Websecurity - Веб безпека

Cenzic, постачальник рішень ІБ, що займається також оцінкою ризиків, нещодавно оголосив про уразливості в Google Gmail і Microsoft Internet Explorer, що можуть поставити під загрозу конфіденційні дані користувачів.

Дослідники Cenzic знайшли можливість підробки запитів CSS, що в сполученні з некоректним використанням директив кешування може привести до витоку конфіденційної інформації. Хакер може використати цю уразливість для доступу до особистих даних, повідомляється на сайті Cenzic. Ці уразливості можуть також застосовуватися для атак систем, де використовується Internet Explorer і загальний обліковий запис для всіх користувачів, що, наприклад, практикується в інтернет-кафе і бібліотеках.

“Ці уразливості продемонстрували серйозні проблеми популярних служб, до яких користувачі відносяться як до безпечних”, - сказав Мендіп Хера, віце-президент Cenzic по маркетингу. Очевидно, що уразливості напевно вже виправлені.

По матеріалам http://www.cnews.ru.

Виявлений обхід захисту безпечного режиму через htaccess в PHP (protection bypass).

Уразливі версії: PHP 4.4, PHP 5.2.

Можлива маніпуляція роботою різних функцій, таких як session_save_path() та ini_set() через змінні htaccess.

• PHP 5.2.4 mail.force_extra_parameters unsecure (деталі)
• PHP 5.2.3 PHP 4.4.7, htaccess safemode and open_basedir Bypass Vulnerability (деталі)

Правоохоронні органи України оприлюднили статистику злочинів, зроблених у сфері комп’ютерних технологій за поточний рік. Як повідомляє Департамент зв’язків із громадськістю МВС України, у 2007 році розкриті 678 злочинів, що на 16% більше, ніж за весь минулий рік.

Відзначається також, що кримінальні справи по 381 злочину в сфері комп’ютерних технологій закінчені розслідуванням і спрямовані в суд з обвинувальним висновком. Серед розкритих злочинів майже чверть (168) приходяться на сферу електронних платежів, 23% зроблені в сфері комп’ютерних і інтернет-технологій, 12% - у сфері телекомунікацій.

У МВС України також повідомляють, що на даний момент створені інформаційні бази даних щодо осіб, причетних до здійснення “карткових” злочинів, а також осіб, причетних до шахрайства з грошовими переказами в українському сегменті мережі Інтернет. Усього на сьогодні задокументовано 235 таких осіб.

По матеріалам http://ain.com.ua.

Одна з європейських антивірусних компаній, BitDefender, повідомила про проникнення шкідливого вірусу в текстові рекламні оголошення від Google. Це шкідливе програмне забезпечення перенаправляло рекламний трафик, що призначався пошуковцю на сервери третьої сторони.

За повідомленням Google, рахунки користувачів, котрі показували рекламні оголошення, що містили “троян”, були заблоковані. На думку BitDefender, що і виявила атаку на сайтах румунських користувачів, вірус відноситься до шкідливих програм “середнього” ступеня небезпеки.

По матеріалам http://www.searchengines.ru.

За даними ЗМІ США, усе більше число користувачів скаржаться на проблеми в роботі Internet Explorer, що з’явилися разом з останнім оновленням. Проблеми стосуються ПК із встановленими Internet Explorer 6 і 7 під Windows XP і Vista.

Після встановлення оновлення, що усуває критичні уразливості в ПЗ, Internet Explorer, як стверджують деякі користувачі, припиняє роботу чи відразу при запуску, чи при спробі завантажити деякі веб-сторінки. Це відбувається при відвідуванні сайтів відомих компаній, наприклад, FedEx. Зараз Microsoft вивчає дане питання.

Проблеми, що згадуються в бюлетені безпеки MS07-069, не пояснюють дане явище. Microsoft припускає, що проблема викликана втратою даних реєстру, що повинні були прописуватися при встановленні оновлення. Адміністраторам не рекомендується видаляти оновлення, оскільки воно усуває серйозні уразливості, що можуть використовуватися для впровадження шкідливого коду за допомогою веб-сторінок. Як рішення проблеми пропонується переглядати сторінки, не відображувані IE, за допомогою альтернативного браузера, такого як Firefox, Opera і Safari, доти, поки Microsoft не вирішить це питання.

По матеріалам http://www.cnews.ru.

P.S.

