Можливий обхід захисту PHP Safe Mode (PHP Safe Mode protection bypass).
Уразливі версії: PHP 4.4, PHP 5.1, PHP 5.2.
Використовуючи функцію ini_restore можна скинути значення змінної safe_mode.
Виявлено переповнення буфера в Adobe/Macromedia Flash Player (buffer overflow). Переповнення динамічного буфера при показі .swf файлів. Уразливість може бути використана для прихованого встановлення шкідливого коду через браузер.
Уразливі продукти: Flash MX 2004, Flash Player 8.0, Flex 1.5.
Нещодавно, 14.09.2006, модний парубок Eric Farraro знайшов нову XSS уразливість в Гуглі. Давненько вже не було чути про Cross-Site Scripting уразливості в сервісах Гугла і от, нарешті, свіжа новина.
Уразливість була знайдена в Google Public Search Service. До речі до сих пір (вже три дні), як не працює даний сервіс - в Гугл відключили його (як ви можете побачити - “This service is currently unavailable. Please try again later.”). До сих пір Гугл займається виправленням даної ураливості.
Компанії Google потрібно більше приділяти уваги безпеці власних сайтів і сервісів.
Найбільш прикрою дірою у системах комп’ютерної безпеки є не апаратне і програмне забезпечення, а користувачі. У цьому впевнені кращі хакери світу і фахівці з кібербезпеки (і я з ними в цьому погоджуюсь).
“Ця проблема набагато в більшому ступені людська, чим технічна”, - сказав Ден Камініски з фірми Dox Para Research на головній міжнародній конференції хакерів DefCon. Менеджери комп’ютерних мереж на конференції визнали, що співробітники фірм, як правило, залишають паролі, записані на папірцях, приклеєних до моніторів чи під клавіатурою, і обмінюються секретними кодами доступу зі своїми товаришами по службі.
В одному з конференц-залів казино, де зібралися учасники DefCon, була встановлена “Дошка Вівці”, на якій був поміщений список незліченних логинів і паролів, вивуджених з незахищених комп’ютерів через інтернет. Багато учасників конференції носили футболку з фразою, приписуваної легендарному хакеру Кевіну Мітнику, знамениті атаки якого грунтувалися більше на маніпулюванні людьми, а не програмним забезпеченням: “Фахівець із соціальної інженерії, адже для людської дурості немає патча”.
Інтернет сьогодні заповнений електронними фішинг-листами і веб-сайтами фішинга, якими зловмисники користаються для крадіжки особистої інформації користувачів. Онлайн-шахраї хитрістю змушують людей завантажувати приховані комп’ютерні програми, що дозволяють хакерам захоплювати віддалений контроль над ураженими комп’ютерами. Злочинці можуть добути коштовну інформацію з комп’ютерів, розгорнути атаку проти інших комп’ютерів чи навіть використовувати жосткий диск користувача як сховище таких нелегальних даних, як, наприклад, порнографія.
Шахраям як і раніше вдається змушувати людей відкривати вкладення в електронні листи, заражені вірусами й іншим шкідливим ПО, даючи файлам привабливі імена. “Якщо електронний лист виглядає забавно, коли ви його відкриєте, швидше за все, забавно вже не буде”, - попереджає Бред Сміт.
Нарешті, дуже дивно, що в сучасному світі люди все ще досить нерозумні, щоб розповідати про свої паролі приємним незнайомцям чи колегам по роботі, що цікавляться, говорить Сміт.
По матеріалам http://www.cnews.ru.
Знайдені числені уразливості в PHP. Уразливі версії: PHP < 4.4.4, PHP < 5.1.5.
Я вже раніше писав про знайдені численні уразливості в PHP.
Виявлені уразливості дозволяють локальному користувачу обійти деякі обмеження безпеки.
Рекомендую встановити останню версію php (4.4.4 чи 5.1.5) із сайта виробника.
Як я вже писав раніше, деякий час тому вийшов Invision Power Board 2.1.7. І майже одразу була знайдена уразливість в IPB.
Уразлива Invision Power Board 2.1.7 і більш ранні версії. Уразливість дозволяє віддаленому користувачу обійти деякі обмеження безпеки.
Уразливість існує через невідому помилку в режимі “threaded view”. Віддалений користувач може одержати доступ до повідомлень користувачів за межами теми.
Рекомендую встановити виправлення для IPB з сайта виробника.
Додаткова інформація на дану тему:
МОО ВПП ЮНЕСКО “Інформація для всіх” й інформаційно-аналітичний портал SecurityLab проводять нове опитування (дуже актуальне як для мене) в рамках проекту “Право і суспільство в цифрову епоху”, ціль якого - з’ясувати думку користувачів Рунета щодо припустимих границь дослідження уразливості інформаційних систем - програмного забезпечення, веб-сайтів, мереж передачі даних, тощо.
Ця тема неодноразово піднімалася на різних рівнях в усьому світі, але в Росії практично не була порушена. Пропозицією розгорнутого обговорення питань пошуку й усунення уразливостей пролунала доповідь Сергія Гордейчика в ході VII Міжнародної конференції “Право й Інтернет”, що зібрав експертів в області юриспруденції і комунікацій з державних, суспільних і комерційних структур країн СНД і Балтії.
