Drivrutiner från över 20 tillverkare rapporteras vara osäkra

Permalänk
Melding Plague

Drivrutiner från över 20 tillverkare rapporteras vara osäkra

I en nyligen publicerad rapport har säkerhetsfirman Eclypsium kartlagt drivrutiner som innehåller allvarliga säkerhetsbrister. Över 20 tillverkare listas i rapporten.

Läs hela artikeln här

Permalänk
Medlem

Jaha? Är alla dessa tilltäppta nu i senaste version/revision?

Permalänk
Medlem

Jag tror fortfarande det är väldigt få som förväntar sig att kunna köra icke-betrodda program på Windows och ha dem helt isolerade, så som man förväntar sig på Android till exempel. Men det är ju trevligt om vi kommer dit en vacker dag.

Permalänk
Lyxfällan 🎮
Skrivet av trickeh2k:

Jaha? Är alla dessa tilltäppta nu i senaste version/revision?

Vad jag har kunnat se finns det ingen enhetlig lista över drivrutiner som åtgärdar dessa brister, eller ens ens specifika uppdateringar från de drabbade företagen, så i dagsläget är det bästa att hålla alla viktiga drivrutiner uppdaterade från officiellt håll.

De allra flesta sårbarheter som presenteras på säkerhetskonferenser har presenterats för drabbade företag långt i förväg, så sannolikt har de senaste drivrutinerna från de stora företagen redan uppdaterats med åtgärder. Jag uppdaterar nyheten om konkreta uppgifter om åtgärder blir tillgängliga.

Skickades från m.sweclockers.com

Permalänk
Medlem
Skrivet av ernstp:

Jag tror fortfarande det är väldigt få som förväntar sig att kunna köra icke-betrodda program på Windows och ha dem helt isolerade, så som man förväntar sig på Android till exempel. Men det är ju trevligt om vi kommer dit en vacker dag.

Problemet är internet. Du besöker icke betrodda hemsidor och javascript-kod körs i webbläsaren till exempel.
De flesta "förväntar" sig isolering av applikationerna/processerna och sandboxing av webbsidor, vilket inte är fallet har det visat sig gång på gång.

Btw, Android har haft ruskigt många buggar där isolering inte öht fungerat. Applikationer som kan läsa minnet på andra osv.

Permalänk
Medlem

Alla som äger gammal hårdvara som inte får nya uppdateringar rycker på axlarna.

¯\_(ツ)_/¯

Permalänk
Medlem

Börjar bli ganska trött på alla säkerhetshål som kommer hela tiden. Vet inte om det är brist på intresse att göra det säkert, okunskap eller bara smarta människor som lyckas hitta säkerhetshål som nästan ingen skulle kunna tänka på att göra.

Oavsett vad är det ganska tröttsamt med allt det här. Vad kan jag göra, absolut ingenting.

Permalänk
Medlem

alla dessa säkerthets hål...jag går ut istället

Permalänk
Medlem
Skrivet av jehuty:

Börjar bli ganska trött på alla säkerhetshål som kommer hela tiden. Vet inte om det är brist på intresse att göra det säkert, okunskap eller bara smarta människor som lyckas hitta säkerhetshål som nästan ingen skulle kunna tänka på att göra.

Oavsett vad är det ganska tröttsamt med allt det här. Vad kan jag göra, absolut ingenting.

Det är mångt och mycket en industri som aldrig bryr sig om kvalitet generellt.
Hur skulle resten av världen fungera om den hade samma hantering av buggar och kvalitetsbrister som mjukvara.
Lägg därtill en accelerering av behov, alltså fler ska ha mjukvara som gör att fler inte så duktiga börjar producera prylar också.

Många företag, som tex Microsoft har ju gått över till agilt arbetsätt, sparkade alla testare och gjorde kunden till testarna. Det kommer aldrig leda till högre kvalitet för kunden.

Permalänk
Medlem

Alla dessa säkerhetshål man läser om konstant, har dessa någon betydelse alls för en person som surfar och spelar på sin PC? (Själv är jag inte särskilt orolig)

Permalänk
Medlem
Skrivet av Korppi:

Alla dessa säkerhetshål man läser om konstant, har dessa någon betydelse alls för en person som surfar och spelar på sin PC? (Själv är jag inte särskilt orolig)

Ja, men du blir sannolikt inte så påverkad eftersom du uppdaterar sannolikt webbläsare+operativsystem.
Hade vi levt i den värld vi hade för 20år sedan då folk körde samma webbläsarversion under mycket lång tid, då skulle det oerhört snabbt dyka upp sidor som exploitar din dator.

