Websecurity - Веб безпека

Виявлені численні уразливості безпеки в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 6, 7 та 8 під Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7.

Міжсайтовий доступ до даних, численні пошкодження пам’яті.

• Microsoft Internet Explorer CSS Style Table Layout Uninitialized Memory Vulnerability (деталі)
• Microsoft Internet Explorer HTML Object Memory Corruption Vulnerability (деталі)
• Microsoft Security Bulletin MS10-090 - Critical Cumulative Security Update for Internet Explorer (2416400) (деталі)

Виявлене цілочисленне переповнення в PHP.

Уразливі версії: PHP 5.3.

Цілочисленне переповнення в NumberFormatter::getSymbol.

• PHP 5.3.3 NumberFormatter::getSymbol Integer Overflow (деталі)

Виявлені численні уразливості безпеки в Mozilla Firefox, Thunderbird, SeaMonkey.

Уразливі продукти: Mozilla Firefox 3.5, Firefox 3.6, Thunderbird 3.0, Thunderbird 3.1, SeaMonkey 2.0.

Численні пошкодження пам’яті, переповнення буфера, виконання коду, обхід захисту, підвищення привілеїв.

• Mozilla Foundation Security Advisory 2010-74 (деталі)
• Mozilla Foundation Security Advisory 2010-75 (деталі)
• Mozilla Foundation Security Advisory 2010-76 (деталі)
• Mozilla Foundation Security Advisory 2010-77 (деталі)
• Mozilla Foundation Security Advisory 2010-78 (деталі)
• Mozilla Foundation Security Advisory 2010-79 (деталі)
• Mozilla Foundation Security Advisory 2010-80 (деталі)
• Mozilla Foundation Security Advisory 2010-81 (деталі)
• Mozilla Foundation Security Advisory 2010-82 (деталі)
• Mozilla Foundation Security Advisory 2010-83 (деталі)
• Mozilla Foundation Security Advisory 2010-84 (деталі)
• Firefox 3.6.13 pseudo-URL SOP check bug (CVE-2010-3774) (деталі)

Пропоную вашій увазі добірку цікавих новин на тему безпеки.

За повідомленням hackzona.com.ua, G Data Software попереджає про появу нового трояна Ares.

Згідно з даними компанії G Data Software, найближчим часом на підпільному Інтернет-ринку з’явиться нова троянська програма Ares. Також як і ZeuS, який був поширений мільйонними копіями раніше цього року, новий код Ares має модульну структуру.

За повідомленням news.techlabs.by, Євросоюз провів перші кібернавчання.

У листопаді в Європі відбулися масштабні кібернавчання. IT-ресурси, що мають першочергове значення для Євросоюзу, піддалися іспиту на міцність: їм довелося відбивати штучно змодельовані напади, що повинні були перевірити, наскільки готові відбити масовані DDoS-атаки європейські країни.

За повідомленням hackzona.com.ua, у Twitter поширюється вірус. Новий комп’ютерний вірус поширився по сервісу мікроблогів Twitter через міні-посилання, створені за допомогою сервісу для скорочення URL goo.gl.

Користувачі, що пройшли за лінками зробленими через сервіс goo.gl, потрапляли на сайт, який краде логіни і паролі їх облікових записів в Twitter. Вірус спочатку з’явився в мобільній версії Twitter, а через кілька годин поширився і на основну версію сервісу.

Зазначу, що goo.gl - це сервіс скорочення URL (редиректор) від Google . Дірявість сервісів Гугла давно відома - я вже багато років пишу про уразливості на сайтах Гугла - тому даний випадок з використанням сервіса Google для розповсюдження віруса на Twitter є цілком передбачуваним.

Виявлена можливість зниження рівня захисту в OpenSSL.

Уразливі версії: OpenSSL 0.9.

Нападник може понизити якість шифрування для наступних сеансів.

• OpenSSL vulnerabilities (деталі)

Виявлена можливість проведення DoS атак проти libcurl і cURL. Через дану уразливість можна атакувати додатки, які використовують libcurl, наприклад, PHP.

