TheNote
RSS-Projekt Null Notiz
GooglePlay AppStore

RSS-Projekt Null

Die Webseite von Google's Project Zero ist eine umfassende Ressource zum Auffinden und Beheben von Sicherheitslücken in Software. Es wird von Googles Sicherheitsforschungsteam geleitet und enthält detaillierte Analysen von Sicherheitsproblemen, Anleitungen und Tutorials für Entwickler, um ihnen zu helfen, Sicherheitslücken in ihren Produkten zu vermeiden.
RSS googleprojectzero.blogspot.com
Project Zero googleprojectzero.blogspot.com
RSS Hunter RSS Hunter • 22. Aug. 2024

Notizfaden

Zeigerlecks durch zeigerbasierte Datenstrukturen

Google Project Zero diskutierte die Notwendigkeit von Remote-ASLR-Leaks zur Ausnutzung von Speicherfehlern auf Apple-Geräten. Dies führte zur Entdeckung einer Technik, die einen Zeiger remote leaken konnte, ohne Verletzungen der Speichersicherheit oder Timing-Angriffe. Die Methode gilt für Angriffsflächen, die Daten von Angreifern deserialisieren, re-serialisieren und zurückgeben. Obwohl keine unmittelbare reale Angriffsfläche auf macOS/iOS identifiziert wurde, wurde die Technik anhand eines künstlichen Falls mit NSKeyedArchiver getestet. Das Problem wurde Apple gemeldet und behoben, obwohl aufgrund fehlender nachgewiesener realer Auswirkungen kein öffentlicher Bug-Tracker-Eintrag vorgenommen wurde. Diese neuartige Technik baut auf früheren Arbeiten im Zusammenhang mit Hash-Tabellen-Kollisionsangriffen auf. Historisch gesehen nutzten HashDoS-Angriffe die schlechteste Leistung von Hash-Tabellen, um Denial-of-Service zu verursachen. Frühere Forschungen deuteten auch darauf hin, Hash-Kollisionen zum Leaken von Adressen zu verwenden. Das HashDoS-Konzept kann als ein Angreifer betrachtet werden, der den Zugriff auf bestimmte Hash-Buckets verlangsamt. Dieses Prinzip wurde in Firefox genutzt, um Heap-Adressen durch Timing-Messungen von JavaScript Map-Einfügungen zu leaken. Das Iterieren über Zeiger-Schlüssel-Datenstrukturen kann auch Informationen über Objektadressen preisgeben. Serialisierungsmechanismen, insbesondere solche, die beliebige Objektgraphen zulassen, können unsicher sein. Apples NSKeyedUnarchiver arbeitet mit einer Whitelist von deserialisierbaren Klassen. Ein spezifischer Testfall zielt darauf ab, den Shared-Cache-Zeiger zu leaken, indem Angreifer-Daten mit NSKeyedUnarchiver deserialisiert und re-serialisiert werden. Der Hash des NSNull-Singleton-Objekts wird, wenn er nicht explizit behandelt wird, standardmäßig auf seine Adresse gesetzt, die im Shared Cache gespeichert ist. NSNumber-Instanzen werden je nach numerischem Wert unterschiedlich gehasht. Dictionaries verwenden Hash-Codes modulo der Anzahl der Buckets, um die Platzierung von Schlüsseln zu verwalten.
Pointer leaks through pointer-keyed data structures googleprojectzero.blogspot.com
RSS Hunter RSS Hunter • 26. Sept. 2025

