Websecurity - Веб безпека

Виявлене переповнення буфера в IBM Informix Dynamic Server.

Уразливі версії: IBM Informix Dynamic Server 11.50.

Переповнення буфера в SET COLLATION.

• IBM Informix Dynamic Server 11.50 SET COLLATION Stack OverFlow (деталі)

У жовтні, 18.10.2012, вийшли PHP 5.3.18 та PHP 5.4.8. В яких виправлено більше 20 багів. Дані релізи направлені на покращення стабільності гілок 5.3.x і 5.4.x.

Жодних уразливостей в цих версіях PHP виправлено не було.

По матеріалам http://www.php.net.

Виявлена можливість підвищення привілеїв в IBM DB2.

Уразливі продукти: IBM DB2 LUW 9.1, DB2 LUW 9.5, DB2 LUW 9.7, DB2 LUW 10.1.

Підвищення привілеїв через збережені процедури GET_WRAP_CFG_C и GET_WRAP_CFG_C2.

• XML file disclosure vulnerability via GET_WRAP_CFG_C and GET_WRAP_CFG_C2 (деталі)

Виявлені численні уразливості безпеки в Oracle Java та OpenJDK.

Уразливі продукти: Oracle JRE 6, JDK 6, JRE 7, JDK 7.

Знайдено 30 різних уразливостей.

• HP-UX Running Java, Remote Indirect Vulnerabilities (деталі)
• Oracle Java Font Processing Glyph Element Memory Corruption Vulnerability (деталі)
• Oracle Java Font Processing “maxPointCount” Heap Overflow Vulnerability (деталі)
• Oracle Java SE Critical Patch Update Advisory - October 2012 (деталі)

У жовтні місяці Microsoft випустила 7 патчів. Що більше ніж у вересні.

У жовтневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 7 бюлетенів по безпеці. Що закривають 20 уразливостей в програмних продуктах компанії. Один патч закриває дві критичні уразливості і шість патчів закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows XP, 2003, Vista, 2008, 7 та 2008 R2. А також Microsoft Word, SQL Server, Works та FAST Search Server.

У жовтні, 27.10.2012, вийшов Mozilla Firefox 16.0.2. Нова версія браузера вийшла через 18 днів після виходу Firefox 16 і через 15 днів після виходу попереднього коригувального релізу Firefox 16.0.1, і в ній виправлені три уразливості.

Доступні коригувальні випуски Firefox 16.0.2 і Firefox 10.0.10 з виправленням трьох критичних уязвимостей, пов’язаних з можливістю некоректного використання об’єкта Location. Зокрема усунута недоробка, що дозволяє здійснити підстановку фіктивного значення window.location і зробити обхід обмежень cross origin policy.

Це вже вдруге в цьому місяці Мозіла випускає виправлення для останньої версії Firefox 16, яку вони не спромоглися випустити якісно. І тепер поспішно латають перед випуском наступної мажорної версії браузера.

• Обновление Firefox 16.0.2 и 10.0.10 с устранением уязвимостей (деталі)

24.09.2012

Виявлені можливості пошкодження пам’яті в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 6, 7, 8 та 9 під Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7.

Уразливість use-after-free активно використовується для встановлення шкідливого програмного забезпечення.

• Microsoft Releases Patch for Internet Explorer Exploit (деталі)
• Microsoft Security Advisory for Internet Explorer Exploit (деталі)
• Microsoft Security Advisory (2757760) (деталі)
• Microsoft Security Bulletin MS12-063 - Critical Cumulative Security Update for Internet Explorer (2744842) (деталі)

29.10.2012

Додаткова інформація.

• Microsoft Internet Explorer “scrollIntoView” Use-After-Free Vulnerability (MS12-063) (деталі)
• Microsoft Internet Explorer “OnMove” Use-After-Free Vulnerability (MS12-063) (деталі)

Виявленні численні уразливості безпеки в Mozilla Firefox, Thunderbird та Seamonkey.

Уразливі продукти: Mozilla Firefox ESR 10.0, Thunderbird ESR 10.0, Firefox 15, Firefox 16, Thunderbird 15, Thunderbird 16, SeaMonkey 2.12, SeaMonkey 2.13.

Витік інформації, численні пошкодження пам’яті, переповнення буфера, міжсайтовий скриптінг, тощо.

