Qualcomm ha rilasciato correzioni per la vulnerabilità zero-day CVE-2024-43047 (punteggio CVSS 7.8) nel Digital Signal Processor (DSP). Il problema riguarda decine di chipset ed è stato scoperto dagli esperti di Google Project Zero e Amnesty International.

Gli specialisti della sicurezza informatica hanno spiegato che la vulnerabilità è di tipo use-after-free e può portare alla corruzione delle informazioni in memoria se sfruttata con successo da aggressori locali (anche con bassi privilegi).

Come riportato da Qualcomm in un bollettino sulla sicurezza pubblicato questa settimana, gli esperti di Google TAG e Amnesty International hanno scoperto che la vulnerabilità è già stata sfruttata dagli aggressori. Non è ancora noto di che tipo di attacchi stiamo parlando.

Ma vale la pena notare che entrambi i gruppi di ricerca sono specializzati nelle vulnerabilità 0-day che vengono utilizzate in sofisticati attacchi di spionaggio rivolti a giornalisti, politici dell’opposizione, dissidenti e così via.

“Secondo il Google Threat Analysis Group, CVE-2024-43047 potrebbe essere soggetto a sfruttamento limitato e mirato”, ha avvertito Qualcomm. “Le patch per questo problema che interessa il driver FASTRPC sono già state fornite agli OEM e si consiglia vivamente di aggiornare i dispositivi interessati il ​​prima possibile.”

È noto che il problema interessa più di 60 chipset, inclusi i prodotti delle serie FastConnect, QCA, QCS, Video Collaboration, SA, SD, SG, Snapdragon, SW, SXR, WCD, WCN e WSA. In particolare, sono vulnerabili Snapdragon 660 e i modelli più recenti, i modem Qualcomm 5G, nonché i kit Wi-Fi/Bluetooth FastConnect 6700, 6800, 6900 e 7800.

Oltre a questa vulnerabilità zero-day, Qualcomm ha corretto altri 19 bug nei suoi prodotti. Tra questi problemi, possiamo notare il bug critico CVE-2024-33066 (9,8 punti sulla scala CVSS), associato ad un’errata validazione dell’input nel gestore delle risorse WLAN.

L'articolo Aggiornamenti urgenti per i chipset Qualcomm: Vulnerabilità sfruttata in attacchi mirati proviene da il blog della sicurezza informatica.

Visualization of the Sun-Earth Lagrange points.
Orbital mechanics is a fun subject, as it involves a lot of seemingly empty space that’s nevertheless full of very real forces, all of which must be taken into account lest one’s spacecraft ends up performing a sudden lithobraking maneuver into a planet or other significant collection of matter in said mostly empty space. The primary concern here is that of gravitational pull, and the way it affects one’s trajectory and velocity. With a single planet providing said gravitational pull this is quite straightforward to determine, but add in another body (like the Moon) and things get trickier. Add another big planetary body (or a star like our Sun), and you suddenly got yourself the restricted three-body problem, which has vexed mathematicians and others for centuries.

The three-body problem concerns the initial positions and velocities of three point masses. As they orbit each other and one tries to calculate their trajectories using Newton’s laws of motion and law of universal gravitation (or their later equivalents), the finding is that of a chaotic system, without a closed-form solution. In the context of orbital mechanics involving the Earth, Moon and Sun this is rather annoying, but in 1772 Joseph-Louis Lagrange found a family of solutions in which the three masses form an equilateral triangle at each instant. Together with earlier work by Leonhard Euler led to the discovery of what today are known as Lagrangian (or Lagrange) points.

Having a few spots in an N-body configuration where you can be reasonably certain that your spacecraft won’t suddenly bugger off into weird directions that necessitate position corrections using wasteful thruster activations is definitely a plus. This is why especially space-based observatories such as the James Webb Space Telescope love to hang around in these spots.

