Websecurity - Веб безпека

Нещодавно були виявлені декілька проблем безпеки в Mozilla та продуктах на його основі, такому як Mozilla Firefox. Проект CVE повідомляє про наступні уразливості:

• The Javascript engine might allow remote attackers to execute arbitrary code.
• Multiple integer overflows in the Javascript engine might allow remote attackers to execute arbitrary code.
• Specially crafted Javascript allows remote attackers to execute arbitrary code.
• Remote AutoConfig (PAC) servers could execute code with elevated privileges via a specially crafted PAC script.
• Scripts with the UniversalBrowserRead privilege could gain UniversalXPConnect privileges and possibly execute code or obtain sensitive data.
• Multiple vulnerabilities allow remote attackers to cause a denial of service (crash) and possibly execute arbitrary code.

Додаткова інформація:

• New Mozilla Firefox packages fix several vulnerabilities (деталі)

Можливе переповнення буфера в ImageMagick (ImageMagick buffer overflow).

Уразливі версії: ImageMagick 6.2.

Виявлено переповнення буфера при розборі графічного формату SGI. Пізніше також виявлені переповнення буфера при розборі форматів XCF та Sun Rasterfile.

ImageMagick нерідко використовується як додатковий компонент для роботи з графікою для Perl та PHP. Рекомендую оновити на останню версію з сайта виробника.

Додаткова інформація:

• ImageMagick ReadSGIImage() Heap Overflow (деталі)
• Example crafted SGI file crash ImageMagick (деталі)
• ImageMagick XCF and Sun Rasterfile Buffer Overflows (деталі)
• Переполнение буфера в ImageMagick (деталі)
• Updated ImageMagick packages fix vulnerabilities (деталі)

23.09.2006

Уразливість дозволяє віддаленому користувачу викликати відмову в обслуговуванні додатка.

Уразливі версії: Sendmail 8.13.7, можливо більш ранні версії.

Уразливість існує через помилку при обробці занадто довгих заголовків. Віддалений користувач може за допомогою спеціально сформованого email повідомлення аварійно завершити роботу додатка.

Рекомендую встановити останню версію Sendmail (8.13.8) з сайта виробника.

• Отказ в обслуживании в Sendmail (деталі)

25.09.2006

DoS проти Sendmail.

Додаткова інформація:

• 005: SECURITY FIX: August 25, 2006 (деталі)
• Use-after-free vulnerability in Sendmail before 8.13.8 (деталі)

Міжсайтовий скриптінг через mysql_error() в PHP.

Уразливі версії: PHP 4.4, PHP 5.1.

При використанні mysql_error() у виведенні додатка можлива ситуація міжсайтового скриптінга (XSS).

• mysql_error() can lead to Cross Site Scripting attacks (деталі)

Критичні уразливості в Flash Player 8.0.24.0 і більш ранніх версіях дозволяють зловмиснику одержати повний контроль над цільовою системою і виконати інші типи нападів.

Уразливі: Macromedia Flash 8.x, Macromedia Flash MX 2004, Macromedia Flash MX Professional 2004, Macromedia Flash Player 7.x, Macromedia Flash Player 8.x, Macromedia Flex 1.x.

Зокрема відомо про наступні уразливості в flash плеєрі:

1. Декілька невстановлених уразливостей переповнення буфера дозволяють виконати довільний код при завантаженні спеціально обробленого SWF файлу, наприклад при перегляді зловмисного веб сайта.
2. Невстановлена помилка дозволяє обійти обмеження параметра “allowScriptAccess”.
3. Невстановлена помилка існує в шляху, якомим ActiveX керування запускає програми Microsoft Office на Windows системах.

Рекомендую встановити останню версію Flash плеєра.

• Множественные уязвимости в Adobe Flash Player (деталі)
• Multiple Vulnerabilities in Adobe Flash Player 8.0.24.0 and Earlier Versions (деталі)

В MySQL виявлена уразливість до DoS атак. Уразливі версії: MySQL 4.1.

