Комментарии 14
особенно порадовали захардкоженые ключи шифрования — все, как в лучших практиках )
Не понятна корреляция между «ой в коде есть функция которая делает скриншот» (ну блин, конечно она есть, если в туле есть функция «пошарить экран», было бы удивительно, если бы ее не было) и «исследуем вредоносный код». И тем более вы сами написали — в CrashReport. В почти всех уважающих себя софтинах при крэше есть окошко с галочками «отправить репорт разработчикам» \ «прикрепить информацию о системе». Ну и вот ваша AddScreenshot и на месте, вообще наезд непонятен.
Используются старые библиотеки — ну ок, наверное не очень хорошо. Но, думаю, если вы бы могли написать реальную иньекцию, позволяющую какой-нибудь Remote Code Execution, то может вам бы и какой-нибудь Bug Bounty выплатили. А просто факт «ну, там старые версии» — ну грустно, но из этого факта самого по себе ничего не следует.
Или там «SQL иньекции». Вроде как во всем мире иньекциями считается то, что можно получить, передавай некий особым образом сконструированный ввод. Если там сделана валидация и\или составные части запроса заранее известны, то какой вообще в принципе вред от конкатенации строк SQL запроса в *локальную* базу? Ну и вообще у вас база-то вот, лежит на диске, если надо, забирайте, зачем иньекции-то городить?
Используются старые библиотеки — ну ок, наверное не очень хорошо. Но, думаю, если вы бы могли написать реальную иньекцию, позволяющую какой-нибудь Remote Code Execution, то может вам бы и какой-нибудь Bug Bounty выплатили. А просто факт «ну, там старые версии» — ну грустно, но из этого факта самого по себе ничего не следует.
Или там «SQL иньекции». Вроде как во всем мире иньекциями считается то, что можно получить, передавай некий особым образом сконструированный ввод. Если там сделана валидация и\или составные части запроса заранее известны, то какой вообще в принципе вред от конкатенации строк SQL запроса в *локальную* базу? Ну и вообще у вас база-то вот, лежит на диске, если надо, забирайте, зачем иньекции-то городить?
По сути, из важного:
1) Ключи в открытом виде (sic). Однако пока что не ясно для чего оно используется.
2) Устаревший openssl
3) turbojpeg с уязвимостями
Остальное только догадки. Что-то где-то возможно наверное с какой-то вероятностью неправильно и сломано, но "я не проверял", так что хз.
Microsoft добавила поддержку 64-битных приложений и различных улучшений безопасности для 64-битных процессоров, начиная с Windows 7.
Вы не заметили Vista (2006 год)? XP x64 (2005 год)? Server 2003 (2003 год)? Это с одной стороны. А с другой стороны не замечаете 32-битную Windows 10.
Претензия автора статьи в другом:
Zoom по-прежнему выпускает только 32-разрядные приложения для Windows.
Но в чём проблема-то? 32х-разрядная версия занимает меньше памяти и работает почти всюду.
Единственное отличие в плане безопасности — ASLR на x86 не так эффективно работает, ибо энтропии меньше, но ведь и Zoom — не браузер.
Я тоже не понял, что не так с 32-битными приложениями. Есть пруф, что они в чём-то менее безопасны собранных тем же тулсетом, но в 64 бита?
Мои приложения, которым не важна производительность, 32-битные, у меня лично есть один мини-компьютер с 32-битной Windows 10 (поставить 64 можно, но крайне нецелесообразно — там всего 2 ГБ памяти и проц Атом).
Мои приложения, которым не важна производительность, 32-битные, у меня лично есть один мини-компьютер с 32-битной Windows 10 (поставить 64 можно, но крайне нецелесообразно — там всего 2 ГБ памяти и проц Атом).
Архаичное 32-битное приложение
Серьёзно? Ну почему?!
Очевидно же, для большего охвата аудитории. Еще огромное количество железа которое не умеет 64бит от слова совсем. Особенно в отсталых странах типа России. Если вы думаете что у всех школьников стоят десктопы на epic-ках с 10-ой то вы наивный человек.
ps: Огромное количество надуманных проблем. Лучше вы скайп потыкайте палочкой.
Еще огромное количество железа которое не умеет 64бит от слова совсем.
Боюсь что на таком железе даже браузер нынче не открыть будет. Сомневаюсь что там будет стоять вопрос использования каких-то видеоконференций.
Ну и финансовый вопрос — зум явно не благотворительная организация, а платежеспособность этой прослойки у меня под очень большим сомнением
zoom работает без проблем на 32битных атома-х, а вот «быстрые» браурезы уже разучились.
платежеспособность этой прослойки у меня под очень большим сомнением
Платит создатель конференции. Сценарий очень простой школы будут покупать платный аккаунт для преподавателей (собирая например с родителей) что бы преодолеть барьер в 40мин (особенно если потом его сделают 40мин в день, а не на сессию). При этом ученики могут работать на любом хламе. 20$ в месяц на 20-30человек не такие великие деньги.
Тоже давеча смотрел зум клиент под винду.
И по моему мнению шифрование у них реализовано корректно (я о зашифрованных данных SQLite таблиц, протоколе общения). И поэтому у меня возник вопрос по:
>Airhost.exe использует константу
А для чего этот модуль, вы смотрели, используется ли он? Потому что у меня такого файла не было после установки.
Так то согласен полностью с комментарием TheGodfather.
Для какого-то отчета для галочки и беглого ознакомления оно то пойдет, но судить в общем о безопасности продукта по каким-то теоретическим уязвимостям я бы не стал.
И по моему мнению шифрование у них реализовано корректно (я о зашифрованных данных SQLite таблиц, протоколе общения). И поэтому у меня возник вопрос по:
>Airhost.exe использует константу
А для чего этот модуль, вы смотрели, используется ли он? Потому что у меня такого файла не было после установки.
Так то согласен полностью с комментарием TheGodfather.
Для какого-то отчета для галочки и беглого ознакомления оно то пойдет, но судить в общем о безопасности продукта по каким-то теоретическим уязвимостям я бы не стал.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Они среди нас: исследуем уязвимости и вредоносный код в приложении Zoom для Windows