Güvenlik Bülteni – 1

Juniper Firewall’larında Çıkan Son Açıklık, Hükümet Arka Kapılarının Riskini Bir Kez Daha Ortaya Koyuyor
Junipper Firewall’larında Ağustos 2012’den beri var olan açıklık 17 Aralıkta çıkartılan yamalar ile kapatılmaya başlandı. Etkilenen ScreenOS versiyonları 6.2.0r15 – 6.2.0r18 ve 6.3.0r12 – 6.3.0r20 arası olarak açıklandı. NSA tarafından konulması istenen Dual_EC rastgele sayı üretme algoritmasından kaynaklanan açıklıklar ile iki arka kapı kullanılabiliyor.
İlki saldırgana firewall üzerinde en yüksek yetkiye sahip yönetici ya da root yetkileri sağlıyor. Juniper “Bu zaafiyeti kullanarak tüm sistem ele geçirilebilir” yorumunda bulundu.
İkincisi ise şifrelenmiş VPN trafiğini dinleyen bir saldırganın anahtara sahip olmadan şifreyi çözmesini mümkün kılıyor.
Açıklığın temel sebebi Dual_EC rastgele sayı üretimi algoritmasının tahmin edilebilmesinden kaynaklanıyor. NSA’in bu algoritmanın mevcut zayıflığını bilerek standart haline gelmesini sağladığı biliniyor. Juniper konu ile ilgili kendi kodunu güvenli hale getirmek için Dual_EC algoritması ile üretilen rastgele sayıyı daha güçlü olan ANSI X.9.31 algoritmasından geçirerek son çıkan sayıyı kullanmak için geliştirme yapmış. Ancak yukarıda belirtilen verisyonlarda ANSI X.9.31 kodu bulunmasına rağmen sadece Dual_EC algoritmasından çıkan sayının kullanıldığı ortaya çıktı.
Juniper NetScreen Firewall’larındaki bu son olaylar ardından Cisco Systems her ihtimale karşı kendi kodlarını gözden geçireceklerini duyurdu. Güvenlik Direktörü Anthony Grieco Cisco cihazlarında arka kapı koymama politikaları olduğunu vurguladı.

Oracle’ın Güvenlik Güncellemeleri ile İlgili Yanlış Yönlendirmede Bulunduğunu Kamuoyuna Duyurması İstendi
Oracle’ın 850 milyon kullanıcısı olan Java uygulaması uzun zamandır güvenlik güncellemeleri ile ilgili sıkıntılar yaşamakta. En kötüsü ise senelerdir milyonlarca PC’nin güvenlik yaması almaması ya da güvenli olmaması yüzünden saldırıya açık olması.
Şimdi ise ABD hükumeti tarafından suçlanan Oracle cezasını çekmeye hazırlanıyor. Federal Ticaret Komisyonu (FTC) ile masaya oturan Oracle kullanıcılarını güvenlik yamaları ile ilgili kandırmak ile suçlanıyor.
Oracle’ın 2010 yılında Java’yısatınalması ardından güvenlik sorunlarının farkında olduğu ancak Java SE v6 u10 öncesi versiyonlar için yama çıkartmayarak ve eski sürümlerin de sistemden silinmesini göz ardı ederek bu versiyon öncesi olan tüm açıklıkları saldırganlar tarafından kullanılabilir halde bırakması FTC’nin bu suçlamasını haklı çıkartıyor.
FTC, java.com/uninstall sayfası üzerinden eski versiyonların kaldırılmasının tüm Java kullanıcıları için elzem olduğunu vurguluyor.

