Websecurity - Веб безпека

Виявлене переповнення буфера в Python.

Уразливі версії: Python 2.5.

Цілочисленне переповнення, що приводить до переповнення буфера в PyString_FromStringAndSize().

• Incorrect input validation in PyString_FromStringAndSize() leads to multiple buffer overflows (деталі)

Число комп’ютерів у складі виявленої фахівцями Damballa Solutions зомбі-мережі під назвою Kraken досягло 400 тисяч. При цьому існування бот-мережі підтвердили в SANS Internet Storm Center. У повідомленні Центра відзначено, що дослідникам удалося зафіксувати мережеві пакети, передані командними серверами ботнета, що базуються в США, Франції і Росії.

Розміри виявленої зомбі-мережі помітно більше всесвітньо відомої Stormbot, що складалась в листопаді минулого року з 230000 комп’ютерів. Відповідно до висновків експертів, у зомбі-мережу Kraken уже включені машини до 50 компаній зі списку Fortune 500.

Ботнет, як упевнені в Damballa, формується вірусом, що поширюється за допомогою прихованих графічних файлів. Відкриття цих файлів і заражає комп’ютер користувача: у момент відкриття вже виконується установка вірусу.

Авторам вірусу дуже добре відомі механізми роботи антивірусних сканерів, відзначає дослідник з Dambala Пол Роял. За даними експертів, 80% антивірусного програмного забезпечення просто не виявляють вірус. Крім цього, він періодично задіює можливість самообновлення. Це значить, що бот-мережа, можливо, буде використовуватися не тільки для розсилання спама, думають експерти з Damballa.

Поки зомбі-мережею користуються в основному спамери, що пропонують медикаменти, послуги казино і кредитні схеми. Повідомляється, що деякі боти мережі Kraken у добу можуть розіслати до 500 тисяч листів, що містять спам. Як пророкують фахівці, у квітні 2008 року зомбі-мережа Kraken збільшиться ще на 50%, і кількість заражених комп’ютерів досягне 600 тисяч.

По матеріалам http://eplus.com.ua.

Кількість фішерських розсилок, що заманюють користувачів на підставні сайти для введення банківських реквізитів, росте зі швидкістю 56% на місяць, стверджувала в минулому році “Антифішерськая робоча група” (Anti-Phishing Working Group).

По підрахункам групи, жертвами фішерів стає кожен десятий одержувач підроблених листів. А Gartner Group називає приблизне загальне число жертв - 1,78 млн. американців - і приводить приблизну суму грошей, викрадену за допомогою крадених реквізитів - $2,4 млрд.

По матеріалам http://www.securitylab.ru.

Опубліковано невелике оновлення безпеки, адресоване для виправлення можливих уразливостей в Invision Power Board. Дірка може проявитися тільки при включених додаткових BB-кодах на форумі і тільки при визначеному їхньому використанні. При цих обставинах можлива вставка шкідливого html коду. Додатково у виправленні усунуті проблеми безпеки при використанні flash і помилка з автовизначенням переходу на літній/зимовий час.

Зокрема, в даному секюріті патчі для IPB 2.3.x виправлена знайдена мною XSS уразливість в IPB, про яку я вже писав.

• Исправления безопасности в Invision Power Board 2.3.x (деталі)

Із сьогоднішнього дня клієнти британських банків, що не піклуються про безпеку свого комп’ютера, не зможуть висунути претензії нікому, якщо з їхніх рахунків раптово зникнуть гроші.

У новій версії Банківського кодексу, прийнятого британською банківською асоціацією (British Bankers’ Association) у понеділок, мається стаття 12.9, у якій говориться: “Стежте за безпекою комп’ютера. Використовуйте сучасне антивірусне, антишпигунське ПЗ, а також персональний брандмауер”. Крім того, у кодексі сказано, що банки не несуть відповідальності за збитки, у випадку якщо їх несуть клієнти. Якщо на комп’ютері немає антивірусу, антишпигуна і брандмауера. Також користувачам рекомендується поводитися “обачно”.

Крім того, сьогодні стало відомо про втрату британським банком HSBC диска з інформацією про 370 тисячі клієнтів. Адрес і реквізитів, як пише BBC, на носії не було, однак, по-перше, це вже ніхто не доведе, а по-друге, все рівно неприємно.