У Майкрософт часто виникають подібні проблеми з патчами, котрі окрім виправлення багів, додають нові проблеми користувачам . Тому, щоб не стикатися з подібними проблемами, користувачам Internet Explorer варто повністю перейти на альтернативні та надійні браузери.

Виявлені криптографічні проблеми з перевіркою сертифікатів у бібліотеці Ruby Net::HTTPS.

Уразливі версії: Ruby 1.8.

Не перевіряється CN сертифіката, що дозволяє використовувати валідний сертифікат, виданий для іншого CN.

• Ruby Net::HTTPS library does not validate server certificate CN (деталі)

Вийшло чергове оновлення дев’ятої версії популярного веб-браузера Opera.

Версія 9.25 містить наступні оновлення безпеки:

• закрита уразливість у плагінах, що дозволяє проводити атаки за допомогою міжсайтового скриптінга;
• закрита уразливість у сертифікатах TLS, що дозволяє виконувати довільний код;
• виправлена уразливість у процесі редагування складного тексту;
• закрита уразливість при використанні бітових зображень (доступ до випадкових ділянок пам’яті).

По матеріалам http://www.cnews.ru.

Виявлена можливість підміни IDN в Internet Explorer. Уразливість дозволяє віддаленому користувачу зробити спуфінг-атаку.

Уразливі версії: Microsoft Internet Explorer 7.x.

Уразливість існує через помилку в реалізації IDN (International Domain Name) у діалоговому вікні HTTP Basic аутентифікації. Віддалений користувач може за допомогою спеціально сформованої веб сторінки підмінити доменне ім’я в аутентифікаційному діалозі.

• Подмена IDN в Microsoft Internet Explorer (деталі)

Фахівець в області безпеки Дідьє Стівенс з’ясував, що ні загроза комп’ютеру, ні підозрілий дизайн не зможуть перебороти людські рефлекси - багато хто автоматично готовий клікнути на лінку “жми сюди!!!”. Його контекстне оголошення в Google із фразою “Ваш комп’ютер ще чистий від вірусів? Тоді заразіть його тут!” привело на сайт 409 відвідувачів.

“За півроку моя реклама спливала 260000 разів, і по ній пройшли 409 разів - у 0,16% випадків. Уся “рекламна кампанія” обійшлася мені в 23 долара, тобто по 6 центів за клік чи, іншими словами, за один потенційно заражений комп’ютер”, - говорить Стівенс.

Він повідомляє, що спеціально створив максимально підозрілий дизайн свого оголошення, але навіть це не насторожило користувачів. Не відреагували на неї і модератори Google - реклама була схвалена і донедавна розміщувалася на сторінках пошуковця.

Є два варіанти логіки людей, що пройшли по лінці. Це або користувачі, що розкусили жарт, котрі вирішили поцікавитися, куди ж їх приведе така реклама, або ті, хто поплутав її з рекламою антивірусу.

У всякому разі, очевидно, що навіть саме безглузде оголошення знаходить свою аудиторію. Тому, скільки б рекламщики не вивчали психологію користувачів чи їхнього пересування по Мережі, до 14 переваг інтернет-реклами можна сміливо додати п’ятнадцяте: “Що б ви не рекламували, і як би не оформили баннер, знайдуться ті, хто на нього клікне”.

По матеріалам http://www.securitylab.ru.

P.S.

Це ще була “безпечна” реклама, бо лінка вела на безпечний сайт. Але часто трапляються випадки (і в цьому році подібні випадки були неодноразово зафіксовані), коли контекстна реклама в Гуглі веде на зловмисні сайти. Причому рекламують вони не віруси, а більш привабливі для користувачів речі.

Виявлена уразливість в Internet Explorer, котра дозволяють віддаленому користувачу зробити спуфінг-атаку чи викликати відмову в обслуговуванні.

Уразливі версії: Microsoft Internet Explorer 5.01, Internet Explorer 6.x, Internet Explorer 7.x.

Уразливість існує через помилку при обробці події “onunload”, що дозволяє віддаленому користувачу скасувати завантаження нової сторінки. Зловмисник може підмінити адресний рядок браузера, якщо користувач, після відвідування спеціально сформованої сторінки, вручну набере нову адресу в адресному рядку. Уразливість дозволяє також викликати розіменування нульового вказівника і викликати відмову в обслуговуванні браузера.

• Подмена адресной строки и разыменование нулевого указателя в Internet Explorer (деталі)