Websecurity - Веб безпека

29.10.2009

Виявлені численні уразливості безпеки в Mozilla Firefox і SeaMonkey

Уразливі продукти: Mozilla Firefox 3.0, Firefox 3.5, SeaMonkey 2.0.

Переповнення буфера, підвищення привілеїв, витік інформації, міжсайтовий скриптінг.

• Mozilla Firefox Floating Point Memory Allocation Vulnerability (деталі)
• Mozilla Foundation Security Advisory 2009-52 (деталі)
• Mozilla Foundation Security Advisory 2009-53 (деталі)
• Mozilla Foundation Security Advisory 2009-54 (деталі)
• Mozilla Foundation Security Advisory 2009-55 (деталі)
• Mozilla Foundation Security Advisory 2009-56 (деталі)
• Mozilla Foundation Security Advisory 2009-57 (деталі)
• Mozilla Foundation Security Advisory 2009-59 (деталі)
• Mozilla Foundation Security Advisory 2009-61 (деталі)
• Mozilla Foundation Security Advisory 2009-62 (деталі)
• Mozilla Foundation Security Advisory 2009-63 (деталі)
• Mozilla Foundation Security Advisory 2009-64 (деталі)
• Mozilla Firefox 3.5.3 Local Download Manager Exploit (деталі)

05.11.2009

Додаткова інформація.

• Mozilla Firefox GIF Color Map Parsing Buffer Overflow Vulnerability (деталі)
• Context IS Advisory - Autocomplete Data Theft in Mozilla Firefox (деталі)

Житель Дніпропетровська організовував і проводив комплексні комп’ютерні атаки за замовленням. Його протиправну діяльність викрили і припинили співробітники Служби безпеки України. Про це повідомляє прес-центр управлінння СБУ в Дніпропетровській області.

Установлено, що 33-літній чоловік пропонував на кількох веб-ресурсах послуги в проведенні так званих хакерських атак класу “розподілена відмова в обслуговуванні” (DDoS-атаки). Зловмисник їх проводив шляхом зараження великої кількості комп’ютерів шкідливим програмним забезпеченням, а численні інформаційні запити перевантажували сервер в Інтернеті.

“Затримали хакера “на гарячому” в одному з офісів Дніпропетровська під час спроби здійснити таку атаку. Під час обшуку в нього вилучена комп’ютерна техніка”, - пояснили в прес-центрі.

Бабушкинським районним судом Дніпропетровська за матеріалами кримінальної справи, відкритої СБУ, хакер визнаний винним у здійсненні злочину, передбаченого ч. 1 ст. 361 КК.

P.S.

Якщо цей випадок є справжнім, то це може бути першим прикладом, коли в Україні спіймали DDoS-ера.

По матеріалам http://ain.ua.

Як я вже писав на минулому тижні, 24.10.2009 хакерами з Front Zmin H4ck t34m було взломано http://www.grytsenko.com.ua - сайт Анатолія Гриценка (кандидата в президенти України). Це я виявив під час свого щотижневого дослідження хакерської активності в Уанеті.

Пізніше я дізнався з новин на www.pravda.com.ua, що виявляється хакери майже одночасно взломали сайти Гриценка і Жванії. Гриценка - увечері 24.10.2009, а Жванії - 25.10.2009. Сайт Давида Жванії http://www.zhvaniya.com також був взломаний хакерами з Front Zmin H4ck t34m.

Тобто дана хакерська група, які називають себе прихильниками Яценюка, за короткий час взломали ще два сайта. Тим самим продовживши свою “ходу” по сайтам політичних опонентів, вслід за взломами сайтів Партії Зелених України, Партії Регіонів та блоку Леоніда Черновецького.

Так що шоу триває .

Виявлена можливість виконання JavaScript-коду в Opera.

Уразливі версії: Opera 10.0.

Виконання JS-коду можливе через RSS-підписки.

• Hijacking Opera’s Native Page using malicious RSS payloads (деталі)

Фахівці з питань безпеки з компанії RSA Security зафіксували перші випадки використання кіберзлочинцями фішинг-атак нового типу.

Експерти розповідають, що на перший погляд схема нападу виглядає звичайно: потенційній жертві приходить електронний лист із пропозицією підтвердити свої реєстраційні дані в онлайновой платіжній системі чи на сайті банку. При цьому в листі вказується лінка, що насправді веде на фальшиву сторінку, що копіює дизайн справжнього веб-сайта.

