Websecurity - Веб безпека

Виявлений міжсайтовий скриптінг в Apache (Cross-Site Scripting).

Уразливі версії: Apache 2.2.

Можливий міжсайтовий скриптінг із використанням UTF-7 при генерації діагностичних повідомлень.

• Apache2 Undefined Charset UTF-7 XSS Vulnerability (деталі)

Нещодавно вийшла нова версія браузера Firefox 2.0.0.7. Компанія Mozilla була змушена випустити оновлення безпеки, що усуває можливість експлуатації уразливості річної давнини в Apple QuickTime. Уразливості піддаються користувачі, у яких встановлений програвач Apple QuickTime і Firefox є браузером по замовчуванню.

Для захисту користувачів від подібних уразливостей, останнє виправлення відключає можливість виконання довільних сценаріїв з командного рядка за допомогою опції -chrome.

Компанія Apple у 2006 році повідомила, що у версії 7.1.5 ця уразливість усунута, що виявилося не зовсім правдою. Таким чином, користувачі Firefox і QuickTime перебували під загрозою цілий рік.

По матеріалам http://www.securitylab.ru.

P.S.

Про дану уразливість в QuickTime, котру виявив і оприлюднив pdp, я ще розповім детально.

Корпорація Mozilla продовжує тестування третьої версії браузера Firefox. Остання, восьма, альфа-версія браузера, випущена наприкінці минулого тижня, цікава наявністю декількох нових функцій, що стосуються безпеки.

Зокрема, у Gran Paradiso істотно поліпшений модуль блокування шкідливих модулів. Він визначає небезпеку сайтів по наявності шкідливих лінок, що на них містяться. Ця функція працює в парі з антифішинговим модулем, представленим у другій версії браузера. Обидві функції позначають небезпечні сайти, видають користувачам попередження, якщо вони намагаються на них зайти, і автоматично блокують до них доступ.

Ще одна новинка, що стосується безпеки - перевірка сайта перед завантаженням плагінів для браузера. Як відомо, для Firefox написано досить багато плагинів, і в браузері є функція їхнього автоматичного оновлення, тому користувач часто не контролює процес завантаження. Firefox перевіряє сайт, на який перенаправляється браузер при спробі завантажити доповнення, і якщо ресурс небезпечний, завантаження не відбувається.

По матеріалам http://www.3dnews.ru.

Виявлена уразливість в Python в модулі imageop. Уразливі версії: Python 2.5.

В модулі виявлене цілочислене переповнення в функції imageop.tovideo (integer overflow).

• python <= 2.5.1 standart librairy multiples int overflow, heap overflow in imageop module (деталі)

Представники Інтерполу повідомили, що найближчим часом ця організація повинна обзавестися глобальними і декількома регіональними антикримінальними центрами, основна задача яких буде полягати у відстеженні протизаконної діяльності в Інтернеті й швидкій реакції на неї.

За словами генерального секретаря Інтерполу Рональда Нобла, Інтернету не слід бути місцем, де зловмисники будуть діяти безкарно.

Нещодавно представники 37 країн, що входять в Інтерпол, обговорили в індійській столиці Нью Делі методи боротьби з банківським шахрайством у Мережі, терористичною активністю і різними аспектами насильницької пропаганди. Нагадаємо, що на сьогодні штаб-квартира Інтерполу розташована у Франції, а всього в цю організацію входять 186 країн.

На думку експертів, подібні центри не тільки зможуть допомогти в пійманні інтернет-злочинців, але і стануть свого роду юридичними центрами і центрами по обміну інформацією про злочинців.

По матеріалам http://www.secblog.info.

Деякий час тому аналітичні організації Comscore і Nielsen Netratings представили громадськості дані звітів паралельних досліджень ринку пошукових запитів і часткою впливу найвідоміших пошукових сервісів і систем на сегмент у цілому. Співробітники Nielsen Netratings відзначили, що в грудні 2006 року компанія Google обробляла 50,8% усіх пошукових запитів користувачів США, тобто контролювала половину ринку. Потрібно сказати, що дані Comscore відносно Google завжди були нижче показників Nielsen Netratings, однак у травні 2007 результати чергового дослідження в черговий раз довели значимість Google - 50,7% усіх запитів.

Експерти Nielsen стверджують, що в травні на території США зафіксовано більш 7,16 млрд. пошукових запитів, з яких 56,3% були оброблені Google, а це більш 4,03 млрд. операцій, що практично в 2 рази перевищує показники минулого року - 2,8 млрд. Аналітики вважають, що сталий ріст популярності сервісів компанії дозволив домогтися видатних результатів і навіть рекордів уже сьогодні.

