Websecurity - Веб безпека

Виявлені численні уразливості безпеки в Microsoft .Net Framework та Silverlight.

Уразливі продукти: Microsoft .Net Framework та Silverlight на Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7.

Переповнення індексу масиву, виконання коду через компілятор JIT.

• Microsoft Security Bulletin MS11-039 - Critical Vulnerability in .NET Framework and Microsoft Silverlight Could Allow Remote Code Execution (2514842) (деталі)
• Microsoft Security Bulletin MS11-044 - Critical Vulnerability in .NET Framework Could Allow Remote Code Execution (2538814) (деталі)

16.06.2011

Виявлені численні уразливості безпеки в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 6, 7, 8 та 9 під Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7.

Скриптінг між додатками в обробнику mhtml, пошкодження пам’яті в VML, численні пошкодження пам’яті в IE, витік інформації.

• Microsoft Security Bulletin MS11-037 - Important Vulnerability in MHTML Could Allow Information Disclosure (2544893) (деталі)
• Microsoft Security Bulletin MS11-050 - Critical Cumulative Security Update for Internet Explorer (2530548) (деталі)
• Microsoft Security Bulletin MS11-052 - Critical Vulnerability in Vector Markup Language Could Allow Remote Code Execution (2544521) (деталі)

21.06.2011

Додаткова інформація.

• Microsoft Internet Explorer Link Property Processing Memory Corruption Vulnerability (деталі)
• Microsoft Internet Explorer vgx.dll imagedata Remote Code Execution Vulnerability (деталі)
• (Pwn2Own) Microsoft Internet Explorer Uninitialized Variable Information Leak Vulnerability (деталі)
• Microsoft Internet Explorer layout-grid-char style Remote Code Execution Vulnerability (деталі)
• Microsoft Internet Explorer selection.empty Remote Code Execution Vulnerability (деталі)
• Microsoft Internet Explorer DOM Modification Race Remote Code Execution Vulnerability (деталі)
• Microsoft Internet Explorer HTTP 302 Redirect Remote Code Execution Vulnerability (деталі)

02.08.2011

Додаткова інформація.

• Microsoft Internet Explorer ‘toStaticHTML’ HTML Sanitizing Information Disclosure (деталі)

Виявлене пошкодження пам’яті в Adobe Flash Player.

Уразливі версії: Adobe Flash Player 10.3.

Дана memory corruption уразливість може призвести до вибивання та до потенційного виконання довільного коду. Про виявлену мною DoS в Flash плагіні я вже писав раніше.

• Security update available for Adobe Flash Player (деталі)

За повідомленням hackzona.com.ua, хакери атакували електронні пошти Microsoft і Yahoo!.

Електронні пошти Microsoft і Yahoo! зазнали хакерської атаки поряд зі спробами взломати поштові скриньки сервісу Gmail, що належить компанії Google. Про це повідомили представники американо-японської компанії з розробки антивірусного програмного забезпечення Trend Micro.

Також 2 червня стало відомо про масовану кібератаку на поштові скриньки Google. Компанія заявила, що їй вдалося запобігти загрозі.

За повідомленням www.xakep.ru, хакер арештований за шахрайство з платіжними картами.

Громадянин Америки зізнався в крадіжці даних більш 676000 платіжних карт із баз даних і в одержанні більш $100000 шляхом продажу цих даних у нелегальних онлайн-магазинах.

За повідомленням www.kommersant.ru, хакери пожартували над ЦРУ.

Група невідомих хакерів, що називає себе Lulz Security, атакувала сайт ЦРУ. Вони провели DDoS атаку на сайт cia.gov, ускладнивши на нетривалий час його роботу. Раніше група робила атаки на ФБР і сенат США, а також на корпорації Sony, Nіntendo і News Corp.

Раніше я вже писав про діяльність хакерів з Lulz Security.

В травні, 17.05.2011 і 21.05.2011, відбувся масовий взлом сайтів на сервері Uplink. Нещодавно я вже розповідав про інші масові взломи.

Був взломаний сервер української компанії Uplink. Взлом відбувся після згаданого масового взлому сайтів на сервері Візор.