Von Chrome-Renderer-Code-Ausführung zu Kernel mit MSG_OOB

Der bereitgestellte Text ist hauptsächlich CSS-Code, der zum Stylen von Webinhalten, insbesondere von Listen, verwendet wird. Er importiert Schriftarten von Googleusercontent. Der Code definiert verschiedene Listenstile und Aufzählungszeichen für verschiedene Listenklassen. Viele Klassen sind mit "lst-kix" und anschließenden alphanumerischen Bezeichnern versehen, was auf unterschiedliche Listenkonfigurationen hinweist. Diese Konfigurationen steuern wahrscheinlich das Aussehen von geordneten Listen mit unterschiedlicher Nummerierung (dezimal, kleinbuchstaben-lateinisch, kleinbuchstaben-römisch) und ungeordneten Listen mit verschiedenen Aufzählungszeichenformen (Kreise, Quadrate, Rauten). Die Eigenschaften counter-increment und counter-reset werden zur Verwaltung der Nummerierung von geordneten Listenelementen verwendet. Das Pseudoelement ::before wird verwendet, um die spezifischen Aufzählungszeichen oder Nummern für jedes Listenelement einzufügen. Die umfangreiche Verwendung von CSS-Klassen deutet auf die Notwendigkeit einer hochgradig individuellen und abwechslungsreichen Listenpräsentation auf einer Webseite hin. Der Gesamtzweck ist es, eine konsistente und ästhetisch ansprechende Listenformatierung in verschiedenen Kontexten sicherzustellen.
From Chrome renderer code exec to kernel with MSG_OOB googleprojectzero.blogspot.com
RSS Hunter RSS Hunter • 8. Aug. 2025

Richtlinien und Offenlegung: Ausgabe 2025

"Google Project Zero hat seine Richtlinie für die Schwachstellenmeldung aktualisiert und ein "90+30"-Modell eingeführt, um die Entwicklung und Übernahme von Patches zu beschleunigen. Eine bedeutende Herausforderung bleibt jedoch bestehen: die "Patch-Lücke", die Verzögerung zwischen der Veröffentlichung eines Fixes und seiner Installation durch den Benutzer. Project Zero hat eine frühere Verzögerung identifiziert, die "upstream-Patch-Lücke", bei der Upstream-Anbieter bereits Fixes haben, aber downstream-Abhängige sie noch nicht integriert haben. Diese upstream-Lücke verlängert die Lebenszyklen von Schwachstellen erheblich. Um diesem Problem zu begegnen, wird eine neue Testrichtlinie, "Berichtstransparenz", angekündigt. Diese Testrichtlinie sieht vor, dass innerhalb einer Woche nach Meldung einer Schwachstelle öffentlich bekannt gegeben wird, einschließlich des Anbieters, des Produkts, des Meldedatums und des Fristen für die Offenlegung. Die Kernpolitik von 90+30 bleibt bestehen, und auch Google Big Sleep testet diese Richtlinie. Ziel ist es, die upstream-Patch-Lücke durch erhöhte Transparenz zu verringern, downstream-Abhängige zu informieren und bessere Kommunikation zu fördern. Der Test zielt darauf ab, die Zeit von der Meldung bis zur Installation auf dem Benutzergerät zu verfolgen und hervorzuheben, wenn Fixes nicht angewendet werden. Bis zum Fristablauf werden keine technischen Details veröffentlicht; dies ist eine Warnung, kein Leitfaden für Angreifer. Einige Anbieter mögen unerwünschte Aufmerksamkeit erfahren, aber die Vorteile überwiegen die Risiken für eine Minderheit. Das ultimative Ziel ist ein sichereres Ökosystem, in dem Schwachstellen auf Benutzergeräten behoben werden. Dies ist ein Test, und Project Zero wird die Auswirkungen überwachen und die Richtlinien entsprechend anpassen."
Policy and Disclosure: 2025 Edition googleprojectzero.blogspot.com
RSS Hunter RSS Hunter • 29. Juli 2025

Das Windows-Registrier-Abenteuer Nr. 8: Praktische Ausnutzung von Hive-Speicher-Korruption

Der bereitgestellte Text ist ein CSS-Stylesheet, das verschiedene Listenstile und Zähler definiert. Es verwendet die Schrift-API von Google, um Schriftarten zu importieren. Das Stylesheet definiert Zähler und Listenstile für verschiedene Listen-Identifikatoren, wie kix_8kp8wobudiou, kix_qux0xwfdwk15 und kix_hyrlma59f00u. Jeder Listen-Identifikator hat mehrere Zähler und Listenstile definiert, einschließlich Dezimal-, Kleinbuchstaben-Latein- und Kleinbuchstaben-Römisch-Stile. Das Stylesheet definiert auch Listenstile für geordnete Listen (ol) und ungeordnete Listen (ul). Die Zähler werden für jedes Listenelement inkrementiert und die Listenstile werden mit der content-Eigenschaft definiert. Das Stylesheet definiert insgesamt 134 Listenstile und Zähler. Die Listenstile und Zähler werden verwendet, um Listen in einem Dokument oder einer Webseite zu formatieren. Das Stylesheet ist in CSS geschrieben und verwendet verschiedene Eigenschaften und Selektoren, um die Listenstile und Zähler zu definieren.
The Windows Registry Adventure #8: Practical exploitation of hive memory corruption googleprojectzero.blogspot.com
RSS Hunter RSS Hunter • 28. Mai 2025

