Websecurity - Веб безпека

Виявлені численні уразливості безпеки в Adobe Flash Player.

Уразливі продукти: Adobe Flash Player 10.3, Flash Player 11.1, Flash Player 11.2, AIR 3.2.

Різні пошкодження пам’яті.

• Adobe Flash Player NetStream Remote Code Execution Vulnerability (APSB12-07 / CVE-2012-0773) (деталі)

За повідомленням www.xakep.ru, Google розіслала 20 тисяч повідомлень про взлом.

Метт Каттс (Matt Cutts), керівник відділу якості пошуку Google і боротьби з пошуковим спамом, повідомив у своєму твітері цікаву новину. Виявляється, декілька днів тому компанія Google розіслала на адресу 20000 власників доменів повідомлення “Ваш сайт міг бути взломаний”.

Як можна зрозуміти з твіта, сповіщення власників сайтів здійснено автоматично. Пошуковий робот Google зайшов, як звичайно, на сайт, але замість звичайного контента знайшов редирект. Очевидно, така поведінка є підозрілою, про що миттєво повідомляється власнику сайта.

Торік я вже писав про сповіщення Гугла. Що починаючи з 20 червня компанія Google почала сповіщати користувачів WordPress про необхідність оновити движок. А зараз компанія пішла далі і почала сповіщати про появу підозрілих редиректів на сайтах. Як і в інших випадках, сповіщення відбувається в інтерфейсі Google Webmaster Tools (GWT), а також по емайлу, якщо користувач зареєструвався в GWT (тобто сповіщають не кожного власника сайта, а лише користувачів GWT).

За повідомленням www.3dnews.ru, Symantec знайшла нові шкідливі додатки в Google Play.

Близько 30 додатків з онлайн-магазина Google Play нещодавно були відзначені Symantec як “шкідливі”. Фрагменти заражених програм, що визначаються як Androіd.Dougalek, містилися в іграх і додатках так чи інакше стосовних до відео. Перші аналогічні шкідливі елементи були виявлені ще в лютому цього року, а потім у березні. На думку фахівців Symantec, кількість смартфонів, на які були встановлені ці програми, може варіюватися від 70 до 300 тисяч.

Шкідливі програми та уразливості в Android Market вже знаходили неодноразово. А в цьому році дійшла черга до нового онлайн-магазину Гугла.

За повідомленням ain.ua, податкова призупинила роботу найбільшого інтернет-магазина України Rozetka.UA.

На цьому тижні відбулося закриття онлайн магазинів Rozetka.ua і Sokol.ua та проведені обшуки в офісних приміщеннях даних компаній податковою інспекцією. Претензії до магазинів від Державної Податкової Служби стосуються несплати податків у великих розмірах. Разом з відкриттям кримінальної справи проти Rozetka і проведенням обшуків в двох магазинах, податківці також вирішили закрити їхні сайти. Зараз сайти обох магазинів вже відновили свою роботу (після перенесення хостингу закордон).

З даних інцидентів цілком очевидно, що не тільки СБУ і МВС можуть закривати сайти через порушення законодавства (про що я писав неодноразово), а також і ДПС.

Виявлена можливість підвищення привілеїв в Microsoft SQL Server.

Уразливі версії: Microsoft SQL Server 2005, SQL Server 2008.

Підвищення привілеїв через RESTORE DATABASE. Атака можлива через SQL ін’єкцію або при наявності доступа до веб сервера для розміщення власних скриптів для виконання довільних SQL команд.

• Privilege escalation via internal sql injection in RESTORE DATABASE command (деталі)

22.03.2012

Виявлені уразливості безпеки в Adobe Flash Player.

Уразливі версії: Adobe Flash Player 11.1.

Декілька пошкоджень пам’яті.

• Security update available for Adobe Flash Player (деталі)
• VUPEN Security Research - Adobe Flash Player “Matrix3D” Remote Memory Corruption (деталі)

19.04.2012

Додаткова інформація.