Саме цікаве відбувається після того, як користувач переходить на зазначений сайт і починає вводити у форму особисті дані чи намагається переглянути інші сторінки фальшивого ресурсу. У цьому випадку відкривається чат-вікно, в якому потенційній жертві від імені співробітників департаменту банку по боротьбі із шахрайством повідомляється про те, що клієнту необхідно підтвердити особистість (зрозуміло, з метою забезпечення безпеки). При цьому шахраї просять користувача назвати своє ім’я, телефонний номер, адресу електронної пошти тощо.

Фахівці RSA Security відзначають, що при організації фішинг-нападів нового типу кіберзлочинці використовують відкритий протокол Jabber для миттєвого обміну повідомленнями. Фахівці RSA Security відзначають, що в перспективі ця схема може стати дуже популярною у шахраїв.

По матеріалам http://www.cripo.com.ua.

У жовтні, 18.10.2009, вийшла Invision Power Board 3.0.4. В даній версії виправлені помилки та покращена функціональність.

• IP.Board 3.0.4 (деталі)

Компанія ІBResource повідомляє про вихід російської версії IP.Board 3.0.4 (IPB). Ця версія включає виправлення багатьох помилок, а також невеликі поліпшення у функціональній частині. Додана підтримка візуального редактора в браузерах Chrome і Safari. Модулі галереї, блогів і файлового архіву також обновлені.

В жовтні місяці Microsoft випустила 13 патчів для 34 уразливостей. Що значно більше ніж у вересні.

У жовтневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 13 бюлетенів, що включають виправлення 34 уразливостей. З яких 8 критичних та 5 важливих.

Критичні патчі виправляють уразливості в SMBv2, Windows Media Runtime, Windows Media Player, .NET і Silverlight, ActiveX-компонентах для MS Office, написаних за допомогою уразливої версії ATL, кумулятивні оновлення для IE і блокуючих прапорців ActiveX. Важливі патчі виправляють віддалене виконання коду в GDI+, службі FTP і службі індексування, підробку сертифіката в CryptoAPI, DoS у підсистемі Local Security Authority.

По матеріалам http://bugtraq.ru.

У цьому місяці, 6 жовтня, більше 10000 логінів і паролів користувачів поштової системи Windows Live Mail були опубліковані у вільному доступі в Інтернеті. Даний сервіс, що раніше називався Hotmail, належить Microsoft і є одним із самих популярних поштових сервісів у світі.

У корпорації підтвердили факт витоку даних і повідомили, що експерти компанії зараз розслідують ситуацію. Утім, експерти говорять, що витік даних тут малоймовірний, швидше за все, можна говорити про публікацію даних користувачів, що раніше потрапили на гачок фішерів чи авторів троянів, що крадуть інформацію.

“Ми можемо підтвердити, що опубліковані дані справжні і їх більша частина належить користувачам з Європи”, - говорять у Microsoft. Відомо, що реквізити витекли в користувачів, що використовували адреси в доменах hotmail.com, live.com і msn.com.

“Компанія розслідує ситуацію і робить всі необхідні кроки”, - говорять у Microsoft. Незалежні експерти рекомендують користувачам цієї системи змінити власні паролі для входу.

По матеріалам http://www.bezpeka.com.

Виявлена можливість Denial of Service атаки через JDBC в IBM DB2.

Уразливі версії: IBM DB2 8.1, DB2 8.2.

Читання неініціалізованої пам’яті в jdbcReadString().

• IBM DB2 JDBC Applet Server Remote DoS Vulnerability (деталі)

У вересні, 17.09.2009, вийшов PHP 5.2.11. В якому виправлено більше 75 помилок, в тому числі й декілька уразливостей. Даний реліз направлений на покращення стабільності та безпеки гілки 5.2.x.

Cеред секюріті покращень та виправлень в PHP 5.2.11:

• Виправлена валідація сертифікату всередині php_openssl_apply_verification_policy.
• Виправлена перевірка для індексу кольору в imagecolortransparent().
• Додані пропущені перевірки навколо обробки exif.
• Виправлений баг #44683 (popen вибивав якщо був заданий некоректний режим).

По матеріалам http://www.php.net.