Kim Dotcom, ABD’ye İade Mücadelesini Kaybetti
İnternet milyoneri ve Megaupload kurucusu Kim Dotcom ve üç ortağı mahkemenin delilleri karşı konulamaz bulması ile Megaupload (şu an kapalı) sitesinin kitlesel telif hakkı ihlali gerekçesi ile ABD’ye iadesini uygun buldu.
Salı öğleden sonra, Yeni Zelanda Bölge Mahkemesi Yargıcı Nevin Dawson, ABD’nin Dotcom ve ortakları hakkında iade edilmelerini sağlayacak yeterli kanıtları sunduğunu açıkladı. ABD savcıları telif hakkı ihlali, haraç ve kara para aklama suçlarından yargılamak üzere Kim Dotcom, Mathias Ortmann, Bram vander Klok ve Finn Batao’yu bekliyor. 3 yıldır devam eden duruşmalar sonrası FBI ve ABD suçlu iadesi sürecini başlattı.

Çılgınca Smiley Göndererek Arkadaşınızın Whatsapp’ını Çökertebilirsiniz
Herhangi bir özel hazırlanmış mesaj ya da içerik olmadan sadece yaklaşık 4000 smiley göndermeniz bir kullanıcının Whatsapp uygulamasını çökertmeye yetiyor.
Bağımsız araştırmacı Indrajeet Bhuyan daha önce 2000 kelimelik (2kb boyutunda) özel hazırlanmış bir mesajın uzaktan Whatsapp uygulamasını çökerttiğini duyurmuştu. Whatsapp bu durumu text mesajlarına limit koyarak çözmüştü. Ancak emoji’ler için limit koymadığı ortaya çıkıyor.
Bhuyan’ın araştırması 65500-6600 karakter limiti olan uygulamanın 4000 smiley girişi sonrası yavaşladığını ancak daha limit aşılmadığı için devam edilebildiğini ancak sonunda “buffer overflow” hatası ile çöktüğünü ortaya çıkarttı.
Etkilenen uygulamalar:​WhatsApp for Android (Marshmallow, Lollipop ve Kitkat)
WhatsApp Web (Chrome, Opera ve Firefox)

Hyatt Hotel Ödeme Sistemlerinin Kredi Kartı Çalmak Üzere Yazılmış Bir Zararlı Yazılım ile Hacklendiğini Duyurdu
Hyatt Otelleri müşterilerine kredi kartı numaraları da dahil olmak üzere hassas bilgilerinin çalınmış olabileceği konusunda uyarılarda bulunuyor. Müşteri ödemelerinin gerçekleştirildiği bilgisayarlarda zararlı yazılım bulunmasının ardından şirketin ne kadar uzun süredir zararlının çalıştığı konusunda bilgi sahibi olmadığı açıklandı.
Saldırganın başarılı bir şekilde kredi kartı bilgisi çalmayı başarması ve ne kadar süredir zararlının çalıştığı konusunda ya da kaç hotelde zararlının bulunduğu konusunda şirket bir bilgi vermiyor. Sözcü Stephanie Sheppard, 30 Kasım tarihinde zararlıyı keşfettiklerini açıkladı, ancak üç haftadan uzun süre bunu neden açıklamadıklarını savunamadı.
Kaç müşterinin etkilendiği henüz bilinmese de Chicago menşeili şirketin 52 ülkede 627 mülükü olduğu biliniyor.

130 Ünlünün E-posta Hesapları Hacklendi; Senaryolar ve Seks Kasetleri Çalındı
Bahamalı 23 yaşındaki adam 130 ünlünün eposta hesabını hacklemek ve yayınlanmamış film ve tv senaryoları, seks kasetleri, resimler ve henüz çıkmamış bir albümü çalmak suçları ile tutuklandı.
Alonzo Knowles isimli hacker ünlü bir radyo sunucusuna ulaşarak yayındaki bir dizinin altı bölümünün senaryosunu satmaya çalıştı. Güvenlik güçlerine haber veren radyo sunucusu sayesinde suçlu yakalandı. Senaryoları ve sosyal güvenlik numaralarını $80.000 satmaya çalışırken yakalanan hacker elinde daha fazla şeyin olduğu bilgisini de verdi.​
Satmaya çalıştığı şeyler:​Üç komedi filmi senaryosu
Bir hip-hop biyografisi
Başka bir TV şovu
Aktör ve sporcuların sosyal güvenlik numaraları
130 ünlünün eposta ve telefon numaraları
Ünlülerin seks kasetleri