• CVE-2012-0769, the case of the perfect info leak (деталі)

У березні, 28.03.2012, через півтора місяці після виходу Google Chrome 17, вийшов Google Chrome 18.

В браузері зроблено ряд нововведень. А також виправлено 9 уразливостей, з яких 3 позначені як небезпечні, 5 - помірні і 1 - незначні. Деякі з уразливостей були виявлені розробниками браузера в результаті ініціювання додаткового аудиту коду, після виявлення в Chrome декількох критичних проблем, продемонстрованих на змаганні Pwnium.

Три з виправлених дев’яти уразливостей виявлені за допомогою інструментарію address-sanitizer, призначеного для автоматизованого визначення фактів звертання до звільнених областей пам’яті, виходу за межі границь виділеного буфера і деяких інших типів помилок при роботі з пам’яттю.

• Релиз web-браузера Chrome 18 (деталі)

Виявлена помилка форматного рядка в Perl модулі DBD::Pg.

Уразливі версії: DBD::Pg 2.19.

Помилка форматного рядка при розборі відповіді сервера.

• libdbd-pg-perl security update (деталі)

Виявлена помилка форматного рядка в Perl модулі YAML::LibYAML.

Уразливі версії: YAML::LibYAML 0.33.

Декілька уразливостей форматного рядка (Format String Attack).

• libyaml-libyaml-perl security update (деталі)

За повідомленням www.xakep.ru, drive-by завантаження на популярних сайтах: статистика.

Компанія Barracuda Labs протягом лютого провела автоматичне сканування 25000 самих популярних сайтів Інтернету на предмет drive-by експлоітів.

Результати сканування можна назвати неоднозначними. З одного боку, протягом місяця шкідливого ПЗ не було ні на одному з 1000 самих популярних сайтів. З іншого боку, ситуацію ніяк не назвеш райдужною: за місяць експлоіти типу drive-by виявилися на 58 доменах. Фактично, кожний календарний день хоча б один сайт був заражений.

За повідомленням www.itsec.ru, експерти говорять про небезпеку “соціо-ботів”.

Згідно результатам останнього дослідження, проведеного фахівцями з канадського Університету Британської Колумбії у Ванкуверу, так звані “соціальні боти” - програми, створені для імітації поводження людей у соціальних мережах, здатні ефективно викрадати персональні дані користувачів. Так, в одній лише Facebook канадські дослідники за допомогою “соціо-ботів” одержали майже 250 гігабайт інформації про користувачів цієї мережі.

Двомісячне дослідження проводилося з метою визначити, наскільки уразливі соціальні мережі та їхні користувачі перед обличчям масштабних операцій, пов’язаних з викраденням особистих даних. Як можна зрозуміти з отриманих 250 гігабайт даних, дуже уразливі.

За повідомленням www.xakep.ru, двоскладні паролі, посилені за допомогою CAPTCHA.

Приблизно рік тому група вчених - Костянтин Кладко, Сергій Флах і Тетяна Лаптєва - з Інституту фізики складних систем суспільства Макса Планка в Дрездені опублікували наукову працю, в якій запропонували інноваційне рішення “проблеми простих паролів”. Ідея полягає в наступному. Замість того, щоб змушувати користувача запам’ятовувати великий набір символів, довгий пароль розбивається на дві частини.

При цьому від користувача потрібно запам’ятати тільки першу частину, а друга частина генерується автоматично і кодується у виді CAPTCHA, причому досить хитрої - заснованої на фізичних даних від двовимірної динамічної системи, близької до фазового переходу.

Виявленні численні уразливості безпеки в Oracle Java.

Уразливі продукти: Oracle JDK 7, JRE 7.

19 різних уразливостіей, у тому числі з можливістю доступу до файлів і виконання коду.

• Security vulnerabilities in Java SE (деталі)

Виявлена Cross-Site Scripting уразливість в PHP.

Уразливі версії: PHP 5.3, PHP 5.4.

Міжсайтовий скриптінг через повідомлення про помилки при включеній директиві display_errors.

• php (5.3.10-5.4.0) XSS vulns (деталі)