Stable and Unstable Stable

Although the definition of Lagrange points often makes it sound like you can put a spacecraft in that location and it’ll remain there forever, it’s essential to remember that ‘stationary’ only makes sense in particular observer’s reference frame. The Moon orbits the Earth, which orbits the Sun, which ultimately orbits the center of the Milky Way, which moves relative to other galaxies. Or it’s just the expansion of space-time which make it appear that the Milky Way moves, but that gets one quickly into the fun corners of theoretical physics.
A contour plot of the effective potential defined by gravitational and centripetal forces. (Credit: NASA)
Within the Earth-Sun system, there are five Lagrange points (L1 – L5), of which L2 is currently the home of the James Webb Space Telescope (JWST) and was the home to previous observatories (like the NASA WMAP spacecraft) that benefit from always being in the shadow of the Earth. Similarly, L1 is ideal for any Sun observatory, as like L2 it is located within easy communication distance

Perhaps shockingly, the L3 point is not very useful to put any observatories or other spacecraft, as the Sun would always block communication with Earth. What L3 has in common with L1 and L2 is that all of these are unstable Lagrange points, requiring course and attitude adjustments approximately every 23 days. This contrasts with L4 and L5, which are the two ‘stable’ points. This can be observed in the above contour plot, where L4 and L5 are on top of ‘hills’ and L1 through L3 are on ‘saddles’ where the potential curves up in one direction and down another.

One way to look at it is that satellites placed in the unstable points have a tendency to ‘wander off’, as they don’t have such a wide region of relatively little variance (contour lines placed far from each other) as L4 and L5 do. While this makes these stable points look amazing, they are not as close to Earth as L1 and L2, and they have a minor complication in the fact that they are already occupied, much like the Earth-Moon L4 and L5 points.

Because of how stable the L4 and L5 points are, the Earth-Moon system ones have found themselves home to the Kordylewski clouds. These are effectively concentrations of dust which were first photographed by Polish astronomer Kazimierz Kordylewski in 1961 and confirmed multiple times since. Although a very faint phenomenon, there are numerous examples of objects caught at these points in e.g. the Sun-Neptune system (Neptune trojans) and the Sun-Mars system (Mars trojans). Even our Earth has picked up a couple over the years, many of them asteroids. Of note that is the Earth’s Moon is not in either of these Lagrange points, having become gravitationally bound as a satellite.

All of which is a long way to say that it’s okay to put spacecraft in L4 and L5 points as long as you don’t mind fragile technology sharing the same region of space as some very large rocks, with an occasional new rocky friend getting drawn into the Lagrange point.

Stuff in Lagrange Points

A quick look at the Wikipedia list of objects at Lagrange points provides a long list past and current natural and artificial objects at these locations, across a variety of system. Sticking to just the things that we humans have built and sent into the Final Frontier, we can see that only the Sun-Earth and Earth-Moon systems have so far seen their Lagrange points collect more than space rocks and dust.

Starting with Sun-Earth, the L1 point has:

• Solar and Heliospheric Observatory (SOHO, ESA)
• Advanced Composition Explorer (ACE, NASA)
• Global Geospace Science WIND (GGS, NASA)
• Deep Space Climate Observatory (DSCOVR, NOAA)
• Aditya-L1 (ISRO)

These will be joined if things go well by IMAP in 2025 along with SWFO-L1, NEO Surveyor in 2027. These spacecraft mostly image the Sun, monitor solar wind, image the Earth and its weather patterns, for which this L1 point is rather excellent. Of note here is that strictly taken most of these do not simply linger at the L1 point, but rather follow a Lissajous orbit around said Lagrange point. This particular orbital trajectory was designed to compensate for the instability of the L1-3 points and minimize the need for course corrections.

Moving on, the Sun-Earth L2 point is also rather busy:

• Gaia space observatory (ESA)
• Spektr-RG astrophysics observatory (Russian-German)
• James Webb Space Telescope (JWST, NASA, ESA, CSA)
• Euclid space telescope (ESA)
• Chang’e 6 orbiter (CNSA)

Many of the planned spacecraft that should be joining the L2 point are also observatories for a wide range of missions, ranging from general observations in a wide range of spectra to exoplanet and comet hunting.

