Websecurity - Веб безпека

Кількість фішерських розсилок, що заманюють користувачів на підставні сайти для введення банківських реквізитів, росте зі швидкістю 56% на місяць, стверджувала в минулому році “Антифішерськая робоча група” (Anti-Phishing Working Group).

По підрахункам групи, жертвами фішерів стає кожен десятий одержувач підроблених листів. А Gartner Group називає приблизне загальне число жертв - 1,78 млн. американців - і приводить приблизну суму грошей, викрадену за допомогою крадених реквізитів - $2,4 млрд.

По матеріалам http://www.securitylab.ru.

Опубліковано невелике оновлення безпеки, адресоване для виправлення можливих уразливостей в Invision Power Board. Дірка може проявитися тільки при включених додаткових BB-кодах на форумі і тільки при визначеному їхньому використанні. При цих обставинах можлива вставка шкідливого html коду. Додатково у виправленні усунуті проблеми безпеки при використанні flash і помилка з автовизначенням переходу на літній/зимовий час.

Зокрема, в даному секюріті патчі для IPB 2.3.x виправлена знайдена мною XSS уразливість в IPB, про яку я вже писав.

• Исправления безопасности в Invision Power Board 2.3.x (деталі)

Із сьогоднішнього дня клієнти британських банків, що не піклуються про безпеку свого комп’ютера, не зможуть висунути претензії нікому, якщо з їхніх рахунків раптово зникнуть гроші.

У новій версії Банківського кодексу, прийнятого британською банківською асоціацією (British Bankers’ Association) у понеділок, мається стаття 12.9, у якій говориться: “Стежте за безпекою комп’ютера. Використовуйте сучасне антивірусне, антишпигунське ПЗ, а також персональний брандмауер”. Крім того, у кодексі сказано, що банки не несуть відповідальності за збитки, у випадку якщо їх несуть клієнти. Якщо на комп’ютері немає антивірусу, антишпигуна і брандмауера. Також користувачам рекомендується поводитися “обачно”.

Крім того, сьогодні стало відомо про втрату британським банком HSBC диска з інформацією про 370 тисячі клієнтів. Адрес і реквізитів, як пише BBC, на носії не було, однак, по-перше, це вже ніхто не доведе, а по-друге, все рівно неприємно.

По матеріалам http://expert.com.ua.

Виявлені численні уразливості безпеки в Apache-SSL.

Уразливий продукт: Apache-SSL.

Численні уразливості при ініціалізації змінних оточення з даних клієнтського сертифіката.

• Apache-SSL security release - apache_1.3.41+ssl_1.59 (деталі)

Сайти соціальних мереж являють собою плацдарм для зловживання довірою з боку хакерів і комп’ютерних шахраїв, стверджує датська компанія досліджень інформаційної безпеки CSIS. І як я нещодавно писав, в 2008 році ця тенденція продовжиться.

Приміром, сайти на зразок LinkedIn дозволяють створити своє приватне співтовариство, і, запрошуючи в нього випадкових людей, використовувати потім їхню довіру в шахрайських цілях. Дослідник CSIS Деніс Ренд створив фіктивний профіль на LinkedIn і за кілька тижнів зібрав співтовариство з 1340 “довірених зв’язків”. “Сліпа довіра”, вбудована в соціальні мережі, може бути використана для розсилання посилань на шкідливі веб-сторінки, при цьому одержувач буде помилково думати, що джерело - довірене.

Оскільки LinkedIn призначена для ділових зв’язків, і, отже, відкрита для доступу з офісу, співробітник, що звільняється, може просто завантажити до себе на сторінку конфіденційну інформацію, говорить Ренд. Дослідження на основі мережі LinkedIn з 10 млн. зареєстрованих користувачів відображує ситуацію в просторі соціальних мереж у цілому. На думку Ренда, компанії повинні стежити за використанням таких ресурсів.

За даними доповіді університету Індіани, США, 72% одержувачів фішерських електронних листів від своїх колег по соціальній мережі не змогли розпізнати загрозу. Але лише 15% не змогли цього зробити, одержавши листа від випадкових людей. За даними ha.ckers.org, середній доход фішера, що використовує для шахрайства MySpace, Facebook і LinkedIn, складає до $4000 в день.

