; goto out_free; } ``` Pensi che se fosse stato scritto in Rust, o Haskell o qualsiasi altro linguaggio avrebbe fatto qualsivoglia differenza? Ipotizza un mondo dove C è stato sostituito dal tuo linguaggio di programmazione preferito. In user space non avresti avuto l'out of bound. Poco male: poche righe di assembly e bypassi i limiti del tuo linguaggio. Il compilatore impedisce (coraggiosamente!) codice unsafe? Ok, scriviamo l'elf con un editor esadecimale. Il problema non è C. (almeno, non in questo caso) Piuttosto, vogliamo davvero fingere che la segnalazione di Michael Kerrisk sia stata ignorata da intelligence che hanno team dedicati e database degli zero day ignoti? Su quanti server Linux queste intelligence hanno accesso amministrativo dal 2008? Quante distro Linux vengono distribuite da server Linux? Quanti cloud ci girano? Non ho idea se nel 2008 abbiano lasciato la vulnerabilità perché non immaginavano come sfruttarla, o se non si sia trovato un consenso perché qualcuno l'aveva subito capito. Ma se vogliamo che fra 30 anni le cose vadano meglio, non accontentiamoci di facili capri espiatori. Giacomo Full disclosure: programmo in moltissimi linguaggi e considero C99 il "meno peggio".

Jan. 27, 2022

Re: [nexa] A bug lurking for 12 years gives attackers root on most major Linux distros

by 380°

Buongiorno Giacomo, Giacomo Tesio <giacomo(a)tesio.it> writes: [...] > Attackers who already have a toehold on a vulnerable machine can abuse > the vulnerability to ensure a malicious payload or command runs with the > highest system rights available. proprio per non sminuire la portata del bug, direi che la frase "Attackers who already have a toehold" è quantomeno sibillino forse le parole di chi ha pubblicato per primo il bug report aiutano a comprendere la natura e l'estensione della sua pericolosità: https://www.qualys.com/2022/01/25/cve-2021-4034/pwnkit.txt --8<---------------cut here---------------start------------->8--- pwnkit: Local Privilege Escalation in polkit's pkexec (CVE-2021-4034) [...] This vulnerability is an attacker's dream come true: - pkexec is installed by default on all major Linux distributions (we exploited Ubuntu, Debian, Fedora, CentOS, and other distributions are probably also exploitable); - pkexec is vulnerable since its creation, in May 2009 (commit c8c3d83, "Add a pkexec(1) command"); - any unprivileged local user can exploit this vulnerability to obtain full root privileges; - although this vulnerability is technically a memory corruption, it is exploitable instantly, reliably, in an architecture-independent way; - and it is exploitable even if the polkit daemon itself is not running. --8<---------------cut here---------------end--------------->8--- quindi in qualche modo l'attaccante deve riuscire a ottenere accesso come local user, magari sfruttando vulnerabilità di altri servizi esposti online [...] > Insomma non temete: dopo 12 anni dalla sua introduzione, questa vulnerabilità > è stata corretta entro poche ore dalla propria diffusione pubblica. ...mentre dopo 50 anni dall'introduzione del C sarà ancora possibile scrivere codice che esegue accesso alla memoria "out of bounds" senza che chi lo scrive e chi lo legge si renda conto di quel fatto? :-O già discusso qui: https://server-nexa.polito.it/pipermail/nexa/2020-May/017979.html (la madre di tutte le vulnerabilità: memory unsafety) tra 30 anni saremo ancora a questo livello? Ciao, 380° -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

Jan. 27, 2022

A bug lurking for 12 years gives attackers root on most major Linux distros

by Giacomo Tesio

Since 2009, pkexec has contained a memory-corruption vulnerability that people with limited control of a vulnerable machine can exploit to escalate privileges all the way to root. Exploiting the flaw is trivial and, by some accounts, 100 percent reliable. Attackers who already have a toehold on a vulnerable machine can abuse the vulnerability to ensure a malicious payload or command runs with the highest system rights available. PwnKit, as researchers are calling the vulnerability, is also exploitable even if the Polkit daemon itself isn’t running. PwnKit was discovered by researchers from security firm Qualys in November and was disclosed on Tuesday after being patched in most Linux distributions. PwnKit is tracked as CVE-2021-4034. [...] Major Linux distributors have released patches for the vulnerability, and security professionals are strongly urging administrators to prioritize installing the patch. Those who can’t patch immediately should use the chmod 0755 /usr/bin/pkexec command to remove the SUID-bit from pkexec, which prevents it from running as root when executed by a non-privileged user. Advisories from Debian, Ubuntu, and Red Hat are here, here, and here. Those who want to know if the vulnerability has been exploited on their systems can check for log entries that say either “The value for the SHELL variable was not found the /etc/shells file” or “The value for environment variable […] contains suspicious content.” Qualys, however, cautioned people that PwnKit is also exploitable without leaving any traces. Continua su https://arstechnica.com/information-technology/2022/01/a-bug-lurking-for-12… Insomma non temete: dopo 12 anni dalla sua introduzione, questa vulnerabilità è stata corretta entro poche ore dalla propria diffusione pubblica. Giacomo

