Auteur Topic: Lek in Signal Desktop kon aanvaller code laten uitvoeren  (gelezen 6 keer)

0 leden en 1 gast bekijken dit topic.

Swake

  • Forum Admin
  • Komt hier zeer veel
  • **
  • Berichten: 1481
  • Geslacht: Man
Lek in Signal Desktop kon aanvaller code laten uitvoeren
« Gepost op: 17 mei 2018, 08:46:44 »
Een beveiligingslek in de desktopapplicatie van de versleutelde chat-app Signal had aanvallers op afstand code kunnen laten uitvoeren, waardoor gevoelige data kon worden gestolen. Alleen het versturen van een speciaal geprepareerd bericht naar een Signal Desktop-gebruiker was voldoende geweest.
Signal is een chat-app waarmee smartphone-gebruikers end-to-end versleuteld kunnen communiceren. Naast de Signal-app voor smartphones is er Signal Desktop, een applicatie die gebruikers Signal-berichten via hun laptop of desktop laat ontvangen. Alle berichten worden vervolgen gesynchroniseerd met de Signal-app op de smartphone.
Beveiligingsonderzoekers Ivan Ariel Barrera Oro, Alfredo Ortega en Juliano Rizzo ontdekten het probleem bij toeval toen ze een link met cross-site scripting (XSS) op een andere website via Signal Desktop uitwisselden. De desktopapplicatie bleek niet goed met de link om te gaan. Content Security Policy (CSP) zorgde er echter voor dat de scripts die via de kwaadaardige link werden aangeroepen niet werkten. Door de url binnen een iframe te verwerken was het echter wel mogelijk om dit te doen, zelfs het laden van code vanaf een SMB-share werkte.
"Het belangrijke is dat het geen interactie van het slachtoffer vereist, anders dan een gesprek te starten. Iedereen kan binnen Signal een gesprek starten, dus een aanvaller hoefde alleen een speciaal geprepareerde url te versturen om zonder verdere interactie het slachtoffer te hacken. En het is platformonafhankelijk", aldus de onderzoekers. Signal werd op 10 mei over de kwetsbaarheid ingelicht en een dag later was er een update beschikbaar. Gisteren maakten de onderzoekers details over het lek bekend.

Swake

  • Forum Admin
  • Komt hier zeer veel
  • **
  • Berichten: 1481
  • Geslacht: Man
Re: Signal verhelpt opnieuw ernstig beveiligingslek in Desktop-app
« Reactie #1 Gepost op: 17 mei 2018, 08:52:34 »
De versleutelde chatdienst Signal heeft opnieuw een ernstig beveiligingslek in de Desktop-app verholpen waardoor een aanvaller op afstand code had kunnen uitvoeren. Het ging om een variant van de aanval die op 14 mei werd geopenbaard.Signal is een chat-app waarmee smartphone-gebruikers end-to-end versleuteld kunnen communiceren. Naast de Signal-app voor smartphones is er Signal Desktop, een applicatie die gebruikers Signal-berichten via hun laptop of desktop laat ontvangen. Alle berichten worden vervolgen gesynchroniseerd met de Signal-app op de smartphone. Onderzoekers ontdekten dat het mogelijk was om willekeurige code uit te voeren door een kwaadaardige link naar een Signal Desktop-gebruiker te sturen. Verdere interactie was niet nodig en de aanval werkte platformonafhankelijk. Signal werd op 10 mei over de kwetsbaarheid ingelicht en een dag later was er een update beschikbaar. Onderzoeker Matthew Bryant besloot naar eigen zeggen te raden waar de kwetsbaarheid zich precies bevond en hoe die te misbruiken was. Hij ontdekte dat als er een HTML-bericht werd gemaakt en er vervolgens met Quoted Reply op het bericht werd gereageerd, de originele HTML-code ook als HTML werd beschouwd. Bryant installeerde de update van 11 mei, maar tot zijn verbazing bleek zijn exploit nog steeds te werken.Bryant besefte dat de onderzoekers voor hun exploit gewone Signal-berichten verstuurden die als HTML werden geïnterpreteerd. Ze maakten geen gebruik van Quoted Replies die Bryant voor zijn exploit gebruikte. Hij waarschuwde daarop het Signal-team. Binnen twee uur werd er een update onder Signal Desktop-gebruikers uitgerold.

Tags:
 


Facebook Comments