Despite the distance and hazards of the Sun-Earth L4 and L5 points, these host the Solar TErrestrial RElations Observatory (STEREO) A and B solar observation spacecraft. The OSIRIS-REx and Hayabusa 2 spacecraft have passed through or near one of these points during their missions. The only spacecraft planned to be positioned at one of these points is ESA’s Vigil, which is scheduled to launch by 2031 and will be at L5.

Contour plot of the Earth-Moon Lagrange points. (Credit: NASA)
Only the Moon’s L2 point currently has a number of spacecraft crowding about, with NASA’s THEMIS satellites going through their extended mission observations, alongside the Chinese relay satellite Queqiao-2 which supported the Chang’e 6 sample retrieval mission.

In terms of upcoming spacecraft to join the sparse Moon Lagrange crowd, the Exploration Gateway Platform was a Boeing-proposed lunar space station, but it was discarded in favor of the Lunar Gateway which will be placed i a polar near-rectilinear halo orbit (NRHO) with an orbital period of about 7 days. This means that this space station will cover more of the Moon’s orbit rather than remain stationary. It is intended to be launched in 2027, as part of the NASA Artemis program.

Orbital Mechanics Fun

The best part of orbits is that you have so many to pick from, allowing you to not only pick the ideal spot to idle at if that’s the mission profile, but also to transition between them such as when traveling from the Earth to the Moon with e.g. a trans-lunar injection (TLI) maneuver. This involves a low Earth orbit (LEO) which transitions into a powered, high eccentric orbit which approaches the Moon’s gravitational sphere of influence.

Within this and low-energy transfer alternatives the restricted three-body problem continuously applies, meaning that the calculations for such a transfer have to account for as many variables as possible, while in the knowledge that there is no perfect solution. With our current knowledge level we can only bask in the predictable peace and quiet that are the Lagrange points, if moving away from all those nasty gravity wells like the Voyager spacecraft did is not an option.

Top image: The Cosmic Cliffs of the Carina Nebula, one of the first images released from the James Webb Space Telescope.

hackaday.com/2024/10/09/lagran…

Microsoft ha avvisato gli utenti di un problema che potrebbe causare l’eliminazione di alcuni documenti da parte di Word per Windows invece di salvarli. Il problema riguarda solo gli utenti di Word per Microsoft 365 versione 2409 (build 18025.20104).

Microsoft ha confermato il problema quando gli utenti hanno iniziato a lamentarsi in massa ( 1 , 2 , 3 ) del fatto che Word stava eliminando alcuni file. Come ha spiegato l’azienda, il problema si verifica solo se l’utente chiude Word dopo aver modificato un documento e gli viene chiesto di salvarlo. Dopo aver salvato le modifiche in questo modo, il file potrebbe scomparire.

Inoltre, sui sistemi interessati, i file archiviati localmente potrebbero essere eliminati se i loro nomi contengono un carattere “#” e l’estensione del file è scritta in lettere maiuscole (ad esempio, .DOCX o .RTF).

Attualmente, gli sviluppatori stanno già studiando il problema e si consiglia alle vittime di adottare una serie di misure finché l’azienda non rilascia una patch. Quindi, se un file viene eliminato, Microsoft consiglia di controllare il Cestino (il file eliminato può essere ripristinato da lì) e, in generale, si consiglia agli utenti di salvare manualmente i documenti prima di chiudere Word, poiché in questo caso l’errore non viene visualizzato.

Inoltre, gli utenti interessati possono abilitare l’impostazione “Non mostrare la visualizzazione Backstage durante l’apertura o il salvataggio di file utilizzando le scorciatoie da tastiera” nel menu File -> Opzioni -> Salva. Un’altra soluzione alternativa consiste nel ripristinare temporaneamente una versione precedente finché Microsoft non rilascerà una correzione.

L'articolo Salvare o Cancellare? Il Nuovo Mistero di Word e dei file che scompaiono! proviene da il blog della sicurezza informatica.

If you remember a time when TV news sets universally incorporated a room full of clattering wire service teleprinters to emphasize the seriousness of the news business, congratulations — you’re old. Now, most of us get our news piped directly into our phones, selected by algorithms perfectly tuned to rile us up on whatever the hot-button issue du jour happens to be. Welcome to the future.