Jan. 27, 2022

Harmonising Artificial Intelligence OXIL authors explore the role of standards in the EU AI regulation

by don Luca Peyron

Mi pare non sia passato in lista, buona lettura dl https://oxcaigg.oii.ox.ac.uk/wp-content/uploads/sites/124/2021/12/Harmonisi… _________________________ don Luca Peyron Direttore Ufficio per la Pastorale Universitaria Arcidiocesi di Torino www.universitari.to.it via XX settembre 83, Torino tel. 011 5156239

Jan. 27, 2022

Google's Topics API: Rebranding FLoC Without Addressing Key Privacy Issues

by Stefano Traverso

Condivisibilissima critica di Brave alle Topics APIs annunciate da G per Chrome. ‘This isn’t a debate about whether “Topics API is better than FLoC,” or vice versa. […] Choosing the lesser of two evils is no choice at all.’ https://brave.com/web-standards-at-brave/7-googles-topics-api/ Ciao, Stefano -- [signature_79922475] Stefano Traverso, PhD Research Lead Ermes – Intelligent Web Protection www.ermes.company<https://www.ermes.company/> Mobile : +39 331 455 9794

Jan. 27, 2022

"Commission puts forward declaration on digital rights and principles for everyone in the EU"

by J.C. DE MARTIN

Today, the Commission is proposing to the European Parliament and Council to sign up to a declaration <https://digital-strategy.ec.europa.eu/en/news-redirect/733938> of rights and principles that will guide the digital transformation in the EU. The draft declaration on digital rights and principles aims to give everyone a clear reference point about the kind of digital transformation Europe promotes and defends. It will also provide a guide for policy makers and companies when dealing with new technologies. The rights and freedoms enshrined in the EU's legal framework, and the European values expressed by the principles, should be respected online as they are offline. Once jointly endorsed, the Declaration will also define the approach to the digital transformation which the EU will promote throughout the world. Executive Vice-President for a Europe Fit for the Digital Age, Margrethe*Vestager*, said: /“We want safe technologies that work for people, and that respect our rights and values. Also when we are online. And we want everyone to be empowered to take an active part in our increasingly digitised societies. This declaration gives us a clear reference point to the rights and principles for the online world.”/ Commissioner for the Internal Market, Thierry*Breton*, said: “/We want Europeans to know: living, studying, working, doing business in Europe, you can count on top class connectivity, seamless access to public services, a safe and fair digital space. The declaration of digital rights and principles also establishes once and for all that what is illegal offline should also be illegal online. We also aim to promote these principles as a standard for the world./” [...] continua qui: https://ec.europa.eu/commission/presscorner/detail/en/ip_22_452

Jan. 26, 2022

Appalti di innovazione in Italia: strumenti ed esperienze

by Giacomo Tesio

Scusandomi per lo scarso preavviso, vi segnalo questo webminar che si terrà oggi alle 15.30. Sono certo che molti qui potrebbero contribuire al discorso. Appalti di innovazione: una priorità per l’Europa, su cui il nostro Paese non ha ancora espresso al massimo il proprio potenziale. Tra le criticità principali, una forte disomogeneità nella capacità delle diverse regioni di fare ricorso a soluzioni innovative. Eppure gli strumenti ci sono, basta sapere come utilizzarli al meglio. E un ruolo potrà giocarlo anche il PNRR. Con Guglielmo de Gennaro dell'Agenzia per l'Italia digitale (AgID) discuteremo di opportunità e potenzialità del settore, dialogando con Salvatore Tufano che condividerà l’esperienza della Società Regionale per la Sanità (Soresa) Campania, che nel 2018 con AgID e Regione Campania ha stipulato un protocollo di intesa con l'obiettivo di favorire il ricorso agli appalti d'innovazione e pre-commerciali in particolare nei settori dell’ICT e della sanità digitale. https://us02web.zoom.us/webinar/register/7916400766052/WN_z4avgTIWRmWkL2BAC… Giacomo

Jan. 26, 2022

Digitalizzare la PA rispettando la privacy? Un'iniziativa dalla Francia nel settore dell'educazione

by Enrico Nardelli

https://www.cnil.fr/fr/la-cnil-propose-un-nouveau-bac-sable-pour-accompagne… -- EN ===================================================================== Prof. Enrico Nardelli Dipartimento di Matematica - Universita' di Roma "Tor Vergata" Via della Ricerca Scientifica snc - 00133 Roma tel: +39 06 7259.4204 fax: +39 06 7259.4699 mobile: +39 335 590.2331 e-mail: nardelli(a)mat.uniroma2.it home page: http://www.mat.uniroma2.it/~nardelli blog: http://www.ilfattoquotidiano.it/blog/enardelli/ http://link-and-think.blogspot.it/ ===================================================================== --

Jan. 26, 2022