Steelseries gör en Razer – ger fullständiga rättigheter i Windows

Bra PR för Zowie som inte bundlar sina möss med massa värdelös mjukvara.

Men hur får Steelseries programvara adminbehörighet i sin tur? Måste inte en Admin godkänna det steget?

De roligare att hacka på Razer dock här på swec

Det här måste väl gälla specifikt den automatiska nedladdningen och installationen av drivrutiner? Tycker inte artikeln är riktigt tydlig där.

Låter inte alls omöjligt.
Om det är så, så är frågan varför Microsoft inte låser detta till enbart drivrutiner (lathet?).
Nu med Store så borde enbart drivrutinerna ligga hos Microsoft Update och övrig mjukvara i Store. Borde lösa problemet om det är ett bundlingsproblem.

Kanske inte så dumt med ett pålitligt säkerhetsprogram som barnvakt till systemet ändå? 😋

Bra att jag har Windows automatiska nedladdning av drivare avstängd med andra ord, det är en av de funktioner jag alltid stänger av direkt efter nyinstallation på alla maskiner jag har förfogande över. Kan t.ex. göras med ShutUp10.

Den stora skillnaden mellan Razer och Steelseries som företag är annars att Steelseries erkänner att problemet existerar och är allvarligt och inte försöker släta över det.

Man behöver inte ens deras hårdvara. Det räcker med att en USB-enhet uppger samma ID:n (Vendor/Product) till Windows för att Windows ska ladda ner och köra installationsprogrammet.

Jag skulle kunna slänga ihop en USB-nyckel som gör så med en $5 microcontroller på ett par minuter.
På en annan site så såg jag en mobil-app som gör det -- och att någon kopplar in en mobiltelefon "för att ladda den" brukar inte folk reagera på.

Även om Razer inte publicerat ett pressmeddelande eller liknande upplever jag inte att de "slätar över det". De har ju - iallafall enligt jonhat (som rapporterade problemet) - givit honom en bounty. Vidare har de börjat skicka statements till diverse nyhetssiter där de medger problemet och säger att de ska fixa det.

... Men jag kan hålla med om att "The use of our software (including the installation application) does not provide unauthorized third-party access to the machine." är ett lite tveksamt påstående ...

Ja precis, det var därför jag kikade på min gamla rootade Android-lur igår. Men den hade tyvärr en för gammal Linux-kernel för att usbgadget-tool.sh skulle fungera. Jag kikade också på USB/IP Project för att försöka spoofa VID/PID men har inte att fått det att fungera än. Andra verktyg som bör fungera (men som jag inte har tillgång till) är Facedancer21 eller O.MG Cable.

Imponerande att du fixar det på ett par minuter! 👍

kan tycka att detta är ganska löjligt med tanke på att du måste ha direkt kontakt med datorn, ungeffär som att försöka anklaga samsung för att vem som helst kan få tillgång till deras SSD-diskar genom att enkelt skruva upp datorn och ta ur SSD'n och då få tillgång till ALL data i datorn. ungeffär som att anklaga en bank för att dem förvarar pengar i banken och allt som krävs för att stjäla dem är en mindre armé och direkt tillgång till bankvalvet och en plasmaskärare

Så att någon, som inte ska ha det, får adminbehörighet är en försumbar risk?

Där håller jag verkligen inte med.

I och med detta säkerhetsproblem så kan man alltså, i teorin åtminstone, ge sig själv adminbehörighet där man inte ska ha den.

Visst, hemma på din spelburk spelar det nog ingen roll. Men det finns betydligt mycket viktigare datorer ute i världen där en adminbehörighet i fel händer kan ställa till med mycket huvudvärk

Att man måste ha tillgång till maskinen känns som det minsta problemet, även som det lättaste problemet för en ondsint person att lösa, i detta sammanhanget.

Så vitt jag vet har varken Razer- eller SteelSeries-sårbarheterna fått några CVEr, men avseende diskussionerna om detta verkligen är allvarliga problem eller inte så kan det vara värt att nämna att när man graderar en sårbarhet så görs det utifrån flera perspektiv, bl a:

• Attackvektor (Via internet, via samma nätverk, lokal eller fysisk åtkomst)

• Attackkomplexitet (Krav på förkunskaper, särskild utrustning, om det finns färdiga exploits, etc)

• Nödvändiga behörigheter (inga alls, vanliga, eller priviligerade)

• Interaktion med användaren (t ex om "offret" behöver luras till att göra något)

Ovanstående är fritt tolkat från CVSS-specifikationen, om ni vill läsa själva.

I de här fallen krävs fysisk åtkomst, vilket sänker allvarlighetsgraden jämfört med om det hade gått att utnyttja via internet. Däremot så krävs (i princip) ingen särskild utrustning eller avancerade kunskaper. Dessutom finns det färdiga exploits/verktyg för att underlätta en attack.

Så att jämföra dessa sårbarheter t ex med det faktum att man med god kunskap och särskild utrustning kan avläsa information genom att ansluta till en SATA-enhets kontakt-pins på en öppen och upp-och-nervänd dator känns inte helt rätt.

Det är vanligt att man hör resonemang i stil med "har man fysisk access kan man göra vad man vill" men det behöver inte vara sant. Har användaren bara vanliga behörigheter och om datorn är uppdaterad och krypterad med BitLocker så går det inte att eskalera sina behörigheter utan vidare. .. Och även om det är möjligt tycker jag inte det motiverar att man struntar i allt och ger upp.

Är inte säker på att det är så smart att göra jämförelser för jag gissar att folk kommer såga jämförelsen istället för att fokusera på essensen av vad jag ville förmedla ovan, men: Jag tänker inte sluta låsa dörren när jag går hemifrån bara för att någon med fysisk åtkomst kan slå sönder ett fönster.