По матеріалам http://expert.com.ua.

Виявлені численні уразливості безпеки в Apache-SSL.

Уразливий продукт: Apache-SSL.

Численні уразливості при ініціалізації змінних оточення з даних клієнтського сертифіката.

• Apache-SSL security release - apache_1.3.41+ssl_1.59 (деталі)

Сайти соціальних мереж являють собою плацдарм для зловживання довірою з боку хакерів і комп’ютерних шахраїв, стверджує датська компанія досліджень інформаційної безпеки CSIS. І як я нещодавно писав, в 2008 році ця тенденція продовжиться.

Приміром, сайти на зразок LinkedIn дозволяють створити своє приватне співтовариство, і, запрошуючи в нього випадкових людей, використовувати потім їхню довіру в шахрайських цілях. Дослідник CSIS Деніс Ренд створив фіктивний профіль на LinkedIn і за кілька тижнів зібрав співтовариство з 1340 “довірених зв’язків”. “Сліпа довіра”, вбудована в соціальні мережі, може бути використана для розсилання посилань на шкідливі веб-сторінки, при цьому одержувач буде помилково думати, що джерело - довірене.

Оскільки LinkedIn призначена для ділових зв’язків, і, отже, відкрита для доступу з офісу, співробітник, що звільняється, може просто завантажити до себе на сторінку конфіденційну інформацію, говорить Ренд. Дослідження на основі мережі LinkedIn з 10 млн. зареєстрованих користувачів відображує ситуацію в просторі соціальних мереж у цілому. На думку Ренда, компанії повинні стежити за використанням таких ресурсів.

За даними доповіді університету Індіани, США, 72% одержувачів фішерських електронних листів від своїх колег по соціальній мережі не змогли розпізнати загрозу. Але лише 15% не змогли цього зробити, одержавши листа від випадкових людей. За даними ha.ckers.org, середній доход фішера, що використовує для шахрайства MySpace, Facebook і LinkedIn, складає до $4000 в день.

По матеріалам http://www.securitylab.ru.

В минулому році виявлені переповнення буфера в Mozilla Firefox. Уразливість дозволяє віддаленому користувачу виконати довільний код на цільовій системі.

Уразливі продукти: Mozilla Firefox 1.5, Firefox 2.0, SeaMonkey 1.0.

1. Уразливість існує через помилку дизайну при обробці спеціально сформованих SSLv2 повідомлень сервера. Зловмисник, що контролює веб сервер, може послати цільовому користувачу сертифікат з публічним ключем, якого не досить для шифрування “Master Secret”, викликати переповнення динамічної пам’яті і виконати довільний код на цільовій системі.

2. Цілочисленне переповнення виявлене при обробці клієнтських SSLv2 майстр-ключів. Віддалений користувач може за допомогою спеціально сформованих опцій під час SSLv2 рукостискання викликати переповнення стека і виконати довільний код на цільовій системі.

До речі, нещодавно були виявлені численні уразливості в останніх версіях Mozilla Firefox та Seamonkey, тому користувачам даних браузерів варто їх оновити.

• Переполнение буфера в Mozilla Firefox (деталі)

Виявлена можливість підміни адреси в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 7.0 під Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server.

• Internet explorer 7.0 spoofing (деталі)

Виявлені численні уразливості безпеки в Mozilla Firefox та Seamonkey, а також в Thunderbird.

Уразливі продукти: Firefox 2.0, Thunderbird 2.0, Seamonkey 2.0.

Виконання коду через JavaScript, міжсайтовий скриптінг, численні DoS-умови, підміна URI і діалогів, доступ до локальних портів через Java, проблема з приватністю при використанні SSL-аутентифікації.

• US-CERT Technical Cyber Security Alert TA08-087A — Mozilla Updates for Multiple Vulnerabilities (деталі)
• Mozilla Foundation Security Advisory 2008-19 (деталі)
• Mozilla Foundation Security Advisory 2008-18 (деталі)
• Mozilla Foundation Security Advisory 2008-17 (деталі)
• Mozilla Foundation Security Advisory 2008-16 (деталі)
• Mozilla Foundation Security Advisory 2008-15 (деталі)
• Mozilla Foundation Security Advisory 2008-14 (деталі)
• Mozilla Foundation Security Advisory 2008-13 (деталі)