Websecurity - Веб безпека

В цей вівторок корпорація Microsoft випустила 7 бюлетенів безпеки з описом 11 уразливостей в операційних системах Windows різних версій, поштовому клієнті Outlook Express, браузері Internet Explorer та інших програмних компонентах.

Як повідомляється, три з виявлених дір становлять критичну небезпеку. Це означає, що уразливості можуть використовуватися зловмисниками для одержання несанкціонованого доступу до віддаленого комп’ютера з подальншим виконанням на ньому довільних операцій. Критичні діри виявлені в програмних інтерфейсах DirectX із сьомої по десяту версію, Internet Explorer 6 і 7, а також кодеку Windows Media Format Runtime, що входить до складу плеера Windows Media Player.

По матеріалам http://www.secblog.info.

Консорціум WASC (Web Application Security Consortium) оголосив про доступність списку можливих способів виконання javascript коду без використання тега scrіpt, стосовно до браузерів MS Internet Explorer 7, Firefox 2 і Safari 3. Дані можна використовувати при написанні фільтрів, що запобігають Cross-Site Scripting атакам у веб-додатках, що приймають користувацькі дані з елементами HTML форматування.

Детальніше про проект: The Script Mapping Project.

По матеріалам http://www.opennet.ru.

Цього року на міжнародному змаганні хакерів Capture the Flag (CTF) перемогла команда Chocolate Makers з Міланського Університету. Команда Squareroots з університету Мангейма була другою, а HackerDom з Російського Уральського державного університету завоювала третє місце. Торішній переможець, We_0wn_Y0u з Відня зайняв тільки четверте місце.

В андеграунді залишилися команди Hexadecimators з Каліфорнійського університету в Санта-Барбарі (UCSB), DoS DevilZ з Амритської школи інженерів (Індія) та Graham Crackers з американського Пенсильванського державного університету. В цілому участь у конкурсі приймали 36 команд з усього світу, вісім з них - з Німеччини.

Організатори дали командам трохи менше семи годин для вирішення задач з використанням семи різних сервісів. Кожний з цих спеціально підготовлених сервісів містить уразливість, знайшовши яку, можна одержати очки. Також потрібно було створити патчи для них. Додаткові задачі - копіювання і шифрування даних.

Цей найбільший у світі конкурс проходить протягом декількох днів і організується щороку на конференції хакерів Defcon у Лас-Вегасі.

По матеріалам http://www.secblog.info.

Вийшли нові версії Mozilla Firefox і Seamonkey, котрі містять патчі до трьох уразливостей - підробки REFERER через змагання умов при установці window.location, ушкодженню пам’яті, небезпеки XSS через jar: URI.

Були виправлені наступні уразливості:

1. Mozilla Firefox до версії 2.0.0.10 (а також Seamonkey до 1.1.7) містить ряд уразливостей, що дозволяють викликати ушкодження пам’яті при відвідуванні спеціально сформованих веб-сторінок, що, у свою чергу, може привести до виконання довільного коду чи аварійному завершенню роботи браузера.

2. Mozilla Firefox до версії 2.0.0.10 (а також Seamonkey до 1.1.7) містить уразливість до підробки поля HTTP_REFERER у заголовку HTTP запиту. Уразливість викликана виникненням змагання умов при встановленні window.location.

Підробка HTTP_REFERER дозволяє здійснити атаку типу CSRF (міжсайтова підробка запиту) на сайти, що використовують поле HTTP_REFERER для захисту від такого виду атак.

3. Обробник URI типу “jar:” в Mozilla Firefox до 2.0.0.10 (а також Seamonkey до 1.1.7) представляє можливість проведення атак міжсайтового скриптінга на сторонніх сайтах. Можливість звертання через URI до довільного файлу в архіві .jar (що має формат zip), може привести до виконання html-файлів (і вбудованого в них JavaScript чи VBScript коду), що містяться в архіві, у контексті того сайта, на який вони були завантажені.

Небезпека виникає унаслідок відсутності перевірки MIME-типу архіву. У Firefox 2.0.0.10 встановлене обмеження на обробку протоколу jar - тільки для application/java-archive і application/x-jar. Можливість звертання до файлів усередині архіву jar була введена в браузер для підтримки веб-сторінок з цифровим підписом, що дозволяє сайтам завантажувати сторінки, упаковані в zip-архіви у форматі java-archive, що містять файли з цифровими підписами.

• Mozilla Firefox 2.0.0.10 и Seamonkey 1.1.7 - патчи для трех уязвимостей (деталі)

P.S.

Після виходу Firefox 2.0.0.10, дуже швидко (через три дні) вийшла Mozilla Firefox 2.0.0.11. В цій версії виправили баг (з Canvas), котрий був допущний в версії 2.0.0.10.

Компанія Google має намір видалити зі свого пошукового індексу кілька тисяч сайтів, що містять шкідливе програмне забезпечення, однак за допомогою різних механізмів пошукової оптимізації з’явилися в рейтингу Google (в топі).

У компанії повідомили, що подібні сайти нерідко ставали причиною головного болю і для самої Google, тому що користувачі обвинувачували компанію в неякісному пошуку. Відомо, що масштабне чищення пошукового індексу почалося наприкінці листопада (28.11.2007).

Офіційно в Google не повідомляють про те, як довго триватиме чищення, скільки ресурсів уже видалено і скільки ще має бути видаленим. Незалежні аналітики з компанії Sunbelt Software Distribution говорять, що зі зловмисних ресурсів, що найчастіше з’являлися в результатах пошуку найбільш поширені сторінки з троянами, програмами віддаленого адміністрування і експлоітами для викрадення паролів.

