(http://www.heise.de/imgs/18/6/9/4/3/5/8/ec5e5fd312bf399d.png)
Mit wechselndem ASCII-Art wollen
die Metasploit-Entwickler die Arbeit
mit der Konsole etwas angenehmer
gestalten.
Das beliebte Angriffs-Framework Metasploit (http://www.metasploit.com/download/) hat nach fünf Jahren Entwicklungszeit den Versionssprung auf 4.0 geschafft (https://dev.metasploit.com/redmine/projects/framework/wiki/Release_Notes_400). Das Release enthält 20 neue Exploits, mit denen man Rechner auf Schwachstellen untersuchen kann. Auch 14 neue Post-Exploitation-Module haben die Entwickler hinzugefügt. Mit diesen kann man unter anderem BitCoin-Brieftaschen entführen und Zugangsdaten gängiger FTP-Clients ausspionieren. Außerdem gibt es 3 neue Zusatzmodule (auxiliary modules).
Sechs der Exploits sind aus dem Metasploit Bounty Program hervorgegangen. Im Rahmen dieses Programms hat das Projektteam bis zu 500 US-Dollar Belohnung auf Exploits für bestimmte Lücken ausgeschrieben. Insgesamt bringt Metasploit nun 716 Exploits, 361 Zusatzmodule und 68 Post-Exploitation-Module mit. Die Palette der angreifbaren Systeme reicht von Windows über Solaris bin hin zu Apples Mobilbetriebssystem iOS. Auch SCADA-Systemen, die etwa in Kraftwerken zur Steuerung der Industrieanlagen eingesetzt werden, kann man mit Metasploit auf den Zahn fühlen.
Quelle : www.heise.de
Nachdem Rapid7 im Sommer dieses Jahres das Metasploit-Framework für Pentrationstests und zum Entwickeln von Exploits in einer neuen Version vorstellte, bringt das Unternehmen nun auch eine kostenlose Community Edition an den Start.
(http://www.pro-linux.de/images/NB3/imgdb/o_metasploit-community-edition.jpg)
Metasploit stellt ein Framework für Pentrationstests dar und beinhaltetet zahlreiche Exploit-Module, Hilfsmodule und Post-Module, die zum Aufdecken von Sicherheitslücken oder Problemen genutzt werden können. So können beispielsweise die Anwender mit der Software prüfen, ob sie eine verwundbare Version einer Anwendung nutzen, oder Fehler in den Server-Diensten aufspüren. Neben der Free Edition bietet der Hersteller seit der Veröffentlichung einer neuen Version vor zwei Monaten auch noch die Editionen »Metasploit Express« und »Metasploit Pro« an, die weniger Einarbeitungszeit erfordern bzw. mehr Möglichkeiten mitbringen, ein Zielsystem zu attackieren.
Wie Rapid7 nun bekannt gab, steht mit der »Metasploit Community Edition« nun eine weitere Variante des Programmes zum Bezug bereit. Die neue Edition vereint die Funktionalität der Pro-Version mit der kostenlosen Verfügbarkeit der Free-Variante. So enthält die neue Version dieselben Funktionen und die selbe Nexpose-Integration wie die Metasploit Pro-Version. Zudem setzt das Produkt auf die gleiche Oberfläche auf. Der Einsatz richtet sich sowohl an private Anwender als auch an Unternehmen, die die Funktionen von Metasploit testen wollen. So können auch in der Community Edition Administratoren das Netzwerk nach Systemen oder Rechnern mit bekannten Schwachstellen durchsuchen und sich ihre Auswirkung erklären lassen.
Metasploit Community Edition kann ab sofort vom Server des Unternehmens heruntergeladen werden (http://www.rapid7.com/products/metasploit-community.jsp). Um die neue Version nutzen zu können, wird eine einmalige Registrierung benötigt.