If like us you long for a simpler way to get your news, [Andrew Schmelyun] has a partial solution with this dot-matrix news feeder. It’s part of his effort to detox a bit from the whole algorithm thing and make the news a little more concrete. He managed to chase down a very old Star Micronics printer with a serial interface, which he got on the cheap thanks to the previous owner not being sure if it worked. It did, at least after some cleaning, and thanks to a USB-to-serial and the efforts of Linux kernel hackers through the ages, was able to echo output to the printer from a Raspberry Pi Zero W.

From there, getting a daily news feed was as simple as writing some PHP code to mine the APIs of a few selected services. We’re perplexed and alarmed to report that Hackaday is not among the selected sources, but we’re sure this was just a small oversight that will be corrected in version 2. The program runs as a cron job so that a dead-tree version of the day’s top stories is ready for [Andrew]’s morning coffee.

We’ve seen similar news printers before; we particularly like this roll-feed paper version. But for a seriously retro feel, we’d love to see this done on a real teletype.

hackaday.com/2024/10/09/dot-ma…

Internet si è evoluto in modo significativo negli ultimi decenni e la tecnologia che ne è alla base si è evoluta insieme ad essa. Una di queste innovazioni è QUIC, un nuovo protocollo di trasporto sviluppato da Google che promette di rendere Internet più veloce, più sicura e più affidabile. In questo articolo vedremo perché QUIC è stato un tale passo avanti, i suoi vantaggi e perché questo protocollo potrebbe rappresentare il fondamento del futuro delle comunicazioni Internet.

Cos’è QUIC?

Originariamente sviluppato e implementato da Google nel 2012, QUIC è un protocollo di rete universale a livello di trasporto. Lo scopo principale della sua creazione è migliorare le prestazioni delle applicazioni web che utilizzano il tradizionale TCP (Transmission Control Protocol). QUIC si basa sul protocollo Internet (IP) e in genere viene eseguito sullo User Datagram Protocol (UDP). Sebbene originariamente il nome QUIC fosse l’abbreviazione di “Quick UDP Internet Connections“, nella versione IETF è semplicemente il nome del protocollo, senza acronimo.

UDP è famoso per la sua velocità dovuta alla mancanza di costi aggiuntivi per stabilire una connessione, ma la sua affidabilità lascia molto a desiderare. TCP, d’altro canto, garantisce affidabilità, ma a scapito di una velocità inferiore a causa dei complessi meccanismi di handshake e di ritrasmissione dei pacchetti. QUIC, come nuovo protocollo, combina la velocità di UDP con l’affidabilità e la sicurezza di TCP e include anche le funzionalità di crittografia di TLS (Transport Layer Security).

Caratteristiche principali di QUIC

Creazione rapida della connessione

Uno dei principali vantaggi di QUIC è la riduzione della latenza di installazione della connessione. Il TCP tradizionale richiede un handshake in più passaggi per stabilire una connessione e diversi altri passaggi per impostare la crittografia tramite TLS. QUIC combina questi processi in un’unica “stretta di mano”, che può ridurre significativamente il tempo necessario per stabilire una connessione sicura.

Multiplexing senza blocco a causa della perdita di pacchetti

Uno dei problemi noti del TCP è il blocco head-of-line, quando la perdita di un pacchetto fa sì che tutti i pacchetti successivi attendano fino alla ritrasmissione. QUIC risolve questo problema utilizzando thread indipendenti all’interno di una singola connessione. Ciò significa che la perdita di un pacchetto in un flusso non blocca gli altri, rendendo il trasferimento dei dati più efficiente.

Crittografia integrata

QUIC è stato progettato pensando alla sicurezza fin dall’inizio. A differenza del TCP, dove la crittografia è un’opzione (implementata tramite TLS), in QUIC è richiesta per tutte le connessioni. Ciò garantisce che tutti i dati trasmessi utilizzando QUIC siano crittografati, fornendo un’esperienza Internet più sicura.