Складний запит c підзапитами і відновленням декількох таблиць може привести до відмови сервера.

• Updated MySQL packages fix DoS vuln, initscript bug (деталі)

Можливий обхід захисту PHP Safe Mode (PHP Safe Mode protection bypass).

Уразливі версії: PHP 4.4, PHP 5.1, PHP 5.2.

Використовуючи функцію ini_restore можна скинути значення змінної safe_mode.

• PHP 5.1.6 / 4.4.4 Critical php_admin* bypass by ini_restore() (деталі)

Виявлено переповнення буфера в Adobe/Macromedia Flash Player (buffer overflow). Переповнення динамічного буфера при показі .swf файлів. Уразливість може бути використана для прихованого встановлення шкідливого коду через браузер.

Уразливі продукти: Flash MX 2004, Flash Player 8.0, Flex 1.5.

• Adobe/Macromedia Flash Player Vulnerability (деталі)

Нещодавно, 14.09.2006, модний парубок Eric Farraro знайшов нову XSS уразливість в Гуглі. Давненько вже не було чути про Cross-Site Scripting уразливості в сервісах Гугла і от, нарешті, свіжа новина.

Уразливість була знайдена в Google Public Search Service. До речі до сих пір (вже три дні), як не працює даний сервіс - в Гугл відключили його (як ви можете побачити - “This service is currently unavailable. Please try again later.”). До сих пір Гугл займається виправленням даної ураливості.

Компанії Google потрібно більше приділяти уваги безпеці власних сайтів і сервісів.

• Phising Exploit Discovered in ‘Google Public Search Service’ (деталі)

Найбільш прикрою дірою у системах комп’ютерної безпеки є не апаратне і програмне забезпечення, а користувачі. У цьому впевнені кращі хакери світу і фахівці з кібербезпеки (і я з ними в цьому погоджуюсь).

“Ця проблема набагато в більшому ступені людська, чим технічна”, - сказав Ден Камініски з фірми Dox Para Research на головній міжнародній конференції хакерів DefCon. Менеджери комп’ютерних мереж на конференції визнали, що співробітники фірм, як правило, залишають паролі, записані на папірцях, приклеєних до моніторів чи під клавіатурою, і обмінюються секретними кодами доступу зі своїми товаришами по службі.

В одному з конференц-залів казино, де зібралися учасники DefCon, була встановлена “Дошка Вівці”, на якій був поміщений список незліченних логинів і паролів, вивуджених з незахищених комп’ютерів через інтернет. Багато учасників конференції носили футболку з фразою, приписуваної легендарному хакеру Кевіну Мітнику, знамениті атаки якого грунтувалися більше на маніпулюванні людьми, а не програмним забезпеченням: “Фахівець із соціальної інженерії, адже для людської дурості немає патча”.

Інтернет сьогодні заповнений електронними фішинг-листами і веб-сайтами фішинга, якими зловмисники користаються для крадіжки особистої інформації користувачів. Онлайн-шахраї хитрістю змушують людей завантажувати приховані комп’ютерні програми, що дозволяють хакерам захоплювати віддалений контроль над ураженими комп’ютерами. Злочинці можуть добути коштовну інформацію з комп’ютерів, розгорнути атаку проти інших комп’ютерів чи навіть використовувати жосткий диск користувача як сховище таких нелегальних даних, як, наприклад, порнографія.

Шахраям як і раніше вдається змушувати людей відкривати вкладення в електронні листи, заражені вірусами й іншим шкідливим ПО, даючи файлам привабливі імена. “Якщо електронний лист виглядає забавно, коли ви його відкриєте, швидше за все, забавно вже не буде”, - попереджає Бред Сміт.

Нарешті, дуже дивно, що в сучасному світі люди все ще досить нерозумні, щоб розповідати про свої паролі приємним незнайомцям чи колегам по роботі, що цікавляться, говорить Сміт.

По матеріалам http://www.cnews.ru.