По матеріалам http://www.cybersecurity.ru.

“Почали давити конкуренти? Хтось заважає вашому бізнесу? Потрібно вивести з ладу сайт супротивника?” - такими словами починається спам-розсилка з пропозицією послуг по організації DDoS-атак, що зафіксувала “Лабораторія Касперського”. У компанії вважають, що це пов’язано з появою надлишку потужностей у власників бот-мереж.

У розсилці рекламується “DDoS-сервіс” - використання міжнародної мережі заражених комп’ютерів для ініціації безлічі запитів на ресурс, що атакується, що приводить або до уповільнення його роботи, або до повного зависання сервера. Година атаки на сайт обійдеться в $20, також існує можливість замовити 15-хвилинний безкоштовний тест.

За словами керівника відділу аутсорсінга ІТ-безпеки Андрія Никішина, розсилки з такими пропозиціями зустрічаються вкрай рідко - як правило, пропозиції кримінальних послуг публікуються на хакерських сайтах. Спам-аналитіки “Лабораторії Касперського” бачать у цій розсилці яскраву ілюстрацію триваючого процесу криміналізації спама в Рунеті.

По матеріалам http://news.internetua.com.

Новий процесор для консолі PlayStation має таку потужність, що здатний взламувати паролі набагато швидше будь-якого іншого аналога.

Дослідник безпеки Нік Бріз з Security Assessment використовував PS3, щоб дешифрувати складні вісьмизначні паролі. Звичайно взлом таких паролів займає дні, а новий Cell зробив це усього за кілька годин.

Подібні паролі використовуються для захисту файлів формату PDF і Zip-архівів, а також продуктів Microsoft Office.

На конференції по безпеці Kiwicon, що проходила в середині листопада 2007 р., Бріз сказав, що процесори від Intel можуть робити 10-15 млн. циклів щосекунди. А Cell здатний проробляти 1,4 млрд. у секунду. Ця цифра досягається ефективною організацією багатоядерної системи. Фахівець відзначив, що хакери не преминуть скористатися новим досягненням ІТ-індустрії.

В інтерв’ю Sydney Morning Herald Бріз сказав, що, хоча PS3 може використовуватися для взлому паролів, більш потужні системи шифрування - наприклад, ті, що використовуються для забезпечення безпеки Мережі, - залишаються в безпеці.

По матеріалам http://www.cnews.ru.

Виявлена уразливість в Apache, що дозволяє віддаленому користувачу зробити XSS напад.

Уразливі версії: Apache 2.2.4, 2.0.46, 2.0.51, 2.0.55, 2.0.59 и 2.2.3, можливо інші ранні версії.

Уразливість існує через недостатню обробку вхідних даних при відображенні помилки “413 Request Entity Too Large”. Віддалений користувач може за допомогою спеціально сформованого запиту виконати довільний код сценарію в браузері жертви в контексті безпеки уразливого сайта.

• Межсайтовый скриптинг в Apache (деталі)

Вчора, 30.11.2007, відбувся міжнародний день захисту інформації. З чим вас і вітаю .

Міжнародний день захисту інформації відзначається 30 листопада, з 1988 року.

Цей рік не випадково став родоначальником свята, саме в цей рік була зафіксована перша масова епідемія хробака, що одержав назву по імені свого творця - Моріса. Саме тоді фахівці задумалися про необхідність комплексного підходу до забезпечення інформаційної безпеки.

У 1988 році американська асоціація комп’ютерного устаткування оголосила 30 листопада міжнародним Днем захисту інформації (Computer Security Day). Таким чином Асоціація хотіла нагадати усім про необхідність захисту комп’ютерної інформації і звернути увагу виробників і користувачів устаткування і програмних засобів на проблему безпеки.

З тих пір у цей день з ініціативи Асоціації комп’ютерного устаткування проводяться міжнародні конференції по захисту інформації, супроводжувані масою цікавих заходів.

По матеріалам http://www.calend.ru.

Алгоритм генерації випадкових чисел, офіційно рекомендований у якості стандартного Національним інститутом стандартів і технологій США (NIST), може містити “чорний хід”, навмисно залишений розробниками стандарту для американських спецслужб, зокрема - Агентства Національної Безпеки США (NSA).

Про “чорний хід” наприкінці минулого тижня заявив фахівець із криптографії Брюс Шнейер у своєму блозі. Він послався на дослідження своїх колег, що працюють у Microsoft - Нільса Фергюсона і Дена Шумова, представлене в серпні на конференції CRYPTO 2007.

Алгоритм із використанням методу еліптичних кривих, Dual_EC_DRBG, опублікований NIST у документі 800-90 про детерміністичні генератори випадкових чисел, містить потенційну уразливість - набір фіксованих початкових чисел, що визначають еліптичну криву, використовувану в алгоритмі. Дослідники з’ясували, що ці числа можуть бути математично зв’язані з іншим, секретним набором чисел, що може бути використаний в якості універсального ключа-відмички будь-якого шифру.

Шнейер не стверджує, що NSA володіє цими ключами. “Ми не знаємо, чи є вони в NSA, а також у NIST чи ANSI”, - пише він. Однак теоретично такі ключі можуть існувати, і хто-небудь рано чи пізно їх довідається.

По матеріалам http://www.secblog.info.