Testa tex att sätta en WindowsXP-dator utan brandvägg från internet och se vad som händer.
Eller för den delen vilken version av windows som helst som har en patchnivå äldre än Mars 2017.
Datorn kommer bli hackad inom någon timme om du sitter på en publik ip.

Permalänk
Medlem
Skrivet av loevet:

Vad jag har kunnat se finns det ingen enhetlig lista över drivrutiner som åtgärdar dessa brister, eller ens ens specifika uppdateringar från de drabbade företagen, så i dagsläget är det bästa att hålla alla viktiga drivrutiner uppdaterade från officiellt håll.

De allra flesta sårbarheter som presenteras på säkerhetskonferenser har presenterats för drabbade företag långt i förväg, så sannolikt har de senaste drivrutinerna från de stora företagen redan uppdaterats med åtgärder. Jag uppdaterar nyheten om konkreta uppgifter om åtgärder blir tillgängliga.

Skickades från m.sweclockers.com

Nej, jag kan ju till viss del förstå att man inte går ut med exakt vilka som är drabbade osv. Men det vore ju bra att veta om man är tvungen att uppdatera till en viss version där man kan bekräfta att säkerhetshålet är tilltäppt. Tänker framförallt på grafikkortsdrivrutiner som kan vara en rätt stor skillnad på hur de presterar vi vissa spel där man kanske valt att behålla dessa äldre, eftersom prio ligger på sitt favoritspel.

Permalänk
Medlem
Skrivet av Sidde:

Det är mångt och mycket en industri som aldrig bryr sig om kvalitet generellt.
Hur skulle resten av världen fungera om den hade samma hantering av buggar och kvalitetsbrister som mjukvara.
Lägg därtill en accelerering av behov, alltså fler ska ha mjukvara som gör att fler inte så duktiga börjar producera prylar också.

Många företag, som tex Microsoft har ju gått över till agilt arbetsätt, sparkade alla testare och gjorde kunden till testarna. Det kommer aldrig leda till högre kvalitet för kunden.

"Aldrig bryr sig om" är inte detsamma som "vill/kan inte lägga tillräckliga resurser" - det är inte digitalt, inte antingen eller.

Visst säkerhetsarbete görs givetvis hos de allra flesta företag, men för den med tillräckliga resurser (oavsett om det är välorganiserade kriminella organisationer finansierade av någon skrupellös stat, eller någon random löst sammanknuten grupp mjukvarufolk) går det mesta att kringgå. Det handlar om hur mycket resurser som kan och vill läggas, från båda sidor.

Vilken konsument hade betalat rejält höjda priser på hårdvara X endast för att företaget skulle kunna anställa tusentals personal som enbart arbetar med säkerhet? (Som tyvärr inte ger någon kännbar skillnad för användare eller företagsledning - detta i sig är ett problem som alla som arbetat med ex. kundtjänst mer än väl känner till. Förebyggande eller problemlösande arbete är i regel svårt att mäta effekten av, vilket gör det mindre lockande att investera i. Och tyvärr garanterar inte ens enorma resurser i sådant arbete en total säkerhet.)

Permalänk
Avstängd

Aha det är därför jag förlorat så pass i dota2 på senaste

¯\(°_o)/¯

Skickades från m.sweclockers.com

Permalänk
Skrivet av Sidde:

Ja, men du blir sannolikt inte så påverkad eftersom du uppdaterar sannolikt webbläsare+operativsystem.
Hade vi levt i den värld vi hade för 20år sedan då folk körde samma webbläsarversion under mycket lång tid, då skulle det oerhört snabbt dyka upp sidor som exploitar din dator.

Testa tex att sätta en WindowsXP-dator utan brandvägg från internet och se vad som händer.
Eller för den delen vilken version av windows som helst som har en patchnivå äldre än Mars 2017.
Datorn kommer bli hackad inom någon timme om du sitter på en publik ip.

Vad innebär det att datorn blir hackad och hamnar i en publik ip och hur kan man se det? Kommer dom att komma åt hela ens hårddisk, ta kontrollen över datorn eller se ens surfvanor?