Das Windows-Registrierungsabenteuer #7: Analyse der Angriffsfläche

"Dieser Text scheint CSS-Code zu sein, der für das Styling von HTML-Elementen konzipiert wurde. Er verwendet die @import-Regel, um eine Schriftart von Google Fonts zu importieren. Der Rest des Codes definiert verschiedene Listenstile mithilfe lst-kix_... und Regeln wie li:before{content:"..."}. Diese Regeln erstellen unterschiedliche Aufzählungspunkte und Nummerierungssysteme für geordnete und ungeordnete Listen. Der Code verwendet counter-increment`, um die Listennummerierung zu verwalten. Insgesamt setzt der CSS-Code eine benutzerdefinierte visuelle Formatierung für Listenelemente innerhalb einer Webseite ein."
The Windows Registry Adventure #7: Attack surface analysis googleprojectzero.blogspot.com
RSS Hunter RSS Hunter • 23. Mai 2025

Überschreiten der Schallgrenze Teil I: Fuzzing von CoreAudio mit Mach-Nachrichten

Der bereitgestellte scheint ein CSS-Stylesheet für ein Google-Dokument zu sein. Das Stylesheet definiert verschiedene Listenstile und Zähler für unterschiedliche Listentypen. Es spezifiziert das Aussehen von Listenelementen, einschließlich der Verwendung von Unicode-Zeichen für Aufzählungszeichen und die Formatierung von Zählern. Das Stylesheet definiert mehrere Listentypen, jeder mit seinem eigenen Satz von Stilen und Zählern. Es definiert auch Stile für verschachtelte Listen und spezifiziert das Aussehen von Listenelementen. Das Stylesheet verwendet CSS-Zähler, um Listenelemente automatisch zu nummerieren und definiert Stile für unterschiedliche Ebenen der Verschachtelung. Es spezifiziert auch das Aussehen von Listenelementen und definiert Stile für unterschiedliche Arten von Listen. Das Stylesheet ist ziemlich umfangreich und definiert eine breite Palette von Listen-Styling. Es scheint ein benutzerdefiniertes Stylesheet für ein bestimmtes Google-Dokument zu sein.
Breaking the Sound Barrier Part I: Fuzzing CoreAudio with Mach Messages googleprojectzero.blogspot.com
RSS Hunter RSS Hunter • 9. Mai 2025

Das Windows-Registrier-Abenteuer #6: Kernel-Modus-Objekte

Der bereitgestellte Text scheint eine Sammlung von CSS-Stilen für Listen zu sein, einschließlich geordneter Listen (ol) und ungeordneter Listen (ul). Die Stile definieren die Listen-Element-Marker, wie z.B. Kontrollkästchen, Kreise und römische Zahlen. Es gibt multiple Listenstile definiert, jeder mit seinem eigenen Satz von Listen-Element-Markern und Zählern. Einige Listenstile haben spezifische Zähler, wie z.B. Dezimal-, Klein-Römisch- oder Klein-Latein-Zähler. Die Zähler werden verwendet, um die Listen-Elemente zu nummerieren. Der Text definiert auch verschiedene Listen-Element-Marker, einschließlich Kontrollkästchen, Kreisen und Quadraten. Einige Listenstile haben eine Mischung von Marker-Typen, während andere einen einzigen Typ durchgängig verwenden. Die Stile werden durch eindeutige Klassennamen identifiziert, wie z.B. lst-kix_404916xkl9yq-0. Insgesamt bietet der Text eine umfassende Sammlung von Listenstilen für die Verwendung in HTML-Dokumenten.
The Windows Registry Adventure #6: Kernel-mode objects googleprojectzero.blogspot.com
RSS Hunter RSS Hunter • 16. Apr. 2025