Quelle : http://www.pro-linux.de
Release Notes
Metasploit 4.9.2 and earlier vulnerable to OpenSSL vulnerabilities
The OpenSSL team today published a security advisory containing several critical vulnerabilities. The Metasploit editions Metasploit Pro, Metasploit Express, Metasploit Community and Metasploit Framework in versions 4.9.2 or earlier are vulnerable to these OpenSSL vulnerabilities, most notably CVE-2014-0224 and CVE-2014-0221. CVE-2014-0224 is exploited by Man-in-the-Middle (MITM) attacks that reduce the encryption strength of an SSL connection and therefore potentially expose transmitted data. CVE-2014-0221 is most likely to be limited to crashing systems using OpenSSL and is therefore a lesser concern.
Rapid7 is currently working on a security update and will announce its availability in this blog post as soon as it becomes available. To get alerted when this blog post is updated, please click the "Follow in" and select the "Email Update" option; please ensure that your Security Street preferences are set so that Security Street messages are forwarded to your email inbox.
How can I protect myself until an update is available?
Until the update is available and has been applied, Metasploit users should:
Only access the Metasploit web interface from a non-vulnerable browser. For the MITM attack to be successful, both the server and the client have to be vulnerable. The browsers officially supported by Metasploit are all non-vulnerable (see System Requirements), making the MITM attack fail even if the server is vulnerable.
Refrain from opening sessions since the communication between Meterpreter and Metasploit uses OpenSSL encryption.
We are continuing to research the impact these vulnerabilities may have on users and the industry. Once an update is available and you have applied it, you should cycle Metasploit user passwords.
Which Metasploit components are affected?
The following Metasploit components are affected :
Nginx
Ruby & Rails
Nmap
Postgres
Meterpreter
Is the Metasploit team working on modules to exploit these vulnerabilities?
You bet. Unfortunately, Tod broke our time machine last week so we were unable to release our exploits at the same time as the vulnerability disclosure but we're doing our best to catch up. If you have successfully written a module addressing any of these vulnerabilities, please create a pull request. We also accept Dogecoin donations to contribute towards our deductible for the time machine insurance policy. We'll update this blog post as modules become available.
UPDATE: Metasploit 4.9.3 available, addresses OpenSSL vulnerabilities (Updated 6/6/14, 2pm EST)
Metasploit release 4.9.3 is now available, addressing these vulnerabilities. Release notes: Metasploit 4.9.3 (Update 2014060501)
Recommended update procedure:
Update Metasploit and its dependencies to a non-vulnerable version
If you installed Metasploit using the binary installer from Rapid7.com
Enter the Metasploit Web UI at https://<METASPLOIT_IP>:3790/
Go to the Administration menu and choose the Software Update option.
Follow the instructions on your screen to update the software to version 4.9.3 or higher.
If you are using the pre-installed Metasploit version on Kali Linux
NOTE: The dependencies nmap, Ruby on Rails, and Postgres are provided by Kali Linux and beyond our control. Please check the Kali Linux website for more info.
On the command line, run: apt-get update && apt-get dist-upgrade
Kali Linux synchronizes its repositories with Debian every 6 hours
Verify that Nginx, Ruby, nmap and Postgres have updated to non-vulnerable versions
If you have used GitHub to install Metasploit Framework
Update using msfupdate command.
Update your local dependencies of Ruby, nmap, and Postgres to non-vulnerable versions
Change all Metasploit Pro/Express/Community user passwords that may have been compromised
If you have questions on this topic, please post a comment under this blog post or open a new discussion topic. If you are a Rapid7 customer, please feel free to contact our technical support team or your account executive for assistance.
New Modules
Incidentally, Metasploit 4.9.3 also includes some new modules since the last release. We've been kind of up to our eyeballs with patching and researching vectors for the new OpenSSL issues, so here's a quick update of new material since the end of May.
Exploit modules
ElasticSearch Dynamic Script Arbitrary Java Execution by juan vazquez, Alex Brasetvik, and Bouke van der Bijl exploits CVE-2014-3120
Auxiliary and post modules
ElasticSearch Indices Enumeration Utility by Silas Cutler (replaces the previous version)
EtherPAD Duo Login Bruteforce Utility by Karn Ganeshen
PocketPAD Login Bruteforce Force Utility by Karn Ganeshen
Windows Gather Enum User MUICache by TJ Glad
Weitere Infos : https://community.rapid7.com/community/metasploit/blog
https://community.rapid7.com/community/metasploit