По матеріалам http://www.securitylab.ru.

В минулому році виявлені переповнення буфера в Mozilla Firefox. Уразливість дозволяє віддаленому користувачу виконати довільний код на цільовій системі.

Уразливі продукти: Mozilla Firefox 1.5, Firefox 2.0, SeaMonkey 1.0.

1. Уразливість існує через помилку дизайну при обробці спеціально сформованих SSLv2 повідомлень сервера. Зловмисник, що контролює веб сервер, може послати цільовому користувачу сертифікат з публічним ключем, якого не досить для шифрування “Master Secret”, викликати переповнення динамічної пам’яті і виконати довільний код на цільовій системі.

2. Цілочисленне переповнення виявлене при обробці клієнтських SSLv2 майстр-ключів. Віддалений користувач може за допомогою спеціально сформованих опцій під час SSLv2 рукостискання викликати переповнення стека і виконати довільний код на цільовій системі.

До речі, нещодавно були виявлені численні уразливості в останніх версіях Mozilla Firefox та Seamonkey, тому користувачам даних браузерів варто їх оновити.

• Переполнение буфера в Mozilla Firefox (деталі)

Виявлена можливість підміни адреси в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 7.0 під Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server.

• Internet explorer 7.0 spoofing (деталі)

Виявлені численні уразливості безпеки в Mozilla Firefox та Seamonkey, а також в Thunderbird.

Уразливі продукти: Firefox 2.0, Thunderbird 2.0, Seamonkey 2.0.

Виконання коду через JavaScript, міжсайтовий скриптінг, численні DoS-умови, підміна URI і діалогів, доступ до локальних портів через Java, проблема з приватністю при використанні SSL-аутентифікації.

• US-CERT Technical Cyber Security Alert TA08-087A — Mozilla Updates for Multiple Vulnerabilities (деталі)
• Mozilla Foundation Security Advisory 2008-19 (деталі)
• Mozilla Foundation Security Advisory 2008-18 (деталі)
• Mozilla Foundation Security Advisory 2008-17 (деталі)
• Mozilla Foundation Security Advisory 2008-16 (деталі)
• Mozilla Foundation Security Advisory 2008-15 (деталі)
• Mozilla Foundation Security Advisory 2008-14 (деталі)
• Mozilla Foundation Security Advisory 2008-13 (деталі)

В статті Looming Online Security Threats in 2008 на www.businessweek.com зазначається, що веб-сервіси, включаючи соціальні мережі (такі як MySpace та Facebook) стануть головними цілями для хакерів, що шукають вашу персональну інформацію.

В даній статті розповідається про загрози онлайн безпеки, що очікуються в 2008 році. Автор статті наголошує, що хакери все більше будуть шукати можливі витоки інформації і використовувати їх для отримання персональної інформації про користувачів. Котра потім буде використовувати для проведення подальших атак (в тому числі фішінг атак). Зокрема, головними цілями для отримання персональної інформації стануть соціальні мережі.

В статті наводяться наступні тенденції в галузі безпеки, що очікуються в цьому році:

1. Використання довіри - інтернет-шахрайства стануть ще більш поширеними і вони будуть проводитися не тільки по емайлу чи IM, але й через соціальні мережі. Причому головні атаки будуть проводитися на браузери користувачів.

2. Хакери змінюють вектор атак - все більше атак буде проводитися на веб-сервіси.

3. Мобільна та корпоративна обережність - все більше атак будуть відбуватися на мобільні пристрої (телефони, смартфони та комунікатори), тому що вони можуть зберігати цінну інформацію.

4. Віруси: більш витонченна приманка - віруси будуть ще більше використовувати соціальну інженерію, щоб заразити комп’ютери користувачів та завести їх у зомбі-мережі для проведення різноманітних атак.

Виявлені integer overflow уразливості в PHP.

Уразливі версії: PHP 5.2.

Цілочисленне переповнення в функціях printf.

• PHP 5 *printf() - Integer Overflow (деталі)