Уразливі продукти: libcurl 7.19, cURL 7.19.

Вичерпання ресурсів при декомпресії gzip.

• Vulnerability in cURL (деталі)

Раніше я вже згадував про вихід початкової версії Google Chrome, Google Chrome 1.0, Google Chrome 2.0 та Google Chrome 8.0. А зараз я розповім про інші основні версії Chrome в переліку дат виходу всіх основних версій даного браузера.

Дати виходу головних версій Google Chrome:

Google Chrome 0.x - 02.09.2008
Google Chrome 1.0 - 11.12.2008
Google Chrome 2.0 - 22.05.2009
Google Chrome 3.0 - 16.09.2009
Google Chrome 4.0 - 25.01.2010
Google Chrome 4.1 - 17.03.2010
Google Chrome 5.0 - 25.05.2010
Google Chrome 6.0 - 02.09.2010
Google Chrome 7.0 - 21.10.2010
Google Chrome 8.0 - 03.12.2010

Кожна наступна версія браузера, окрім виправлення багів, також покращувала рівень його безпеки. І окрім безпосереднього виправлення дірок в Chrome, в нових версіях додався новий секюріті функціонал. Зокрема, як я вже писав раніше, в Chrome 8.0 з’явився переглядач PDF-файлів, що використовує технологію “пісочниці”, що підвищує безпеку перегляду PDF-файлів.

Але враховуючи дірки в Google Chrome, що знаходять регулярно, та багаторічну дірявість Гугла, про що неодноразово наголошував я та інші секюріті діячі, Гуглу є куди покращувати безпеку свого браузера та інших своїх додатків та веб сайтів.

Пропоную вашій увазі добірку цікавих новин на тему безпеки.

За повідомленням hackzona.com.ua, вірус Stuxnet - нова зброя терористів.

Вірус Stuxnet, що викликав проблеми в роботі іранської ядерної програми, раніше в цьому році продавався на “чорному ринку” і міг бути використаний терористами.

За повідомленням news.techlabs.by, російські хакери володіють 20% світового доходу кіберзлочинців.

У звіті російської компанії Group-IB говориться, що доходи російських хакерів складають не менш 20% світового обороту кіберзлочинців. Зростанню російського ринку онлайн-злочинів не можна не здивуватися - за минулий рік він збільшився майже в два рази. Ще більші показники виходять, якщо врахувати російських хакерів у міжнародних угрупованнях.

За повідомленням itua.info, у Британії кожен десятий сайт виконує розсилку спама.

Відповідно до результатів дослідження від Spam Rating, у Британії один з десяти сайтів є розповсюджувачем шкідливого спама. Дослідниками Spam Rating було проаналізовано більш 10000 сайтів і 150000 електронних листів. За їх інформацією, британський сегмент Мережі виявився одним із самих небезпечних в Інтернеті.

Про використання сайтів для розсилки спаму я детально написав в статті Розсилка спаму через сайти та створення спам-ботнетів.

Компанія Google сьогодні повідомила про випуск стабільної версії браузера Chrome 8.

Розробники відзначають, що в новій версії веб-браузера з’явився новий переглядач PDF-файлів, що використовує технологію “пісочниці” (Sandbox). Процес виконується в ізольованому оточенні, тому навіть при відкритті шкідливого файлу небажаний програмний код не зможе зашкодити системі та іншим додаткам.

Також повідомляється, що Chrome 8 одержав підтримку онлайнового магазина Chrome Web Store - правда, поки доступ до цього сервісу неактивний.

Крім того, розробники усунули близько 800 виявлених помилок, підвищили загальну швидкодію і стабільність. Продуктивність браузера виросла майже в два рази в порівнянні з Chrome 7.

• Вышла восьмая версия Google Chrome (деталі)

Виявлені численні уразливості в Oracle (Sun) Java.

Уразливі продукти: Oracle Java Runtime Environment 6.

Витік інформації, виконання коду, обхід захисту.

• Java Multiple Issues (деталі)
• Oracle JRE - java.net.URLConnection class - Same-of-Origin (SOP) Policy Bypass (деталі)