Permalänk
Medlem
Skrivet av igelkotte:

Vad innebär det att datorn blir hackad och hamnar i en publik ip och hur kan man se det? Kommer dom att komma åt hela ens hårddisk, ta kontrollen över datorn eller se ens surfvanor?

Du har säkert redan har ett publikt ip, alltså att vem som helst på internet kan ansluta hem till dig. (De flesta har detta men har en router som inte skickar vidare anropen till din dator).

Och om du inte har routern där till exempel och dessutom inte uppdaterar ditt operativsystem regelbundet. Då kommer automatiserade script/botar ta över din dator. De kommer komma åt hela din disk ja, men sannolikt är de mer intresserade av att köra en cryptominer på din dator för det är trenden just nu.

Men, de skulle också kunna titta på allt du gör, norpa åt sig kortnummer till kreditkortet osv. eller stjäla dina lösenord och ta över din internetidentitet.

Permalänk
Medlem
Skrivet av Sidde:

Du har säkert redan har ett publikt ip, alltså att vem som helst på internet kan ansluta hem till dig. (De flesta har detta men har en router som inte skickar vidare anropen till din dator).

Och om du inte har routern där till exempel och dessutom inte uppdaterar ditt operativsystem regelbundet. Då kommer automatiserade script/botar ta över din dator. De kommer komma åt hela din disk ja, men sannolikt är de mer intresserade av att köra en cryptominer på din dator för det är trenden just nu.

Men, de skulle också kunna titta på allt du gör, norpa åt sig kortnummer till kreditkortet osv. eller stjäla dina lösenord och ta över din internetidentitet.

Edit:

Njae. Dom flesta kunder hos Internetoperatörer får inte ett Publikt IP man kan ansluta till som standard, utan måste beställas eller begäras ifrån operatören. Detta på grund av den akuta IPv4 bristen. Det enda undantag jag känner till är Banhof där jag själv fick ett Publikt IP man kan ansluta till redan när jag blev kund. Det är något jag fick reda på när jag hade behov för en sådan adress, och beställde. Då sa dom att man redan hade det. Man behöver dessutom inte ett sådant adressat om man inte driver någon form av tjänst eller server som ska vara åtkomligt utifrån. Routern har väldigt lite att göra med saken i det här fallet då det inte är den som avgör om anropen når servern på det sättet utan käppen i hjulet är på operatörsnivå och hur CG-NAT fungerar.

IPv4 lever på livsuppehållande insatser. Det lokala nätverket delar på en Publik IP-adress igenom olika former av NAT och Internetoperatören överlever på CG-NAT (aka LSN) där ett IPv4-adressat kan delegeras till flera kunder samtidigt. Det är när CG-NAT används som man inte kan nå en server på det lokala nätverket utifrån.Det är därför det är viktigt att vi blir av med NAT och övergår till IPv6, som har en närmast outsinlig adresserings-pool.

Permalänk
Medlem
Skrivet av Louwsy Shroom:

Edit:

Njae. Dom flesta kunder hos Internetoperatörer får inte ett Publikt IP man kan ansluta till som standard, utan måste beställas eller begäras ifrån operatören. Detta på grund av den akuta IPv4 bristen. Det enda undantag jag känner till är Banhof där jag själv fick ett Publikt IP man kan ansluta till redan när jag blev kund. Man behöver dessutom inte ett sådant adressat om man inte driver någon form av tjänst eller server som ska vara åtkomligt utifrån. Routern har väldigt lite att göra med saken i det här fallet då det inte är den som avgör om anropen når servern på det sättet.

IPv4 lever på livsuppehållande insatser. Det lokala nätverket delar på en Publik IP-adress igenom olika former av NAT och Internetoperatören överlever på CG-NAT (aka LSN) där en IPv4 kan delegeras till flera kunder. Det är när CG-NAT används som man inte kan nå en server på det lokala nätverket utifrån.

Det är därför det är viktigt att vi blir av med NAT och övergår till IPv6, som har en närmast outsinlig adresserings-pool.