Vorbei an WebP blasen

Der NSO BLASTPASS iMessage-Exploit war eine Zero-Click- und Zero-Day-Schwachstelle, die iPhones mit der neuesten Version von iOS ohne jegliche Interaktion des Opfers kompromittierte. Der Exploit nutzte PassKit-Anhänge mit schädlichen Bildern, die von einem Angreifer-iMessage-Konto an das Opfer gesendet wurden. Apple veröffentlichte am 7. September 2023 ein außerplanmäßiges Sicherheitsupdate für iOS, um die Schwachstelle zu beheben. Das WebP-Team veröffentlichte ebenfalls einen Lösungsvorschlag für das Problem, der später in Chrome integriert wurde.Die Ursache der Schwachstelle war ein Speicherbeschädigungsproblem im WebP-Format für verlustfreie Bilder, insbesondere in der im Format verwendeten Huffman-Codierung. Die Schwachstelle ermöglichte es einem Angreifer, ungültige Huffman-Bäume zu definieren, was zu Speicherbeschädigung beim Erstellen der Decodierungstabelle führen konnte. Allerdings war das Beschädigungs-Primitiv begrenzt, und das Parsen des Bildes würde kurz nach Auslösung des Fehlers stoppen.Die Ausnutzung der Schwachstelle war ein Rätsel, da unklar war, wie man einen Exploit in einer einmaligen Zero-Click-Konfiguration landen konnte. Das Beschädigungs-Primitiv war sehr begrenzt, und ohne Zugriff auf die Samples war es fast unmöglich zu wissen, wie man die Schwachstelle ausnutzen konnte.Mitte November erhielt der Autor eine Reihe von BLASTPASS PKPass-Beispieldateien und Crash-Logs von fehlgeschlagenen Exploit-Versuchen, die es ihm ermöglichten, die Samples zu analysieren und herauszufinden, wie der Exploit funktionierte. Die Analyse ergab, dass die Schwachstelle durch das Senden einer schädlichen Bilddatei ausgenutzt wurde, die das Speicherbeschädigungsproblem auslöste, und dass dann das begrenzte Beschädigungs-Primitiv verwendet wurde, um beliebigen Code auszuführen.Das WebP-Format ist ein relativ modernes Bilddateiformat, das Huffman-Codierung zur Komprimierung von Bildern verwendet. Das verlustfreie Format verwendet einen RIFF-Container und ein separates verlustfreies Format, in dem die Schwachstelle gefunden wurde. Die Schwachstelle befand sich in der Huffman-Codierung, die im verlustfreien Format verwendet wird, insbesondere in der Art und Weise, wie die Decodierungstabelle erstellt wird.Die Analyse der Samples durch den Autor ergab, dass der Exploit eine Kombination von Techniken verwendete, um beliebigen Code auszuführen, einschließlich der Verwendung des begrenzten Beschädigungs-Primitivs, um einen Funktionszeiger zu überschreiben und dann den schädlichen Code auszuführen. Die Analyse ergab auch, dass der Exploit hochkomplex war und ein tiefes Verständnis des WebP-Formats und der darin verwendeten Huffman-Codierung erforderte.Insgesamt war der NSO BLASTPASS iMessage-Exploit eine hochentwickelte und komplexe Schwachstelle, die ein tiefes Verständnis des WebP-Formats und der darin verwendeten Huffman-Codierung erforderte. Die Ausnutzung der Schwachstelle war ein Rätsel, aber die Analyse der Samples ergab, dass es möglich war, beliebigen Code mithilfe einer Kombination von Techniken auszuführen.
Blasting Past Webp googleprojectzero.blogspot.com
RSS Hunter RSS Hunter • 26. März 2025