• Mozilla Foundation Security Advisory 2012-73 (деталі)
• Mozilla Foundation Security Advisory 2012-74 (деталі)
• Mozilla Foundation Security Advisory 2012-75 (деталі)
• Mozilla Foundation Security Advisory 2012-76 (деталі)
• Mozilla Foundation Security Advisory 2012-77 (деталі)
• Mozilla Foundation Security Advisory 2012-78 (деталі)
• Mozilla Foundation Security Advisory 2012-79 (деталі)
• Mozilla Foundation Security Advisory 2012-80 (деталі)
• Mozilla Foundation Security Advisory 2012-81 (деталі)
• Mozilla Foundation Security Advisory 2012-82 (деталі)
• Mozilla Foundation Security Advisory 2012-83 (деталі)
• Mozilla Foundation Security Advisory 2012-84 (деталі)
• Mozilla Foundation Security Advisory 2012-85 (деталі)
• Mozilla Foundation Security Advisory 2012-86 (деталі)
• Mozilla Foundation Security Advisory 2012-87 (деталі)
• Mozilla Foundation Security Advisory 2012-88 (деталі)
• Mozilla Foundation Security Advisory 2012-89 (деталі)
• Mozilla Foundation Security Advisory 2012-90 (деталі)

За повідомленням www.xakep.ru, PayPal з небажанням виплатив винагороду за серйозний баг.

21 червня 2012 року PayPal приєднався до числа компаній, що платять хакерам за знайдені уразливості. З огляду на характер веб сервісу PayPal - фінансові транзакції - можна було припустити, що вони більш уважно поставляться до знайдених багів, ніж який-небудь Google, і запропонують більшу нагороду за уразливості. На практиці усе виявилося інакше.

Хакер з l8security розповів захоплюючу історію в скріншотах, як він шукав уразливість у PayPal. Він знайшов SQL Injection уразливість, за допомогою якої отримав доступ до акаунта одного користувача. Продемонструвавши цю уразливість PayPal, він спочатку отримав відмову, бо працівник компанії протупив і не зміг повторити атаку відповідно до опису хакера, а потім, затягнувши цей процес, компанія все ж таки підтвердила наявність уразливості, зарахувала її як XSS і оплатила по “дешевому тарифу”.

За повідомленням www.3dnews.ru, рухи очей можуть у майбутньому замінити введення паролів.

Неможливо знайти двох людей, які б дивилися на світ однаково - буквально. Недавнє дослідження показало, що при погляді на картинку різні люди сковзають поглядом по точках інтересу в різній послідовності. Навіть якщо дві людини ведуть очі по тому самому шляху, точний спосіб руху очей відрізняється. Саме тому комп’ютерний дослідник Техаського державного університету міста Сан-Маркос Олег Комогорцев збирається створити систему ідентифікації людей на основі того, як поводяться їхні очні яблука при погляді на екран комп’ютера.

За повідомленням www.xakep.ru, поліцію оштрафували за використання незашифрованих флешек.

Управління по захисту персональної інформації у Великобританії (Information Commissioner’s Office, ІCO) наклало штраф у розмірі 120 тисяч фунтів стерлінгів на поліцію міста Манчестер за хронічне недотримання правил інформаційної безпеки, а саме - запис інформації на USB-флешки в незашифрованому виді. Управління ІCO класифікувало ці дії як навмисне неприйняття належних заходів для захисту приватної інформації, що привело до кількаразових витоків користувацьких даних.

Про закон ЄС стосовно cookies я вже писав. Окрім цього закону, ІCO також опікується витоками персональних даних, за які накладає штрафи. І це є одним з яскравих прикладів використання цього закону на практиці. Наприклад, в Україні влітку стався витік персональних даних на solor.da-kyiv.gov.ua і з 01.07.2012 вступили в дію поправки до АК та КК стосовно таких витоків. І враховуючи, що Державна служба України з питань захисту персональних даних сама не звернула увагу на це, то я її сповістив, щоб вона відреагувала і оштрафувала цей несерйозний державний сайт. Але наша ДСПЗД лише проігнорувала це (як й інформацію про дірки на їхньому сайті).

Виявлені уразливості в Microsoft Fast Search Server.

Уразливі версії: Microsoft FAST Search Server 2010.

Численні уразливості у вбудованих бібліотеках Oracle Outside In.

• Microsoft Security Bulletin MS12-067 - Important Vulnerabilities in FAST Search Server 2010 for SharePoint Parsing Could Allow Remote Code Execution (2742321) (деталі)