Cyberbezpieczeństwo
Podatność w YubiKey Manager. Konieczna aktualizacja
Autor. Pete Linforth, https://pixabay.com/pl/illustrations/bezpiecze%C5%84stwo-cyber-internet-4907127/
Uwierzytelnianie dwuetapowe (2FA) z wykorzystaniem klucza fizycznego to jedno z najlepszych rozwiązań konfliktu pomiędzy bezpieczeństwem a komfortem użytkownika. Aplikacja zarządzająca kluczami YubiKey mogła posłużyć cyberprzestępcom do uruchomienia przeglądarki z uprawnieniami administratora, co pozwalało atakującym na złośliwe działania.
Yubico poinformowało, że YubiKey Manager GUI działające z uprawieniami administratora pozwalało na uruchomienie przeglądarki z tymi samymi uprawnieniami. Ważne jest to, że podatność była możliwa do wykorzystania jedynie lokalnie, co znacząco ograniczyło jej wagę.
Yubico określiło CVSS Score podatności jako 7.7. Jest również oznaczana jako CVE-2024-31498 lub YSA-2024-01.
Autor. https://developers.yubico.com/yubikey-manager-qt/Releases/
Czytaj też
Jak można zabezpieczyć się przed luką?
Tak jak w przypadku wielu podatności, podstawą jest zainstalowanie odpowiedniej aktualizacji. Według Yubico podatność nie może zostać wykorzystana w systemach, gdzie Microsoft Edge jest domyślną przeglądarką.
Z racji na brak publicznego exploitu i specyficzne warunki do wykorzystania podatności nie jest ona krytyczna, lecz na pewno warto zaaktualizować Yubikey Managera do najnowszej wersji.
Samo uwierzytelnianie za pomocą kluczy fizycznych jest jednym z najlepszych składników uwierzytelniania dwuetapowego. Sam mechanizm fizycznego składnika nie został skompromitowany. Jest to obecnie jeden z niewielu składników uwierzytelniania, który jest (praktycznie) niemożliwy do obejścia, w przeciwieństwie do np. kodów SMS.
Czytaj też
Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na:[email protected].