Windows-Fehlerklasse: Zugriff auf abgefangene COM-Objekte mit IDispatch

James Forshaw, Forscher bei Google Project Zero, beschreibt die „Gefangenen-Objekt-Fehlerklasse“ in objektorientierten Remote-Technologien wie DCOM und .NET Remoting. Diese Technologien ermöglichen die Entwicklung objektorientierter Schnittstellen, die Prozess- und Sicherheitsgrenzen überschreiten können. Diese Flexibilität hat jedoch Nachteile, darunter das Potenzial für Rechteerhöhungen oder die Ausführung von Remote-Code.Nicht alle Objekte, die remotefähig sind, sind auch sicher. Einige Objekte, wie z. B. XML-Bibliotheken, können beliebigen Script-Code im Kontext eines XSLT-Dokuments ausführen. Wenn ein XML-Dokument-Objekt über die Grenze hinweg zugänglich gemacht wird, könnte ein Client Code im Kontext des Serverprozesses ausführen.Es gibt mehrere Szenarien, die diese Fehlerklasse einführen können, darunter das unbeabsichtigte Teilen unsicherer Objekte, die Verwendung asynchroner Marshalling-Primitive und der Missbrauch integrierter Mechanismen zum Suchen und Instanziieren von Objekten. Beispielsweise führten die Windows Runtime-Bibliotheken einen Fehler ein, indem sie Code zum bestehenden XML DOM Document v6 COM-Objekt hinzufügten, wodurch die runtime-spezifischen Schnittstellen verfügbar gemacht wurden. Dies ermöglichte es einem bösartigen Client, nach der alten IXMLDOMDocument-Schnittstelle zu fragen und diese zu verwenden, um ein XSLT-Skript auszuführen.Ein weiteres Beispiel sind die .NET-Klassen FileInfo und DirectoryInfo, die sowohl nach Wert als auch nach Referenz gemarshallt werden können und verwendet werden können, um eine neue Instanz des Objekts im Prozess des Servers zu erstellen. Ein Angreifer kann dies ausnutzen, indem er eine serialisierte Form des Objekts an den Server sendet, der dann eine neue Instanz des Objekts erstellt. Anschließend kann das erstellte Objekt zurückgelesen werden, wobei es per Referenz an den Angreifer gemarshallt wird.Das letzte erwähnte Szenario ist der Missbrauch der integrierten Mechanismen zum Suchen und Instanziieren von Objekten, um ein unerwartetes Objekt zu erstellen. Beispielsweise kann ein Angreifer in COM die CoCreateInstance-API verwenden, um ein beliebiges COM-Objekt im Kontext des Servers zu erstellen und es an den Client zurückgeben zu lassen. Dies kann ausgenutzt werden, indem ein XML DOM Document-Objekt auf dem Server erstellt, per Referenz an den Client gemarshallt und dann verwendet wird, um beliebigen Code im Kontext des Servers auszuführen.Diese Szenarien unterstreichen die Bedeutung einer sorgfältigen Abwägung der Sicherheitsaspekte bei der Verwendung objektorientierter Remote-Technologien und der Sicherstellung, dass nur sichere Objekte über Sicherheitsgrenzen hinweg geteilt werden.
Windows Bug Class: Accessing Trapped COM Objects with IDispatch googleprojectzero.blogspot.com
RSS Hunter RSS Hunter • 30. Jan. 2025

Tricks für die Windows-Exploitation: Fangen von virtuellen Speicherzugriffen (Update 2025)

James Forshaw von Google Project Zero veröffentlichte einen Blogbeitrag über die Entwicklung einer virtuellen Speicherzugriffsfalle unter Windows. Ziel dieser Falle ist es, das Lesen oder Schreiben an eine virtuelle Speicheradresse für eine erhebliche Zeitspanne zu unterbrechen. Dies kann zur Ausnutzung bestimmter Kernel-Schwachstellen verwendet werden. In seinem vorherigen Blogbeitrag schlug Forshaw die Verwendung einer SMB-Datei auf einem Remoteserver oder die missbräuchliche Nutzung der Cloud Filter API vor. Eine neue Funktion in Windows 11 24H2 ermöglicht jedoch den Missbrauch des lokalen SMB-Dateiservers, ohne dass ein Remoteserver benötigt wird. Diese Funktion erlaubt die Angabe des Ziel-TCP-Ports für den SMB-Client über die Kommandozeile, wodurch eine Verbindung zu einem gefälschten SMB-Server hergestellt werden kann. Die neue Funktion ermöglicht die Ausnutzung von Schwachstellen, die als "False File Immutability"-Bugs bekannt sind, und erfordert keinen Administratorzugriff. Forshaw hat seinen Beispiel-Fake-SMB-Server aktualisiert, um die Bindung an einen anderen Port zu ermöglichen, wodurch der Angriff lokal durchgeführt werden kann. Diese Änderung wurde in Windows 11 24H2, welches allgemein verfügbar ist, implementiert und ist standardmäßig aktiviert. Ein Administrator kann diese Funktion zwar über Gruppenrichtlinien deaktivieren, es ist jedoch unwahrscheinlich, dass Nicht-Enterprise-Benutzer diese Einstellung ändern. Forshaw glaubt, dass die standardmäßige Aktivierung dieser Funktion ein Fehler ist, der zukünftig Probleme für Windows verursachen könnte. Insgesamt bietet diese neue Funktion eine neue Möglichkeit, bestimmte Schwachstellen in Windows auszunutzen, und unterstreicht die Bedeutung sorgfältiger Überlegungen bei der Einführung neuer Funktionen in ein Betriebssystem.
Windows Exploitation Tricks: Trapping Virtual Memory Access (2025 Update) googleprojectzero.blogspot.com
RSS Hunter RSS Hunter • 30. Jan. 2025