Försökte göra en lite förenklad förklaring och som vanligt, förenklar man blir det lätt att man tar genvägar.
Men skulle gissa på att majoriteten av de svenska ISPerna i stadsnät och ADSL osv. har publika IP, men det kanske gått så fort att det är en minoritet nu som har det. Däremot på mobilsidan är det CGNAT överallt. Du är också i behov av en ej CGNATad förbindelse för att spela en hel del spel. Speciellt i tvspelsvärlden såsom Nintendo Switch eftersom normala NAT Traversel-tekniker inte kommer fungera

Tror du missförstår mig vad jag menar med routern också, försökte förklara konsekvensen, inte funktionen med den. För sätter du din opatchade dator direkt på ett publikt internet. Då kommer du få anslutningar mot dig. Tack vare att gemene man inte portforwardar genom sin gateway så skyddas de av alla botar och annat på internet. Men du kan likväl portforwarda port 445 till din windowsdator och bli terroriserad...

Ur ett IPv6-perspektiv kommer det bli oerhört viktigt för gemene man att skaffa sig vettiga dedikerade brandväggar eller gateways som inte portforwardar till dina klienter. Och jag vet att NAT inte är en säkerhetsfunktion, men det indirekt skapar en bättre säkerhet för hemanvändarna.

Permalänk
Medlem
Skrivet av Sidde:

Försökte göra en lite förenklad förklaring och som vanligt, förenklar man blir det lätt att man tar genvägar.
Men skulle gissa på att majoriteten av de svenska ISPerna i stadsnät och ADSL osv. har publika IP, men det kanske gått så fort att det är en minoritet nu som har det. Däremot på mobilsidan är det CGNAT överallt. Du är också i behov av en ej CGNATad förbindelse för att spela en hel del spel. Speciellt i tvspelsvärlden såsom Nintendo Switch eftersom normala NAT Traversel-tekniker inte kommer fungera

Tror du missförstår mig vad jag menar med routern också. För sätter du din opatchade dator direkt på ett publikt internet. Då kommer du få anslutningar mot dig. Tack vare att gemene man inte portforwardar genom sin gateway så skyddas de av alla botar och annat på internet. Men du kan likväl portforwarda port 445 till din windowsdator och bli terroriserad...

Ur ett IPv6-perspektiv kommer det bli oerhört viktigt för gemene man att skaffa sig vettiga dedikerade brandväggar eller gateways som inte portforwardar till dina klienter. Och jag vet att NAT inte är en säkerhetsfunktion, men det indirekt skapar en bättre säkerhet för hemanvändarna.

Det är lite för tidigt på morgonen för mig fortfarande. Insåg inte att du förenklade det till personen du riktade det. Rent tekniskt tror jag att dom flesta Internetoperatörer har en Publik IP-pool för dom som har behov av det av olika anledningar. Men vilka spel klarar inte CGNAT? Jag har iaf inte råkat ut för det, och jag hade bredbandsbolaget med bekräftat CGNAT adressat hos dom, och aldrig fått några bekymmer med onlinespel. Är det mer när man driver en server i det spelet du tänker på?

Permalänk
Medlem

@Louwsy Shroom: Tror att du blandar ihop statiska och dynamiska ip, båda är "publika ip". Men den statiska brukar vara en extra tjänst för privatpersoner som bara vissa operatörer erbjuder, då denna är mer riktad mot företag. Medans den dynamiska är den som privatpersoner oftast får använda, där du blir tilldelad en ip från en större pool av IP-adresser som operatörer har köpt och denna ip kan bli utbytt, oftast vid omstart av router.
De flesta operatörer som jag har använt har tilldelat sina kunder en public ip.

"Dubbel-nat" (CGNAT) är nog det du faktiskt tänker på som är motsatsen till "publik ip"

Permalänk
Medlem
Skrivet av Louwsy Shroom:

Det är lite för tidigt på morgonen för mig fortfarande. Insåg inte att du förenklade det till personen du riktade det. Rent tekniskt tror jag att dom flesta Internetoperatörer har en Publik IP-pool för dom som har behov av det av olika anledningar. Men vilka spel klarar inte CGNAT? Jag har iaf inte råkat ut för det, och jag hade bredbandsbolaget med bekräftat CGNAT adressat hos dom, och aldrig fått några bekymmer med onlinespel. Är det mer när man driver en server i det spelet du tänker på?

Jag har inget problem själv men som jag uppfattat det på jobbfikat så verkar ett flertal mulitplayer-spel på Switchen ha problemet. Tex super smash bros och splatoon 2. och det gäller för att spela helt vanliga matchar. (Gissar på att det är endel p2p-funktioner inbyggda i dessa spel.)

