Websecurity - Веб безпека

Виявлена недостатня перевірка https в python-httplib - пакеті для Python.

Уразливі версії: python-httplib 2.

Сертифікат валідується тільки на першому запиті.

• Vulnerability in python-httplib2 (деталі)

У червні, 06.06.2013, вийшли PHP 5.3.26 та PHP 5.4.16. В яких виправлено біля 15 багів. Дані релізи направлені на покращення безпеки та стабільності гілок 5.3.x і 5.4.x.

Серед секюріті виправлень в PHP 5.3.26 та PHP 5.4.16:

• Виправлена Heap-based buffer overflow уразливість в функції php_quot_print_encode.

По матеріалам http://www.php.net.

У червні місяці Microsoft випустила 5 патчів. Що менше ніж у травні.

У червневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 5 бюлетенів по безпеці. Що закривають численні уразливості в програмних продуктах компанії. Один патч закриває 19 критичних уразливостей (всі вони стосуються Internet Explorer) та чотири патчі закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows XP, 2003, Vista, 2008, 7, 2008 R2, 8, 2012, RT. А також Microsoft Office, Internet Explorer та Flash Player в Internet Explorer для Windows 8, RT і 2012.

06.06.2013

Виявлені численні уразливості безпеки в Google Chrome та Chromium.

Уразливі продукти: Google Chrome 27.0, Chromium 27.0.

Використання пам’яті після звільнення, DoS, короткочасні умови, витік інформації, XSS.

• chromium-browser security update (деталі)

21.06.2013

Додаткова інформація.

• chromium-browser security update (деталі)

Виявлене переповнення буфера в PHP.

Уразливі версії: PHP 5.4.

Переповнення буфера у функції quoted_printable_encode().

• Heap-based overflow in PHP (деталі)

Виявлені численні уразливості безпеки в Apple Safari та WebKit.

Уразливі версії: Apple Safari 6.0.

Численні пошкодження пам’яті і міжсайтовий скриптінг.

• APPLE-SA-2013-06-04-2 Safari 6.0.5 (деталі)

За повідомленням www.xakep.ru, Microsoft передає 0day-експлоіти владі до виходу патчів.

Інформаційне агентство Bloomberg опублікувало статтю про те, як різні ІТ-компанії - так звані “довірені партнери” - співробітничають зі спецслужбами і добровільно діляться інформацією. Окремо в статті називається компанія Microsoft.

Microsoft Corp., найбільший у світі розробник програмного забезпечення, надає розвідувальним агентствам інформацію про баги у популярному ПЗ до випуску виправлення у відкритий доступ, повідомили чиновники, знайомі з цим процесом. Цю інформацію можуть використовувати для захисту урядових комп’ютерів і доступу на комп’ютери терористів чи військового супротивника.

Про те, що Microsoft співробітничає зі спецслужбами, розмови йшли давно. І ось офіційне підтвердження - компанія надає їм 0day-експлоіти до своїх продуктів до офіційного випуску патчів.

За повідомленням ain.ua, за крадіжку $15 млн. у США затримані хакери, якими керували двоє киян.

Нещодавно федеральна прокуратура Нью-Джерсі висунула карні обвинувачення в спробі крадіжки $15 млн. із рахунків американських і закордонних банків проти вісьмох чоловік. Принаймні двоє з них - українці, й проживають у Києві.

Передбачається, що на чолі кіберзлочинної схеми стоїть 33-літній киянин Олексій Шарапка, якому допомагав Леонід Яновицкий 38-ми років, що також проживає в Києві. За словами прокурора Нью-Джерсі, на даний момент обоє знаходяться на волі. Кібершахрайська схема була спрямована на банки й урядові відомства в США.

За повідомленням www.xakep.ru, хостер Hetzner виявив бекдор.

Увечері 6 червня німецька хостінг-компанія Hetzner розіслала лист своїм клієнтам з повідомленням про інцидент із безпекою. На початку місяця співробітники Hetzner знайшли невідомий бекдор в одній із внутрішніх систем моніторингу. Негайно було організоване розслідування, яке виявило, що скомпрометовано також інтерфейс керування виділеними рут-серверами, а фрагмент клієнтської бази даних скопійований на віддалений ресурс.

Паролі користувачів хостера зберігаються у вигляді хешів SHA256 із сіллю. Крім паролів, у скомпрометованій базі даних була часткова інформація про платіжні карти: три останні цифри номера карти, тип карти і дата закінчення дії. Хоча паролі і захешовані, але користувачам хостінга пропонується терміново змінити паролі.