Das Windows-Registrierungsabenteuer #5: Das regf-Dateiformat

Dieser Text enthält eine Reihe von CSS-Regeln zur Formatierung von geordneten und ungeordneten Listen. Er umfasst verschiedene Listenstile und Aufzählungspunkte, wie Kreise, Quadrate und Kleinbuchstaben, sowie Dezimal- und römische Ziffern für geordnete Listen. Der Text definiert außerdem mehrere Klassen für verschiedene Listentypen und ihre entsprechenden Aufzählungspunkte.
The Windows Registry Adventure #5: The regf file format googleprojectzero.blogspot.com
RSS Hunter RSS Hunter • 19. Dez. 2024

Der Qualcomm-DSP-Treiber - Ein unerwartet entdeckter Exploit

- Erste Untersuchung: Google erhielt Kernel-Panic-Logs von Amnesty International, die auf einen im-wild-Exploit (ITW) hinwiesen, der einen Qualcomm-Treiber angriff. - Analyse der Kernel-Panic-Logs: Ohne das Exploit-Beispiel stützte sich Project Zero/TAG auf die Kernel-Panic-Logs, um potenzielle Schwachstellen zu identifizieren. - Schwachstellenentdeckung: Vier der Panic-Logs enthielten nützliche Informationen, die zur Entdeckung von sechs Schwachstellen im Qualcomm-Treiber führten. - Hypothese zur Exploit-Strategie: Eine der Schwachstellen wurde als wahrscheinlich im ITW-Szenario ausgenutzt identifiziert, basierend auf den Crash-Logs. - Details der Fehler: Der Blog-Beitrag beschreibt jede der sechs entdeckten Schwachstellen, einschließlich technischer Details und Code-Snippets für jede. - Zusammenarbeit mit der Threat Analysis Group: Googles Threat Analysis Group (TAG) arbeitete mit Amnesty International zusammen, um die Artefakte bereitzustellen und bei der technischen Analyse zu unterstützen. - Reverse-Engineering-Herausforderung: Die Bestimmung der ausgenutzten Schwachstelle ohne das Exploit-Beispiel erforderte eine gründliche Analyse der Panic-Logs. - Begrenzte Informationen: Die Abwesenheit eines Exploit-Beispiels machte es schwierig, die ausgenutzte Schwachstelle genau zu bestimmen. - Dauer der Fehlersuche: Die Untersuchung und Entdeckung der Schwachstellen dauerte über zwei und ein halb Monate. - Bericht von Amnesty International: Amnesty International veröffentlichte einen Bericht über die gegen ihre Zielgruppe eingesetzten Exploits.
The Qualcomm DSP Driver - Unexpectedly Excavating an Exploit googleprojectzero.blogspot.com
RSS Hunter RSS Hunter • 16. Dez. 2024

Windows-Tooling-Updates: OleView.NET

Der Blog-Beitrag behandelt Verbesserungen am OleView.NET-Werkzeug, das darauf ausgelegt ist, die Angriffsfläche von Windows COM zu erkennen und Sicherheitslücken zu finden. Das Tool wurde auf der Microsoft Bluehat-Konferenz in Redmond vorgestellt. Es ist über das PowerShell-Gallery verfügbar und kann verwendet werden, um COM-Registrierungsartefakte in eine interne Datenbank zu parsen. Die Datenbank kann für zukünftige Verwendung gespeichert und mit der Benutzeroberfläche geteilt werden, um die Forschung zu erleichtern. Sicherheitsforschung in COM umfasst die Aufzählung potenzieller Klassen von Interesse, die Überprüfung der Zugänglichkeit und die Aufzählung exponierter Schnittstellen.
Windows Tooling Updates: OleView.NET googleprojectzero.blogspot.com
RSS Hunter RSS Hunter • 12. Dez. 2024