Всього було взломано 107 сайтів на сервері української компанії Uplink (IP 195.3.204.194). Перелік сайтів можете подивитися на www.zone-h.org. Серед них український державний сайт medstat.gov.ua.

106 зазначених сайтів були взломані 17 травня 2011 року - 105 хакером Brunei і 1 хакером iskorpitx. Іще один сайт був дефейснутий 21 травня хакером Executive.

Враховуючи велику кількість сайтів на одному сервері та короткий проміжок часу для дефейсу всіх цих сайтів, немає сумнівів, що вони були взломані через взлом серверу хостінг провайдера. Коли через взлом одного сайта, був отриманий root доступ до сервера (через уразливості в програмному забезпеченні самого сервера) та атаковані інші сайти на даному сервері.

За повідомленням hackzona.com.ua, Adobe випустила екстрений патч для Flash Player.

Компанія Adobe випустила позачергове оновлення для Flash Player, залатавши чергову вразливість у захисті, що вже активно експлуатується itw. Даний патч виправляє XSS уразливість.

Окрім виправланення XSS, Адобу слід виправляти й баги, що призводять до DoS.

За повідомленням www.xakep.ru, адміністратори баз даних мало піклуються про безпеку.

Незалежна асоціація ISUG виявила, що адміністраторам баз даних не вистачає досвіду в контролюванні змін і керуванні патчами. За результатами дослідження адміністратори баз даних усе ще далекі від досконалості.

Дослідження виявило, що багато адміністраторів БД та IT-спеціалісти, що приймають рішення, визнають, що не дуже компетентні в таких питаннях безпеки, як контроль за змінами і патч-менеджмент, а також аудит системи.

За повідомленням www.3dnews.ru, хакери взломали сайт організації, що співробітничає з ФБР.

Група хакерів Lulz Security (LulzSec), що встигла за короткий час успішно подолати захист серверів Sony і Nintendo, знову виявилася в центрі уваги громадськості. Цього разу хакери атакували сайт організації InfraGard, що співробітничає з Федеральним бюро розслідувань (ФБР).

Виявлена можливість проведення DoS атаки проти OpenSSL.

Уразливі версії: OpenSSL 0.9.8, OpenSSL 1.0.0.

Звертання до неініціалізованої пам’яті при розборі ClientHello.

• openssl security update (деталі)

За повідомленням www.xakep.ru, Євросоюз і США погодилися на проведення спільних кібертренувань у 2011 році.

Євросоюз і США вирішили затратити більше сил на боротьбу з кіберзлочинами і на поліпшення кібербезпеки.

На зустрічі комісара внутрішніх справ Євросоюзу Сесілії Мальмстрем, відповідальної за боротьбу з кіберзлочинами, і секретаря національної безпеки США Джанет Наполітано було вирішено запустити спільний проект-тренування по кіберподіям Євросоюзу і США наприкінці 2011.

За повідомленням hackzona.com.ua, Microsoft усунула вразливість в Hotmail.

Корпорація Microsoft повідомила про усунення уразливості нульового дня в поштовому сервісі Hotmail, яка дозволяла зловмисникам перехоплювати електронні адреси та контактні дані користувачів.

За повідомленням www.xakep.ru, чоловік засуджений до 3 років позбавлення волі за спробу перепрограмувати банкомати.

Чоловік з Північної Кароліни був присуджений до трьох років тюремного ув’язнення після того, як він зізнався, що планував привласнити $200000 шляхом взлому банкоматів.

В квітні, 28.04.2011, через півтора місяці після виходу Google Chrome 10, вийшов Google Chrome 11.

В браузері зроблено ряд нововведень. А також виправлено 24 помилок у безпеці, з яких 15 уразливостей позначені як небезпечні, 6 - помірні і 3 - незначні.

• Релиз web-браузера Chrome 11 (деталі)

Виявлені численні уразливості безпеки в Google Chrome.

Уразливі версії: Google Chrome 11.0.

Пошкодження пам’яті, короткочасні умови, підвищення привілеїв, DoS.

• Vulnerabilities in Chromium browser (деталі)