Websecurity - Веб безпека

Виявлена можливість DoS атаки через dba_replace() в PHP.

Уразливі версії: PHP 5.2.

За допомогою dba_replace() можна знищити вміст ini-файла.

• PHP 5.2.6 dba_replace() destroying file (деталі)

Як повідомляється, індійські хакери знову повернули собі контроль над сайтом урядової навчальної установи Kendriya Vidyalaya Ratlam у північно-індійському місті Мадхя Прадеш після того, як той був атакований пропакистанськи налаштованими зловмисниками.

Хакери з Індії залишили власникам ресурсу повідомлення, що повідомляє їх про те, що він був взломаний хакерами з Пакістану, однак тепер знову знаходиться під їхнім контролем. У повідомленні також міститься порада по усуненню дір у системі захисту ресурсу.

Черговий виток протистояння індійських і пакистанських хакерів відбувся на тлі нескінченної тяжби цих двох країн про територіальну приналежність штату Кашмір, права на який Індія і Пакистан оспорюють у тому числі й у віртуальному просторі.

По матеріалам http://www.itsec.ru.

P.S.

Даний випадок схожий на хакерські війни (в яких я приймав участь), про які я розповідав раніше. Подібні протистояння нерідко відбуваються в Мережі.

Для однієї з виявлених уразливостей в Microsoft XML, які були виправлені компанією в цьому місяці, нещодавно був розроблений експлоіт. Що демонструє проведення Cross-Domain Scripting атаки.

Дана атака може бути проведена в Internet Explorer 6 та 7, що використовує бібліотеку Microsoft XML.

• Microsoft XML Core Services DTD Cross-Domain Scripting PoC MS08-069 (деталі)

Нещодавно була виявлена можливість підміни адреси в Google Chrome.

Уразливі версії: Google Chrome 0.2, 0.3, 0.4.

Некоректно показуються URI, що містять “@”. Що може використовуватися для проведення фішинг атак.

• Google Chrome MetaCharacter URI Obfuscation Vulnerability (деталі)
• Google Chrome Browser MetaCharacter URI Obfuscation Vulnerability (деталі)

Раніше були виявлені численні уразливості в Microsoft XML. Які були нещодавно виправлені.

Уразливі продукти: Microsoft Windows 2000 Server, Windows 2000 Professional, Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server.

Ушкодження пам’яті, міжсайтовий скриптінг, витік інформації.

• Microsoft Security Bulletin MS08-069 – Critical Vulnerabilities in Microsoft XML Core Services Could Allow Remote Code Execution (955218) (деталі)

Країни Євросоюзу збираються створити єдину базу даних кіберзлочинців, у якій буде інформація про кіберзлочини і про причетних до них осіб. Як повідомляється, проекту буде виділено 300000 євро.

Європол займеться створенням бази даних кіберзлочинців, вона буде в першу чергу використовуватися для боротьби з поширенням дитячої порнографії. Також в Європолі пообіцяли, що буде запущений сайт, на який кожен зможе повідомити про шахрайство в Інтернеті.

По матеріалам http://itua.info.

В минулому році були виявлені численні DoS уразливості в PHP.

Уразливі версії: PHP 5.2.

Відмова в обслуговуванні в функціях stream_wrapper_register(), dgettext(), dcgettext(), dngettext(), gettext(), ngettext().

• PHP <= 5.2.5 Gettext Lib Multiple Denial of service (деталі)
• PHP <= 5.2.5 stream_wrapper_register() denial of service (деталі)

Виявлена можливість обходу захисту safe_mode в PHP.

Уразливі версії: PHP 5.2.

Можна обійти захист через використання error_log, що задається через ini_set.

• PHP 5.2.6 (error_log) safe_mode bypass (деталі)

Нещодавно була виявлена можливість витоку вмісту зображень в Mozilla Firefox.

Уразливі версії: Mozilla Firefox 2.0.

Використовуючи getImageData() у сполученні з перенаправленнями можливо одержати міжсайтовий доступ до зображень. Уразливість виправлена в Firefox 2.0.0.18, який нещодавно вийшов.

• Firefox cross-domain image theft (CESA-2008-009) (деталі)

В минулому році була виявлена можливість витоку інформації в Mozilla Firefox (information leakage). Про останні уразливості в Firefox я писав нещодавно.

Уразливі версії: Mozilla Firefox 2.0.

За допомогою уразливості можливо одержати значення будь-яких внутрішніх змінних.

• Firefox 2.0.0.6 Remote Variable Leakage vulnerability (деталі)