Websecurity - Веб безпека

Виявлені Cross-Site Scripting уразливості в SafeHTML Microsoft Sharepoint.

Уразливі продукти: Microsoft Sharepoint під Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7.

Декілька можливостей міжсайтового скриптінга.

• Microsoft Security Bulletin MS10-072 - Important Vulnerabilities in SafeHTML Could Allow Information Disclosure (2412048) (деталі)

Пропоную вашій увазі добірку цікавих новин на тему безпеки.

За повідомленням hackzona.com.ua, хакери атакували Укртелеком.

Сервери найбільшої в Україні телекомунікаційної компанії “Укртелеком” 8 жовтня піддалися DDoS-атаці. Про це заявили представники “Укртелекому” в офіційному повідомленні на сайті провайдера. Сама атака почалася опівдні і призвела до погіршення якості обслуговування абонентів провайдера.

За повідомленням www.gazeta.ru, через вірусну атаку на Twitter було заражено близько 500 тисяч аккаунтів. Як зазначається, австралійський школяр випадково почав хакерську атаку на Twitter. Після публікації Пірсом Делфіном коду для використання XSS уразливості на Twitter, дана XSS була використана для створення двох XSS хробаків. Причому уразливість використовувала техніку MouseOverJacking.

Атака відбулася 21 вересня. У результаті вірусної атаки на популярному сервісі микроблогів Twіtter було заражено близько 500 тисяч аккаунтів користувачів.

За повідомленням hackua.com, президент України ратифікував конвенцію про кіберзлочинність. Президент України Віктор Янукович підписав Закон “Про внесення змін до Закону України «Про ратифікацію Конвенції про кіберзлочинність”.

Відповідний закон Верховна Рада ухвалила 21 вересня. Даним законом передбачено, що в Україні органом, на який покладаються повноваження щодо створення та функціонування цілодобової контактної мережі для надання невідкладної допомоги при розслідуванні злочинів, пов’язаних з комп’ютерними системами і даними, переслідуванні осіб, які звинувачуються у скоєні таких злочинів, а також збирання доказів у електронній формі, є Міністерство внутрішніх справ України. Крім того, у законі зазначено, що цілодобовий контактний пункт з питань протидії кіберзлочинності буде створений на базі Міністерства внутрішніх справ в межах його штатної чисельності.

В 2009 році в МВС України вже був створений відділ по боротьбі з кіберзлочинністю. Після підписання нового закону, діяльність МВС в цій сфері повністю закріплена законодавчо.

Виявлені численні уразливості безпеки в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 6, 7 та 8 під Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7.

Численні пошкодження пам’яті, витік інформації.

• Internet Explorer Uninitialized Memory Corruption Vulnerability (деталі)
• Microsoft Security Bulletin MS10-071 - Critical Cumulative Security Update for Internet Explorer (2360131) (деталі)

Виявлена можливість обходу захисту в Apple Safari і WebKit.

Уразливі продукти: Apple Safari та багато інших браузерів на WebKit.

Цілочисленне переповнення дає можливість обходу обмежень по портах призначення.

• Safari browser port blocking bypassed by integer overflow (деталі)

Виявлена можливість виконання коду в PostgreSQL.

Уразливі версії: PostgreSQL 8.3, PostgreSQL 8.4.

Можливо виконати довільний код з використанням зовнішніх процедур.

• Vulnerability in PostgreSQL (деталі)

Пропоную вашій увазі добірку цікавих новин на тему безпеки.

За повідомленням hackzona.com.ua, помилка співробітника Kinetic Concepts призвела до витоку даних 4000 чоловік.

Як повідомляє компанія Perimetrix, один із співробітників корпорації Kinetic Concepts з Сан-Антоніо (штат Техас) помилково влаштував внутрішню розсилку конфіденційних даних. У аттачменті листа, якого він розіслав по компанії, містилися файли з іменами 4 тис. працівників Kinetic Concepts, їх домашніми адресами, номерами соціального страхування та відомостями про заробітну плату.

За повідомленням www.opennet.ru, компанія Google відкрила програму для перевірки безпеки веб-додатків.

Розробники з компанії Google весною представили новий відкритий проект Skipfish, що представляє собою систему для тестування безпеки веб-додатків і виступаює у ролі аналога таким інструментам, як Nikto і Nessus. Skipfish відноситься до активних інструментів перевірки: на першому кроці здійснюється створення карти сайта і словника, після чого виконується набір перевірок усіх форм і параметрів.

За повідомленням hackzona.com.ua, вперше в Україні порушили кримінальну справу проти інтернет-пірата.

В Україні порушили кримінальну справу проти чоловіка з Луганщини, який розробив та розмістив в Інтернеті низку розважальних сайтів. На цих сайтах він виклав для скачування піратські екземпляри музичних творів і фільмів, а також різні дорогі фонограми та програмне забезпечення.

Виявлена можливість проведення DoS атаки проти браузера Safari.

Уразливі версії: Apple Safari 5.0.

Відмова на довгому URL.

• Safari for windows Long link DoS (деталі)

Виявлені численні уразливості безпеки в Adobe Shockwave.

Уразливі версії: Adobe Shockwave Player 11.5.

Численні переповнення буфера, пошкодження пам’яті, цілочисленні переповнення, виконання коду.

• Adobe Shockwave 3D Blocks Field Code Execution Vulnerability (деталі)
• Adobe Shockwave DIRAPI Multiple Code Execution Vulnerabilities (деталі)
• Adobe Shockwave 3D Two Remote Code Execution Vulnerabilities (деталі)
• Adobe Shockwave IML32 Multiple Code Execution Vulnerabilities (деталі)
• Adobe Shockwave Player Font Processing Buffer Overflow (деталі)
• Adobe Shockwave Player Asset Entry Parsing Vulnerability (деталі)
• Adobe Shockwave Player Integer Overflow Vulnerability (деталі)

В вересні місяці Microsoft випустила 9 патчів. Що менше ніж у серпні.

У вересневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 9 бюлетней по безпеці. Що закривають 11 уразливостей в програмних продуктах компанії. В тому числі чотири патчі виправляють критичні уразливості, які дозволяють виконати довільний шкідливий код на віддаленому комп’ютері, а ще п’ять патчів мають “важливий” рейтинг.

Дані патчі стосуються таких продуктів Microsoft як операційні системи Windows XP, Windows Server 2003, Windows Vista, Windows 7, Windows Server 2008 R2, а також Outlook та Internet Information Services. Про уразливості в Microsoft IIS я вже писав.

Виявлені численні уразливості безпеки в PHP.

Уразливі версії: PHP 5.2, PHP 5.3.

Витік інформації через phar, витік інформації через SPLObjectStorage, витік інформації через повідомлення про помилку, підміна змінних.

• PHP vulnerabilities (деталі)