Permalänk
Medlem
Skrivet av nikwad:

@iBurningMan: Tror att du blandar ihop statiska och dynamiska ip, båda är "publika ip". Men den statiska brukar vara en extra tjänst för privatpersoner som bara vissa operatörer erbjuder, då denna är mer riktad mot företag. Medans den dynamiska är den som privatpersoner oftast får använda, där du blir tilldelad en ip från en större pool av IP-adresser som operatörer har köpt och denna ip kan bli utbytt, oftast vid omstart av router.
De flesta operatörer som jag har använt har tilldelat sina kunder en public ip.

"Dubbel-nat" (CGNAT) är nog det du faktiskt tänker på som är motsatsen till "publik ip"

Ja det har du rätt i, snurrade ihop Statisk/Dynamisk

Permalänk
Hedersmedlem

Detta kan vara början på isberget för dessa 20 företag som föredrar genvägar framför att bygga ordentliga produkter.

Nä, skämt åsido. Det här visar med all önskvärd tydlighet att osäkra drivrutiner är ett branschproblem, som inte är kopplat till ett fåtal företag. Frågan är bara, vad kan vi göra som konsumenter för att premiera bra säkerhet? När alla är lika dåliga alltså.

Permalänk
Avstängd

Jag skulle bli mer förvånad om jag inte hade flertalet säkerhetshål och myndigheter/företag som spionerade på mig.

Permalänk
Medlem

Tack för att ni skriver om detta, uppskattas!

Permalänk
Medlem

Inte ens lite förvånad över att se biosutvecklare som Insyde, AMI och Phoenix vara med. Det hela följs upp fint med en rad moderkortstillverkare som aldrig kunnat skriva mjukvara.

Permalänk

Tack för svaren @Sidde @Louwsy Shroom
Men själv sitter jag på ett mobilt nätverk hemma och då sitter inte jag på publikt ip? Eller förstår jag saken fel. Surfpotten med mobildata borde väl springa iväg också utifall att någon skulle vilja göra intrång? Åtminstone stjäla ens data eller använda den som någon cryptominer? Kanske inte tar så mycket data att hålla koll på en i alla fall.

Permalänk
Medlem
Skrivet av igelkotte:

Tack för svaren @Sidde @iBurningMan
Men själv sitter jag på ett mobilt nätverk hemma och då sitter inte jag på publikt ip? Eller förstår jag saken fel. Surfpotten med mobildata borde väl springa iväg också utifall att någon skulle vilja göra intrång? Åtminstone stjäla ens data eller använda den som någon cryptominer? Kanske inte tar så mycket data att hålla koll på en i alla fall.

Det var nog jag som gick lite offtopic i morgonsnurret

Permalänk
Medlem
Skrivet av igelkotte:

Tack för svaren @Sidde @iBurningMan
Men själv sitter jag på ett mobilt nätverk hemma och då sitter inte jag på publikt ip? Eller förstår jag saken fel. Surfpotten med mobildata borde väl springa iväg också utifall att någon skulle vilja göra intrång? Åtminstone stjäla ens data eller använda den som någon cryptominer? Kanske inte tar så mycket data att hålla koll på en i alla fall.

Sannolikt ingen publik ip då. Och du har säkerligen också en router som delar ut ditt nät till dina datorer. Det gör att anrop från internet som inte ansluter tillbaka genom upprättade sessioner du redan har kommer blockeras. Alltså alla script där ute som försöker exploita dig kommer bli nekade.

I vissa fall kommer det märkas på trafikmängd. Inte nödvändigtvis dock.

Men kör man Windows är risken att man får dålig mjukvara genom att det bundlas med ett program större. Eller om man laddar hem folks minecraft-moddar osv.

Permalänk
Skrivet av Sidde:

Sannolikt ingen publik ip då. Och du har säkerligen också en router som delar ut ditt nät till dina datorer. Det gör att anrop från internet som inte ansluter tillbaka genom upprättade sessioner du redan har kommer blockeras. Alltså alla script där ute som försöker exploita dig kommer bli nekade.

I vissa fall kommer det märkas på trafikmängd. Inte nödvändigtvis dock.

Men kör man Windows är risken att man får dålig mjukvara genom att det bundlas med ett program större. Eller om man laddar hem folks minecraft-moddar osv.

Japp har router. Men jag undviker ladda hem konstiga saker så det är nog ganska lugnt då