Taggat med: bug-bounty

Kommande kritisk sårbarhet i OpenSSL

OpenSSL-teamet har gått ut med förhandsinformation gällande en ny sårbarhet som uppdagats i kryptobiblioteket OpenSSL. Information och en ny version av OpenSSL-biblioteket kommer att släppas den 1:a November någon gång mellan klockan 13 och 17:00 UTC.

Den nya versionen har nummer 3.0.7 och åtgärden klassas som KRITISK. Och enligt OpenSSL-projektets policy så innebär KRITISK att det är en sårbarhet som enkelt kan utnyttjas via internet och kan ge möjlighet att läsa minne eller godtycklig exekvering av kod.

Det är oklart i dagsläget huruvida andra forkar av OpenSSL påverkas såsom LibreSSL och BoringSSL. Viktigt är också att OpenSSL 1.1.x inte är drabbad av denna sårbarhet.

Vi får hoppas att detta inte blir en ny Heartbleed. Men OpenSSL är en viktig del av otroligt många produkter, system osv så oavsett vad som händer på tisdag den 1:a november så kommer det att komma många uppdateringar till diverse system och produkter.

Bugbounties är en av flera metoder att öka säkerheten i opensource-mjukvaror och Google betalar ut pengar till den som hittar buggar i OpenSSL sedan 2013.

Uppdatering: Även om OpenSSL 1.x är den vanligare versionen där ute så finns OpenSSL 3.x på rätt många ställen, bl.a. så skeppar Red Hat Enterprise Linux 9.x och Ubuntu 22.04 med OpenSSL 3.x som är sårbar.

Uppdatering 2: Lista med mjukvara som är berörd av patchen: https://github.com/NCSC-NL/OpenSSL-2022/blob/main/software/README.md

Apple startar ett bug-bounty program 💰

Äntligen! Det är inte en dag för tidigt att Apple nu äntligen startar upp ett bug-bounty program som betalar ut belöning till den som identifierar och rapporterar säkerhetsrelaterade sårbarheter.

Nästan alla företag och organisationer som tar säkerhet på allvar har någon form av belöning för den som rapporterar in sårbarheter (här kan du läsa om hur jag hittade en sårbarhet på Facebook).

Apple kommer att betala ut summor upp till 1.7 miljoner SEK (200,000$) vilket förhoppningsvis bidrar till att minska eventuella zero-days på svarta marknaden.

Utbetalningarna varierar enligt följande:

  • Sårbarheter i secure boot firmware komponenter: Upp till 1,7m SEK
  • Sårbarheter som möjliggör att data kan extraheras från Secure Enclave: Upp till 850k SEK
  • Exekvering av kod i kernel: Upp till 450k sek
  • Tillgång till iCloud data på Apples servrar: Upp till 450k SEK
  • Process i sandlåda som får tillgång till data utanför sandlådan: Upp till 200k SEK

Även så kräver Apple att det ska finnas Proof-of-concept kod samt att denna kod ska fungera på senaste Apple-hårdvaran samt senaste versionen av iOS.

Och en annan intressant twist är att Apple kommer att dubbla utbetalningen om den som får en säkerhetsbugg bekräftad, väljer att donera till välgörande ändamål.