Websecurity - Веб безпека

В вересні місяці Microsoft випустила п’ять патчів. Що менше ніж у серпні.

У вересневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло п’ять оновлень безпеки.

Всі п’ять патчів для критичних уразливостей та всі виправляють можливе віддалене виконання коду. Патчі виправляють уразливості в JScript Scripting Engine, в Wireless LAN AutoConfig Service, в Windows Media Format, в реалізації Windows TCP/IP, в DHTML Editing Component ActiveX Control.

По матеріалам http://bugtraq.ru.

Нещодавно Dan Kaminsky виявив уразливість в Mozilla Firefox, що дозволяє віддалене виконання коду. Для даної уразливості був розроблений експлоіт.

За словами автора експлоіта, вразливі Mozilla Firefox до 3.0.14. Як я перевірив, в Firefox 3.0.13 він працює, але не в Firefox 3.0.14, де дана уразливість вже виправлена.

• Mozilla Firefox < 3.0.14 Multiplatform RCE via pkcs11.addmodule (деталі)

Виявлені численні уразливості безпеки в Mozilla Firefox.

Уразливі версії: Mozilla Firefox 3.0, Firefox 3.5.

Виконання коду, пошкодження пам’яті, підміна адреси, прихована установка сертифіката. В даному оновленні Mozilla не виправила Cross-Site Scripting уразливості в різних версіях їхніх браузерів, про які я писав і про які їм повідомив. Що наглядно демонструє відношення даної компанії до безпеки власних продуктів та безпеки їх користувачів.

• Mozilla Foundation Security Advisory 2009-47 (деталі)
• Mozilla Foundation Security Advisory 2009-48 (деталі)
• Mozilla Foundation Security Advisory 2009-49 (деталі)
• Mozilla Foundation Security Advisory 2009-50 (деталі)
• Mozilla Foundation Security Advisory 2009-51 (деталі)
• ZDI-09-065: Mozilla Firefox TreeColumns Dangling Pointer Vulnerability (деталі)
• Firefox <3.0.14 Multiplatform RCE via pkcs11.addmodule (деталі)

Ще перед попереднім оновленням безпеки в Invision Power Board 3.0.2, 18.08.2009, вийшло інше оновлення для безпеки Invision Power Board (IP.Board) 3.0 серії.

Як виявили розробники, в IPB 3.0.x (включаючи 3.0.2) було дві потенційні SQL Injection уразливості. Які й були виправлені в даному оновлені.

• Security Update for IP.Board 3.0.2 (деталі)

Уразливі версії Invision Power Board 3.0.2 (до 18.08.2009) та попередні 3.0.x версії.

Відомий кібезлочинець, 28-літній Альберт Гонсалес визнав свою провину по ряду обвинувачень і буде присуджений до тюремного ув’язнення на термін від 15 до 25 років.

Як повідомляється, Гонсалес зізнався в усіх правопорушеннях, що йому ставилися - кібершахрайство, розкрадання особистих даних при обтяжуючих обставинах, змова з метою шахрайства й інші 19 обвинувачень. Крім тюремного терміну небезпечному хакеру прийдеться виплатити біля $2,8 мільйонів штрафу. Також у нього конфіскують квартиру в Майамі, машину і коштовності на невизначену суму.

Альберт Гонсалес був арештований правоохоронними органами США в 2008 р. за обвинуваченням у застосуванні SQL-ін’єкцій та інших технологій для взлому ряду комп’ютерних мереж і крадіжці даних кредитних карт. Пізніше стало відомо, що раніше Гонсалес працював інформатором американських спецслужб.

Нагадаємо, що цей хакер разом із двома своїми спільниками, що, орієнтовно, проживають у Росії, украв більш 130 мільйонів номерів кредитних і дебетових карт. Влада країни називає це найбільшим злочином такого роду в історії США. Про долю спільників Альберта Гонсалеса не повідомляється. Через діяльність Гонсалеса постраждали такі компанії, як платіжна система Heartland Payment Systems з Нью-Джерсі, національна мережа магазинів 7-Eleven, мережа супермаркетів Hannaford Brothers та інші.

Кіберзлочинець разом зі своїми спільниками почав взламувати комп’ютерні мережі і красти номера кредитних і дебетових карт у жовтні 2006 р. Украдені дані пересилалися на сервера зловмисників у Каліфорнії, Іллінойсі, Латвії, Голландії й Україні. Після чого викрадені номери продавалися.

