Websecurity - Веб безпека

Виявлені численні уразливості безпеки в Google Message Security SaaS.

Уразливі версії: Google Message Security SaaS 6.25.

Міжсайтовий скриптінг, впровадження SQL.

• Google Message Security SaaS - SQL Injection vulnerabilities (деталі)
• Google Message Security SaaS - Multiple XSS vulnerabilities (деталі)

Виявлені численні уразливості безпеки в Microsoft Internet Information Services.

Уразливі версії: Microsoft IIS для Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7.

Обхід аутентифікації, переповнення буфера, DoS.

• Important Vulnerabilities in Microsoft Internet Information Services (IIS) Could Allow Remote Code Execution (2267960) (деталі)

Пропоную вашій увазі добірку цікавих новин на тему безпеки.

За повідомленням hackzona.com.ua, хакери все частіше використовують платний набір експлойтів Eleonore.

Дослідницька група компанії AVG повідомляє про збільшення частоти використання платного набору експлоітів Eleonore для проведення кібератак.

За повідомленням ain.ua, Trend Micro випустив безкоштовний плагін для безпеки браузерів.

Розробник антивірусного ПЗ Trend Micro представив безкоштовний плагін для безпечного веб-серфінга. Плагін зветься Trend Micro Browser Guard 2010. Він здатний визначати і блокувати веб-сторінки з фрагментами шкідливого коду ще до закінчення їхнього повного завантаження. Даний плагін - це ще один конкурент моїй системі Web VDS.

За повідомленням hackzona.com.ua, Adobe попереджає про уразливість в Flash Player.

Компанія Adobe попередила про критичну уразливість в своєму продукті Flash Player - вона дозволяє зловмисникам отримати контроль над комп’ютером жертви.

В минулому місяці вже були оприлюднені численні уразливості в Adobe Flash Player. І в новому місяці - нові дірки. В останні роки кількість знайдених дірок у Флеші збільшилася і в цьому році Flash та інші продукти Adobe щомісяця потрапляють в новини через виявлені уразливості в них.

11.09.2010

Виявлені численні уразливості безпеки в Mozilla Firefox, Thunderbird, SeaMonkey.

Уразливі продукти: Mozilla Firefox 3.5, Firefox 3.6, Thunderbird 3.0, Thunderbird 3.1, SeaMonkey 2.0.

Численні пошкодження пам’яті, переповнення буфера, цілочисленні переповнення, виконання коду, міжсайтовий скриптінг.

• Mozilla Foundation Security Advisory 2010-49 (деталі)
• Mozilla Foundation Security Advisory 2010-50 (деталі)
• Mozilla Foundation Security Advisory 2010-51 (деталі)
• Mozilla Foundation Security Advisory 2010-52 (деталі)
• Mozilla Foundation Security Advisory 2010-53 (деталі)
• Mozilla Foundation Security Advisory 2010-54 (деталі)
• Mozilla Foundation Security Advisory 2010-55 (деталі)
• Mozilla Foundation Security Advisory 2010-56 (деталі)
• Mozilla Foundation Security Advisory 2010-57 (деталі)
• Mozilla Foundation Security Advisory 2010-58 (деталі)
• Mozilla Foundation Security Advisory 2010-59 (деталі)
• Mozilla Foundation Security Advisory 2010-60 (деталі)
• Mozilla Foundation Security Advisory 2010-61 (деталі)
• Mozilla Foundation Security Advisory 2010-62 (деталі)
• Mozilla Foundation Security Advisory 2010-63 (деталі)

17.09.2010

Додаткова інформація.

• Cross-domain information leakage in Firefox 3.6.4-3.6.8, Firefox 3.5.10-3.5.11 and Firefox 4.0 Beta1 (деталі)
• Mozilla Firefox normalizeDocument Remote Code Execution Vulnerability (деталі)
• Mozilla Firefox nsTreeContentView Dangling Pointer Remote Code Execution Vulnerability (деталі)
• Mozilla Firefox tree Object Removal Remote Code Execution Vulnerability (деталі)
• Mozilla Firefox nsTreeSelection Dangling Pointer Remote Code Execution Vulnerability (деталі)

Можливе виконання коду через Apple Safari. Про DLL Hijacking уразливості, також відомі як Binary Planting, я вже розповідав в записі Підміна DLL у багатьох додатках Microsoft Windows. Якщо в стандартному випадку атака йде через dll-файл, то в даному випадку атака йде через exe-файл (explorer.exe). Це перший випадок Binary Planting уразливостей з використанням exe-файлів.

Уразливі версії: Apple Safari 4.0, Safari 4.1.

За певних умов викликається explorer.exe по відносному шляху.