Ситуація з пошуком, усуненням і публікацією інформації про уразливості є дуже делікатним питанням. З одного боку, без незалежної експертизи практично неможливо оцінити рівень захищеності того чи іншого продукту, а без публічного обговорення цих проблем дуже складно змусити виробників серйозно відноситься до безпеки власних продуктів.
З іншого боку, непродумане розголошення інформації про уразливості може привести до серйозних втрат, як з боку виробника, так і користувачів системи. Ситуація збільшується широким поширенням online-служб, таких як платіжні системи, IP-телефония, коли уразливість одного сервера може привести до обмеження інтересів великої кількості користувачів.
“У даний час більшість дослідників самостійно вибирають для себе стратегію взаємодії з виробником і публікації інформації про знайдені уразливості. Ці стратегії, чи “політики розголошення”, носять характер етичних норм і найчастіше досить агресивні”, - відзначив Сергій Гордейчик, - “Але з іншого боку, спроби бізнесу чи держави регулювати процес дослідження захищеності систем поки приводили тільки до активізації чорного ринку”.
Сьогодні термін “хакер” не має чіткого емоційного забарвлення. Хакерами називають і тих ентузіастів, що досліджують уразливості інформаційних систем з метою зробити кіберпростір надійнішим, і тих, хто, навпроти, використовує знайдені уразливості в корисливих чи хуліганських цілях.
Як відзначив керівник МОО ВПП ЮНЕСКО “Інформація для всіх” Олексій Демидов, - “Результати цього опитування допоможуть краще зрозуміти: що варто регулювати законодавчо, а з чим відмінно справляються інструменти саморегулювання, “правила гарного тону”, прийняті в кіберпросторі. Зокрема, де межа між хакером-подвижником і хакером-злочинцем”.
По матеріалам http://www.securitylab.ru.
03.09.2006
Уразливість в Apache дозволяє віддаленому користувачу викликати відмову в обслуговуванні додатка.
Уразливі версії: Apache версії до 1.3.37, Apache версії до 2.0.59, Apache версії до 2.2.3.
Уразливість існує через помилку завищення на одиницю в модулі mod_rewrite. Віддалений користувач може за допомогою спеціально сформованого запиту викликати однобайтне переповнення буфера й аварійно завершити роботу додатка. Для успішної експлуатації уразливості повинні використовуватися деякі типи правил і RewriteRule флаги не повинні містити Forbidden (F), Gone (G), і NoEscape (NE).
Рекомендується встановити останню версію із сайта виробника.
05.09.2006
Додаткова інформація на тему переповнення буферу в mod_rewrite під Apache:
Як повідомляє ha.ckers.org, за останні два тижні вже зафіксовано декілька випадків використання редиректорів від Yahoo та Google для проведення фішинг атак.
Люди довіряють таким брендам як Google та Yahoo, що і використовують зловмисники, для переадресації на фішинг сайти через редиректори відомих пошукових компаній.
Додаткова інформація:
У той час як усе більше число компаній прагне відкривати онлайнові сервиси і власні представництва в Інтернеті, статистика організації Web Application Security Consortium показує, що кількість взломів веб-додатків неухильно зростає. Якщо якийсь час тому хакери здебільшого організовували мережні атаки, метою яких був взлом і одержання контролю над ПК чи сервером, то торік був відзначений 70-відсоткове зростання числа взломів веб-сайтів, у порівнянні з показниками 2004 року. Багаторазовим атакам торік, зокрема піддавалися ресурс Sourceforge.net і соціальна мережа MySpace.com.
Серед основних причин негативної тенденції називають широку приступність необхідних для атаки програмних засобів, що будь-який бажаючий може відшукати за допомогою будь-якого онлайнового пошуковця. Друга причина - недостатня увага з боку розроблювачів сайтів до питань безпеки.
Захищеність сайту від взлому найбільш критична для банків, усе більше число яких прагнуть надавати свої послуги через Інтернет. Відповідно до недавньої статистики Bank of America, торік послугами банку онлайн скористалося на 70 відсотків більше клієнтів, чим у 2004 році.
Нагадаємо, що торік найбільші банки Washington Mutual, Bank of America і Wells Fargo були змушені відмовитися від використання PIN-кодів при здійсненні грошових переказів і перевипустити кілька тисяч платіжних карт після того, як шляхом комп’ютерного взлому була викрадена клієнтська база даних. З розкраданням конфіденційних даних зіштовхнулися торік також банк HSBC і брокерська компанія Scottrade.
При цьому на обачність самих користувачів, що нерідко стають жертвами фішинга, розраховувати також не приходиться. За результатами опитування, проведеного банком TD Canada Trust серед більш 700 клієнтів, про потенційну загрозу фішинга були інформовані лише 30 відсотків респондентів. У той час як більшість цілком довіряє банку в питаннях захисту інформації. Незважаючи на те, що увага до проблеми поступово підвищується, і компанії всі частіше використовують програмні й апаратні засоби захисту інформації, по оцінках експертів, нинішній рік обіцяє бути нітрохи не краще попереднього.
По матеріалам http://security.compulenta.ru.
* 
You are currently browsing the archives for the Новини category.
Copyright © 2006-2025 MustLive. Усі права захищені.
Партнер проекту Websecurity.com.ua - веб проект mlfun.org.ua.