Gestione fluida delle modifiche alla rete

I dispositivi mobili spesso passano da una rete all’altra (ad esempio, dal Wi-Fi a una rete mobile), il che può causare connessioni intermittenti. Nel TCP tradizionale, qualsiasi modifica alla rete richiede il ristabilimento della connessione. QUIC, d’altra parte, dispone di meccanismi integrati per funzionare senza problemi quando la rete cambia, consentendo di mantenere le connessioni e mantenere prestazioni elevate senza dover ristabilire la connessione.

Latenza ridotta sulle riconnessioni

QUIC utilizza un ID univoco per ciascuna connessione anziché un indirizzo IP. Ciò consente ai server di riconoscere più rapidamente i dispositivi a cui si sono connessi in precedenza e di saltare alcuni passaggi di handshake quando si riconnettono, il che è particolarmente utile nelle reti ad alta latenza.

Perché QUIC è importante

QUIC è stato originariamente progettato per migliorare l’esperienza dei servizi Google, in particolare per gli utenti mobili. Tuttavia, i suoi vantaggi si estendono all’intera Internet. Grazie a connessioni più veloci e a una migliore elaborazione dei dati, le applicazioni web si caricano più velocemente, il che è particolarmente importante nelle aree con connessioni Internet lente o inaffidabili.

Streaming video e esperienza di gioco migliorati

Un’area in cui QUIC dà il meglio di sé è nelle applicazioni in tempo reale come lo streaming video, i giochi online e le videoconferenze. La bassa latenza e l’elevata velocità dei dati di QUIC garantiscono una riproduzione video più fluida e meno interruzioni. La capacità del protocollo di passare facilmente da una rete all’altra senza la necessità di riconnessione lo rende la scelta ideale per le applicazioni mobili.

Sicurezza avanzata per impostazione predefinita

La crittografia integrata del protocollo aiuta a migliorare la sicurezza complessiva del traffico Internet. Più servizi e applicazioni web passeranno all’utilizzo di QUIC, più sicura diventerà Internet nel suo insieme, proteggendo gli utenti dall’intercettazione dei dati e da altre minacce informatiche.

QUIC gioca un ruolo chiave nello sviluppo di HTTP/3, l’ultima versione dell’Hypertext Transfer Protocol. HTTP/3 viene eseguito su QUIC anziché su TCP, rendendo la navigazione web più veloce, più sicura e più affidabile. Con l’avvento di HTTP/3, QUIC svolgerà un ruolo importante nel plasmare il futuro di Internet.

Distribuzione globale di QUIC

Sebbene i vantaggi di QUIC siano evidenti, la sua adozione è limitata dall’impossibilità di ispezionare il traffico a livello di rete, come può essere fatto con TCP. Tuttavia, l’uso di QUIC sta crescendo rapidamente nei paesi in cui la maggioranza della popolazione accede a Internet tramite reti mobili. Oggi, QUIC è utilizzato dall’8,2% di tutti i siti web in tutto il mondo e HTTP/3 dal 31,1%.

Uno degli sviluppi promettenti basati su QUIC è MASQUE (Multiplexed Application Substrate over QUIC Encryption), un meccanismo che consente di proxare le connessioni e creare tunnel tra i server, garantendo l’anonimizzazione del traffico. Questo può essere utilizzato nelle VPN e in altri sistemi simili alla rete Tor, ma sfruttando QUIC.

Conclusione

QUIC non è solo un modo più veloce per navigare in Internet, ma rappresenta un cambiamento fondamentale nell’approccio alla trasmissione dei dati in Internet. Combinando le migliori qualità di TCP e UDP, fornendo crittografia e migliore gestione delle condizioni di rete odierne, QUIC è destinato a diventare la base per un’esperienza Internet più veloce, sicura e affidabile. Man mano che HTTP/3 continua a guadagnare popolarità e sempre più aziende adottano QUIC, vedremo miglioramenti significativi in ​​aree come il cloud gaming, lo streaming e la comunicazione dei dispositivi IoT. Il futuro di Internet sembra luminoso e QUIC sta illuminando la strada.

L'articolo QUIC: Il Futuro Della Trasmissione Dei Dati su Internet Sta Arrivando! proviene da il blog della sicurezza informatica.