У той же час результати споконвічного конкурента, компанії Yahoo, абсолютно протилежні успіхам Google. У травні 2006 Yahoo контролювала 22,9% ринку, а через рік цей показник упав до оцінки 21,5%. Інший учасник “пошукової баталії”, сервіс Microsoft MSN, за даними Nielsen, утратив ще більшу частину ринку (8,4%).

По матеріалам http://www.3dnews.ru.

P.S.

Популярним пошуковцям слід також приділяти увагу безпеці власних систем, про що я писав в Місяці багів в Пошукових Системах. І про що нагадав їм нещодавно, знайшовши уразливості в Google Search Appliance та уразливість на search.yahoo.com.

Виявлена уразливість при обробці IF запитів в MySQL, яка дозволяє віддаленому користувачу викликати відмову в обслуговуванні БД.

Уразливі версії: MySQL версії до 5.0.40.

Уразливість існує через помилку при обробці спеціально сформованих IF запитів. Віддалений користувач може за допомогою IF запиту аварійно завершити роботу додатка.

• Уязвимость при обработке IF запросов в MySQL (деталі)

Комп’ютерна злочинність - три мільйони злочинів були зроблені протягом 2006 р. у британському сегменті Інтернету, підрахувала кримінологічна компанія 1871 Ltd за замовленням фахівця захисту реквізитів Garlic.

По підрахунках авторів дослідження, 60% злочинів - це образи, погрози, шантаж по електронній пошті чи на онлайн-форумах. Так, за рік зафіксовано 207 тис. випадків шахрайства, включаючи фішинг і використання номерів чужих кредитних карт; 144,5 тис. раз закон переступали хакери, взламуючи комп’ютери; 92 тис. раз відбувалися розкрадання даних кредитних карт; 92 тис. випадків відноситься до незаконного збору інформації для здійснення фінансових афер, наприклад - взяття позики на чуже ім’я; 850 тис. раз у британському сегменті Мережі відбувалися сексуальні домагання до дітей і завантаження дитячої порнографії.

У 90% випадків злочинці залишилися безкарними: жертви або не зверталися в поліцію, або одержали відмову від стражів порядку по небажанню чи нездатності допомогти. Багато жертв навіть не думають скаржитися, оскільки не вважають, що в Інтернеті діють ті ж закони, що і поза Мережею.

Деякі види злочинів в Інтернеті відбуваються так само часто, як і в реальному світі. Виходячи з того, що число порушень закону в Мережі стрімко росте, не виключено, що Інтернет стане більш криміногенним середовищем, чим вулиці. Основна причина росту, на думку виконавчого директора 1871 Ltd Стефана Фафінскі, в анонімності Мережі. А деякі види злочинів не існують поза Інтернетом.

“Наше дослідження - лише перший крок у спробі оцінити рівень кіберзлочинності у Великобританії”, - сказав виконавчий директор Garlic Том Айлюб. Визначення комп’ютерного злочину, на його думку, розмито, а реальну картину оцінити неможливо.

По матеріалам http://hackzona.ru.

Apache Software Foundation випустила нові версії HTTP-сервера Apache - 2.0.61 і 2.2.6, у яких усунуті п’ять уразливостей і виправлений ряд помилок.

Зокрема, закриті уразливості до відмови в обслуговуванні в модулях mod_proxy, mod_cache і mod_mem_cache, що дозволяли аварійно завершити сервер за допомогою спеціально сформованих шкідливих запитів. У той же час усунута уразливість до міжсайтового скриптінгу в mod_status і уразливість до відмови в обслуговуванні в модулі Prefork MPM. Розробники радять оновити веб сервери на нові версії.

По матеріалам http://www.secblog.info.

У ході досліджень, проведених компанією Sophos, що спеціалізується в області інформаційної безпеки, з’ясувалося, що Росія й Україна входять у число лідируючих країн по кількості заражених вірусами інтернет-сторінок. Фахівці Sophos прийшли до такого висновку, вивчивши вміст 8 мільярдів сторінок.

Перше місце по кількості вірусів зайняв китайський сегмент Мережі. У Китаї виявилося 44,8 відсотка від загального числа заражених сторінок. Друге місце зайняли Сполучені Штати Америки з 20,8 відсотка інфікованих сайтів. Трійку лідерів з показником у 11,3 відсотки замкнула Росія. Четверте місце зайняла Україна з показником у 7,7 відсотка.

У порівнянні з показниками липневих досліджень, проведених британською Sophos, Китай трохи здав свої позиції в рейтингу: місяцем раніше (а мова йде про дані за серпень 2007) на Китай приходилося 53,9 відсотка інфікованих веб-сторінок.

По матеріалам http://www.korrespondent.net.