Про бекдор на серверах хостера Hostgator я вже писав раніше. Нещодавно також був взломаний Linode. Останнім часом взломи хостінг-провайдерів стали дуже поширеними.

Виявлені численні уразливості безпеки в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 6, 7, 8, 9, 10 під Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7, Windows 8, Windows 2012 Server.

Численні пошкодження пам’яті.

• Microsoft Security Bulletin MS13-047 - Critical Cumulative Security Update for Internet Explorer (2838727) (деталі)

На початку року відбувся масовий взлом сайтів на сервері P-host. Він тривав у 2009 та у 2013 роках: 31.12.2009 та від 13.01.2013 до 05.05.2013.

Був взломаний сервер української компанії P-host. Взлом складався з багатьох невеликих дефейсів та одного крупного дефейсу сайтів. Масовий дефейс відбувся після згаданого повторного масового взлому сайтів на сервері Besthosting.

Всього було взломано 20 сайтів на сервері хостера P-host (IP 77.120.114.162). Це наступні сайти: sunrise.od.ua, veselo-mig.od.ua, solaris.od.ua, sotbi.com.ua, villadiana.com.ua, neo-biotechnology.com, alfa-fasad.com.ua, vipmasi.com, oasis-zatoka.od.ua, bestsite.in.ua, getman.od.ua, www.galaxie.com.ua, vnl.com.ua, cargo-euro.com, belwitec.com.ua, www.dak.gov.ua, paritet-info.com, www.blagfond-ch.com.ua, www.transavio.com.ua, www.vaz2110.net. Серед них український державний сайт www.dak.gov.ua.

З зазначених 20 сайтів 11 сайтів були взломані хакером SultanHaikal, 1 сайт хакером Hmei7, 1 сайт хакером s13doeL, 5 сайтів хакером Sejeal, 1 сайт хакером misafir та 1 сайт хакерами з 1923Turk.

У випадку крупного дефейса SultanHaikal, сайти могли бути атаковані хакером через взлом серверу хостінг провайдера. А всі невеликі дефейси по одному або декілька сайтів явно були зроблені при взломах окремих сайтів. Також не виключена можливість використання уразливостей на сервері для доступу до інших сайтів.

За повідомленням www.opennet.ru, образи Fedora Linux для хмарних систем створювалися c порожнім паролем для активного акаунта root.

Розробники проекту Fedora повідомили про виявлення уразливості в інструментарії livecd-tools, що приводила до створення образів хмарних оточень з порожнім паролем користувача root, без встановлення ознаки блокування даного акаунта.

Локальний користувач оточення, у тому числі створюваний за замовчуванням, міг дістати права користувача root, виконавши su без уведення пароля. Проблема посилюється тим, що вона торкнулася офіційних AMI-образів Fedora 15, 16, 17 і 18, підготовлених для хмарного сервісу Amazon.

За повідомленням www.xakep.ru, криптовалюти змінили обстановку в сфері ІТ-безпеки.

Директор по розробках компанії F-Secure, відомий фахівець з безпеки Мікко Хіппонен пояснив, чому зростаюча популярність криптовалют безпосередньо впливає на захист комп’ютерних систем.

Раніше ботнети розсилали спам чи брали участь у DDoS-атаках. А через поширення кібервалют таких як Bitcoin та Litecoin з’явився тип зловмисників із принципово новими задачами: встановити на комп’ютері користувача програму, що ніяк не буде себе виявляти, ніяк не буде взаємодіяти з користувачем, не буде красти конфіденційну інформацію і т.д., тільки тихо майніти біткоіни у фоновому режимі.

Я вже писав про випадки нелегального майнінга біткоінів. Останнім часом це стало актуальним.

За повідомленням ain.ua, в чернівецькій області шахраї “відмили” майже $4 млн. через електронні гаманці.

Співробітники Міндоходів Чернівецької області виявили і ліквідували схему ухилення від податків за допомогою використання новітніх інтернет-технологій. З використанням електронних гаманців група осіб за 2011-2013 роки здійснила оборот коштів на загальну суму більш $3,5 млн., 1,5 млн. руб і 2,5 млн. грн. Під час обшуку співробітники правоохоронних органів також вилучили “конвертовану” готівку на суму понад $10000.

А перед цим випадком податківці припинили діяльність іншого підприємства. У київській області підприємство незаконно конвертувало 70 млн. грн. із використанням системи електронних грошей. Цього року податкова активізувала свою діяльність в сфері електронних грошей.