По матеріалам http://www.xakep.ru.

P.S.

Як видно з новини, без України тут не обійшлося. Так же склалося, що зловмисники полюбляють пересилати номери кредиток на українські сервери (це вже не перший випадок), або просто іноземні журналісти іноді полюбляють приписувати різні взломи українським хакерам. Тим самим формуючи імідж нашої країни.

20-літній житель Аделаїди затриманий по підозрі в крадіжці банківських даних. Програми, незаконно встановлені молодою людиною на три тисячі комп’ютерів в Австралії і по усьому світі, були призначені для крадіжки номерів кредитних карт і паролів доступу до банківських рахунків, стверджується в офіційній заяві поліції штату Південна Австралія.

Крім того, арештований хакер підозрюється в створенні ботнета з 74000 заражених комп’ютерів, призначеного для організації DDoS-атак на веб-сайти.

Арешту передувало тримісячне розслідування, проведене відділом по електронних злочинах поліції штату разом з федеральною поліцією. Затримка молодої людини дасть інформацію, що допоможе вийти на інших кіберзлочинців, упевнені представники закону.

Молодому хакеру пред’явлені обвинувачення в нелегальній зміні даних у чужих комп’ютерах і поширенні комп’ютерних вірусів. Також йому приписується замах на незаконне керування комп’ютерними системами і крадіжка.

По матеріалам http://www.xakep.ru.

Виявлені численні уразливості безпеки в Oracle.

Уразливі продукти: Oracle WebLogic Server 7.0, Oracle 9i, Oracle 10g, Oracle 11g та інші програмні продукти Oracle.

Чергове щоквартальне оновлення закриває майже 50 різних уразливостей безпеки.

• Multiple Vendor Outside In Multiple Spreadsheet Buffer Overflow Vulnerabilities (деталі)
• Multiple Vendor Outside In Spreadsheet Buffer Overflow Vulnerability (деталі)
• Multiple Vendor Outside In Spreadsheet Integer Overflow Vulnerability (деталі)
• Multiple Vendor Outside In Multiple Integer Overflow Vulnerabilities (деталі)
• Oracle Applications Server 10g Format String Vulnerability (деталі)
• Oracle BEA WebLogic Server Plug-ins Integer Overflow (деталі)
• Oracle BEA WebLogic Server Plug-ins Certificate Buffer Overflow (деталі)
• SQL Injection in package DBMS_AQIN (деталі)
• Unprivileged DB users can see APEX password hashes (деталі)
• SQL Injection in package DBMS_AQADM_SYS (деталі)
• Oracle Updates for Multiple Vulnerabilities (деталі)

Виявлені численні уразливості безпеки в Opera Unite - технології, що доступна в браузері Opera 10.

Уразливі версії: Opera Unite 10.0.

Підміна запитів, міжсайтовий скриптінг, витік інформації та інші.

• Pwning Opera Unite with Inferno’s Eleven (деталі)

Український хакер засуджений до двох років позбавлення волі з іспитовим терміном один рік.

Набрав сили вирок суду Комсомольського району Херсона по кримінальній справі місцевого жителя, що несанкціановано втрутився в роботу одного з інтернет-провайдерів. 24-літній студент заволодів реквізитами реєстрації абонентів на сервері, що використовував для виходу в Інтернет, що привело до блокування доступу користувачів до інформаційних масивів Мережі і завдало матеріальної шкоди більш ніж 200 абонентам.

Суд визнав винним місцевого жителя в здійсненні злочину, передбаченого ч. 1 ст. 361 КК України. Також він повинний компенсувати збитки потерпілим і оплатити штраф. Комп’ютерне устаткування хакера конфісковано в доход держави.

По матеріалам http://ain.ua.

Нещодавно була виявлена уразливість переповнення стека у вбудованому FTP сервері в Microsoft IIS. Для даної уразливості був розроблений експлоіт.

Уразливі версії: Microsoft IIS 5.0, IIS 6.0 (з включеним режимом stack cookie protection).

• Microsoft IIS 5.0/6.0 FTP Server Remote Stack Overflow Exploit (win2k) (деталі)
• Microsoft IIS 5.0 FTP Server Remote Stack Overflow Exploit (win2k sp4) (деталі)