• Remote Binary Planting in Apple Safari for Windows (деталі)

Виявлена можливість проведення DoS атаки проти Apple WebKit і Safari.

Уразливі версії: Apple Safari 5.0.

Відмова при розборі параметрів SVG.

• Safari for windows Invalid SVG text style Webkit.dll DoS (деталі)

В серпні була виявлена уразливість, що дозволяє підміну DLL у багатьох додатках Microsoft Windows. Вона отримала назву DLL Hijacking, а також її ще називають Remote Binary Planting, Insecure DLL Loading/Injection/Hijacking/Preloading.

Окрім атаки на різні десктопні додатки під Windows, також можуть відбуватися атаки через Інтернет. Зокрема на браузери, про що я позавчора писав в записі DLL Hijacking в різних браузерах, а також на Flash плагін в IE8. Тому DLL Hijacking також стосується браузерів (чи напряму, чи через флеш-плагін), зокрема браузерів Mozilla Firefox, Opera, Internet Explorer 8, Maxthon, QtWeb та Safari.

Уразливі продукти: Microsoft Windows 2000 Server, Windows 2000 Professional, Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7.

При виклику додатка асоційованого з типом файлів, поточний шлях встановлюється в папку, де знаходиться файл, по-замовчуванню завантаження динамічних бібліотек відбувається з поточного шляху. Також можливий другий варіант атаки, про який я написав у вищезгаданому записі.

• Подмена DLL во многих приложениях Microsoft Windows (деталі)

Пропоную вашій увазі добірку цікавих новин на тему безпеки.

За повідомленням hackzona.com.ua, Німецьких хакерів заарештовано в Таїланді.

Два громадянина Німеччини були арештовані в Таїланді за звинуваченням у зломі інформаційних систем банків Європи, США і Таїланду. Хакери зуміли списати з чужих рахунків близько трьох мільйонів доларів.

За повідомленням www.securelist.com, кібератаки обходяться компаніям від 1 до 52 мільйонів доларів щорічно. Ponemon Institutee опублікував аналіз фінансових втрат, що несуть комерційні й урядові організації через кібератаки. У дослідженні використовувалися дані по 45 американським організаціям.

Так, у середньому атаки кібер-злочинців обходяться компанії в 3,8 мільйонів доларів щорічно, причому ця цифра може коливатися від 1 до 52 мільйонів доларів у рік. У цілому, на всі організації, що беруть участь у дослідженні, довелося порядку 50 успішних кібератак у тиждень.

За повідомленням www.securelist.com, російський хакер отримав умовний термін за великий хак.

Калінінський районний суд Санкт-Петербурга присудив Віктора Плещука, що взломав клієнтську базу RBS WorldPay, до 6 років тюремного ув’язнення умовно. Засуджений є одним із ключових відповідачів у справі про безпрецедентне пограбування процессінгової системи Королівського Банку Шотландії (RBS).

Виявлені численні уразливості в багатьох додатках Oracle і Sun.

Уразливі продукти: Oracle Business Process Management 5.7, WebLogic Server 7.0, Oracle 9i, Oracle 10g та інші продукти Oracle.

Чергове щоквартальне оновлення закриває 59 уразливостей в різних продуктах.

• Oracle Secure Backup Scheduler Service Remote Code Execution Vulnerability (деталі)
• Oracle Secure Backup Administration uname Authentication Bypass Vulnerability (деталі)
• Oracle Secure Backup Administration $other Variable Command Injection Remote Code Execution Vulnerability (деталі)
• Oracle Secure Backup Administration objectname Command Injection Remote Code Execution Vulnerability (деталі)
• Command Injection Remote Code Execution Vulnerability (деталі)
• Oracle Secure Backup Administration Command Injection Remote Code Execution Vulnerability (деталі)
• Oracle Secure Backup Administration Authentication Bypass Vulnerability (деталі)
• Oracle Secure Backup Web Interface Various Post-Auth Command Injection Remote Code Execution Vulnerabilities (деталі)
• WebLogic Plugin HTTP Injection via Encoded URLs (деталі)
• Oracle Updates for Multiple Vulnerabilities (деталі)
• Oracle Critical Patch Update Advisory - July 2010 (деталі)

Виявлена проблема з перевіркою сертифікатів у багатьох браузерах.

Уразливі продукти: Microsoft Internet Explorer 6, 7 і 8 під Windows 2000 Server, Windows 2000 Professional, Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server та Windows 7, Mozilla Firefox 3.6, Nokia QT 4.7.

Дозволено маски в сертифікатах по IP-адресам.

• Multiple Browser Wildcard Cerficate Validation Weakness (деталі)