Einfaches Fuzzing von macOS-Kernel-Erweiterungen im Benutzerbereich mit IDA und TinyInst

Ivan Fratric von Google Project Zero diskutiert die Herausforderungen beim Fuzzing des AV1-Video-Decodings von Apple auf Apple-Geräten. Er erwähnt, dass trotz der Hardware-Unterstützung für AV1-Decodierung ein erheblicher Teil der Format-Parsing in Software innerhalb des Kernels, speziell in der AppleAVD-Kernel-Erweiterung, stattfindet. Fratric betont, dass er nicht der Erste war, der sich mit diesem Problem auseinandergesetzt hat, und erwähnt frühere Projekte wie Fairplay, Cinema time!, KextFuzz und Pishi. Er erklärt, dass sein Ansatz Kernel-Code in einen Benutzerbereich in einer leichten Weise lädt, im Gegensatz zum Fairplay-Projekt, das einen benutzerdefinierten Loader verwendet. Der Artikel erwähnt auch die Verwendung von IDA zum Dekompilieren von Code, was manuelle Korrekturen erfordert, und die Methode des KextFuzz-Projekts, Pointer-Authentifizierungsanweisungen durch einen Sprung zu einem Coverage-sammelnden Trampolin zu ersetzen.
Simple macOS kernel extension fuzzing in userspace with IDA and TinyInst googleprojectzero.blogspot.com
RSS Hunter RSS Hunter • 21. Nov. 2024

Vom Mittagsschlaf zum tiefen Schlaf: Die Verwendung großer Sprachmodelle, um Schwachstellen in echtem Code aufzuspüren

Das Big Sleep-Team hat einen zuvor unbekannten ausnutzbaren Stack-Buffer-Underflow in SQLite entdeckt, einem weit verbreiteten Open-Source-Datenbank-Engine. Die Schwachstelle wurde mithilfe einer Zusammenarbeit zwischen Google Project Zero und Google DeepMind gefunden und wurde den Entwicklern Anfang Oktober gemeldet. Das Problem wurde durch einen speziellen Wächterwert -1 verursacht, der in einem index-typisierten Feld verwendet wurde, was zu einer potenziell ausnutzbaren Bedingung in einem Release-Build führte. Die Schwachstelle wurde vom Big Sleep-Agent entdeckt, der ein Framework für large-language-model-assistierte Schwachstellenforschung verwendet. Der Agent konnte die Schwachstelle finden, indem er einen Seed-Commit analysierte und vorhandenes Wissen über SQLite anwendete. Das Big Sleep-Team glaubt, dass diese Arbeit ein enormes defensives Potenzial hat, da sie dazu beitragen kann, Schwachstellen in Software zu finden, bevor sie überhaupt veröffentlicht werden.
From Naptime to Big Sleep: Using Large Language Models To Catch Vulnerabilities In Real-World Code googleprojectzero.blogspot.com
RSS Hunter RSS Hunter • 1. Nov. 2024

Das Windows-Registrier-Abenteuer #4: Hive und die Registrier-Struktur

Der bereitgestellte Text ist eine Sammlung von CSS-Stilen für HTML-Listen. Die Stile definieren verschiedene Listenformate, einschließlich geordneter und ungeordneter Listen. Sie verwenden Zähler, um Listenelemente automatisch zu nummerieren. Die Zähler werden mit verschiedenen Stilen definiert, wie z.B. Dezimal, Kleinbuchstaben-Latein und Kleinbuchstaben-Römisch. Die Stile definieren auch den Inhalt der Listenelemente, einschließlich des Zählerwerts und eines Punkts. Einige Stile haben einen bestimmten Klassennamen, wie z.B. lst-kix_xrbpc8tfqvva-0, lst-kix_phgwltrvdlzg-0 und lst-kix_syb5po7nfbu-0. Die Stile werden verwendet, um das Aussehen von HTML-Listen anzupassen. Sie können verwendet werden, um verschiedene Arten von Listen zu erstellen, wie z.B. nummerierte Listen, Bullet-Listen und Buchstaben-Listen. Die Stile können auch verwendet werden, um das Aussehen der Listenelemente anzupassen, wie z.B. die Schriftart, die Farbe und den Abstand.
The Windows Registry Adventure #4: Hives and the registry layout googleprojectzero.blogspot.com
RSS Hunter RSS Hunter • 25. Okt. 2024