Drukarki, bikini i... Audacity, czyli o czym nie pisaliśmy w minionym tygodniu

Strona głównaDrukarki, bikini i... Audacity, czyli o czym nie pisaliśmy w minionym tygodniu
05.07.2021 07:30
Drukarki, bikini i... Audacity, czyli o czym nie pisaliśmy w minionym tygodniu
Źródło zdjęć: © Pixabay

Na szczęście, w branży IT istnieją inne tematy niż Windows 11. Szczególnie dużo działo się w dziedzinie infosec, co zawsze oznacza "przerażające" wieści, gdy ma miejsce w tygodniu bez comiesięcznego Patch Tuesday. Pewną niespodzianką zaskoczył też świat open source. O czym nie pisaliśmy w zeszłym tygodniu?

bEqLwspx

PrintNightmare

Przede wszystkim należy wspomnieć o (kolejnym) błędzie w obsłudze drukarek w Windows. Na przestrzeni ostatnich miesięcy pojawiały się aktualizacje łatające usługę Spooler, naprawiając wiele błędów. Spooler okazuje być dziurawy jak sito, a w dodatku w wielu kwestiach nieruszany od czasów Windows NT 4.0.

Mimo wielu poprawek, Spooler zawierał wykryte wiele miesięcy temu słabości, których naprawy Microsoft... odmówił. Wiadomo było dzięki temu, że w domenie Active Directory da się w pewnych warunkach da się zmusić DC do wykonania kodu poprzez podstawienie "lewej" drukarki. W pewnych kręgach stało się jasne, że wysoce wskazane jest wyłączanie Bufora Wydruku na kontrolerach domeny, jeżeli to możliwe.

Niepozorny, acz koszmarny widok: notatka CVE, dotyczy wszystkich wersji Windows, a poprawki nie ma
Źródło zdjęć: © Microsoft | Kamil J. Dudek
Niepozorny, acz koszmarny widok: notatka CVE, dotyczy wszystkich wersji Windows, a poprawki nie ma

Był to przykład tej słynnej "tajemnej" wiedzy, za którą płaci się fachowcom, gdy nie potrafi się zabezpieczyć sieci czytając tutoriale i odpowiedzi na ServerFault. Zjawisko było nieudokumentowane poza badaniami niezależnych ekspertów i zbierało bardzo mało prasy. Skłaniało to zadawania pytań w stylu "jakim cudem jest tak spokojnie - dlaczego administratorzy AD nie mają właśnie ataków paniki?".

bEqLwspz

Najwyraźniej wreszcie coś się "przetkało". Nowy, dopracowany exploit pozwala uwierzytelnionemu w domenie użytkownikowi zdobyć podwyższone uprawnienia na DC. Z punktu widzenia modelu bezpieczeństwa Active Directory, jest to "gave over" dla domeny. Poprawki dalej nie ma. Nie jest to także pierwszy przypadek przeoczonej dziury.

Bikini

Infosec zajmował się dotychczas czymś innym niż niniejszą dziurą, nazwaną PrintNightmare. Oto w akcie protestu, specjalistki ds. bezpieczeństwa systemów IT udostępniały swoje zdjęcia w strojach kąpielowych, w ramach akcji #infosecbikini. Źródłem owego protestu był sprzeciw wobec coraz częściej formułowanego na Twitterze zarzutu wobec specjalistów infosec: "nie piszcie tyle o swoim życiu, tylko o IT!".

Ostatnie kilka poważnych incydentów bezpieczeństwa poskutkowało zwiększeniem popularności specjalistów w social mediach. Nowi odbiorcy ich treści często okazywali się oczekiwać wyłącznie materiałów branżowych, mylnie zakładając że śledzone konta są kontami "firmowymi", publikującymi wyłącznie zrecenzowane artykuły naukowe, próbki kodu i wątki analityczne.

Tymczasem infosec nie jest dziedziną rozwijającą się na zasadach "profesjonalnych dostawców kontentu" lub dyskursu akademickiego. Większość prac prezentowanych między konferencjami branżowymi ma charakter prywatnych dociekań, spisywanych na brudno przez ekspertów po godzinach. Z wykorzystaniem osobistych kont, gdzie poza IT pojawiają się zdjęcia z imprez, recenzje ciast i narzekanie na nowy odcinek serialu.

bEqLwspF

Pretensje wobec czelności całodobowego niepublikowania treści eksperckich za darmo poskutkowały zalewem fotografii przypominających, że malkontenci mają do czynienia w ludźmi, a nie maszynami do kontentu. Kilkudniowy pochód bikini przerwała w końcu afera z drukarkami.

Audactiy

Uwagę na siebie udało się także zwrócić projektowi Audacity. Ten edytor audio rozwijany na zasadach open source przeszedł kwietniu w ręce prywatnej firmy, która z początkiem lipca zmodyfikowała politykę prywatności aplikacji. Uczyniła to dość zaskakujący sposób, niekoniecznie popierany przez użytkowników.

Wedle nowej polityki, za zbieranie danych telemetrycznych (i nie tylko!) odpowiada organizacja WSM Group, zarejestrowana w Kaliningradzie. Ponadto, deklaracja prywatności wprowadza ograniczenie w postaci wieku minimalnego (13 lat) potrzebnego do korzystania z aplikacji (open source!). Wprowadzono też kolekcjonowane danych "niezbędnych dla stróżów prawa", niewymienionych wprost. Naturalnym podejrzeniem jest tutaj ochrona praw autorskich firm fonograficznych.

bEqLwspG

Powstały już, oczywiście, forki bez "podejrzanych" składników ErrorReport oraz Sentry. Dystrybucje dostarczają, póki co, starsze wersje. Uzasadnionym jest podejrzewać, że program zostanie sforkowany i dostarczany bez "nowości", usuwając automatyczne zgłaszanie błędów, które w świecie open source następuje w zupełnie inny sposób (jak np. ABRT) niż w przypadku aplikacji komercyjnych. Być może nowy właściciel projektu o tym nie wiedział.

Programy

Aktualizacje
Aktualizacje
Nowości
bEqLwsqv