Websecurity - Веб безпека

Міжнародна зустріч хакерів відбудеться 1-3 вересня в місті Парма на півночі Італії. Точне місце проведення конференції не розголошується. Про нього учасники довідаються на центральному залізничному вокзалі в Пармі.

Як повідомляють організатори, цього року шоста зустріч хакерів буде більше нагадувати вечірку нон-стоп. Комп’ютерні генії, що не обов’язково роблять протиправні дії в мережі, будуть обговорювати політику, свободу інформації, нові технології, поновлювані джерела енергії, вільні мережі обміну файлами і поширення інформації, захищеної авторськими правами.

Передбачається проведення декількох семінарів. Взяти участь зможуть усі бажаючі зовсім безкоштовно, причому для цього не обов’язково бути хакером чи знати, як нашкодити в мережі. Головною умовою участі є бажання самому керувати своїм життям і бути готовим за це боротися. Попередні зустрічі хакерів проводилися з 1998 року в Римі, Мілані, Неаполі, Флоренції, Турині, Катанні, Генуї і Болоньї.

По матеріалам http://www.securitylab.ru.

Виявлено дві уразливості в PHP. Уразлива версія: PHP 4.4.x.

1. Уразливість існує при перевірці offset/length параметра у функції “substr_compare()”.

2. Уразливість існує через помилку при обробці визначених символів в іменах сесій.

Рекомендую встановити останню версію php із сайта виробника.

Як я вже писав, нещодавно вийшов php 4.4.3.

Нещодавно, вкотрий раз, взломали сайти Кевіна Мітника.

Як пише securitylab.ru, Кевін Мітник, сумно відомий хакер, що спеціалізувався в соціотехнічних методах, у даний час пропонує різноманітні послуги в області IT безпеки і читає різноманітні високооплачувані лекції по всьому світі.

Група пакистанських хакерів взломала вчора Web 4 сайти компанії Кевіна Мітника. Були замінені головні сторінки сайтів defensivethinking.com, mitsec.com, kevinmitnick.com і mitnicksecurity.com з образливими висловленнями на адресу Мітника.

Це вже не перший взлом веб сайтів Мітника. Відразу після звільнення, він відкрив компанію defensivethinking.com, сайт якої неодноразово зламувався різними хакерами, експлуатуючи уразливість у FrontPage розширенні. В один час між хакерами почалося взаємне суперництво, чий текст взлому пробуде на сайті Мітника довше.

Кевіну і співробітникам його фірм потрібно частіше заходити на мій сайт .

Можливе пошкодження пам’яті в PHP (memory corruption). Уразливі версії: PHP 4.4, PHP 5.1.

Можливий запис за межі масиву у функції sscanf().

• php local buffer underflow could lead to arbitary code execution (деталі)

При видаленні елемента хеш-таблиці може бути вилучений елемент із тим же значенням хеш-функції але іншого класу.

Уразливі версії: PHP 4.4, PHP 5.1.

• PHP: Zend_Hash_Del_Key_Or_Index Vulnerability (деталі)
• Hardened-PHP Project - PHP Security - Zend Hash Del Key Or Index Vulnerability (деталі)

До речі, як я писав, нещодавно вийшов php 4.4.3.

З 4 по 6 серпня в Лас-Вегасі (штат Невада, США) збираються знамениті хакеры з усього світу, адміністратори комп’ютерних мереж, керівники ІТ-підрозділів компаній і агенти ФБР. Таку “різношерсту” публіку поєднує захід за назвою Конференція DefCon. Цього року це стане вже 14-та по рахунку конференція.

Варто відмітити, що Defcon у деякому сенсі знаходиться особняком від інших подібних заходів. За 14 років існування ця конференція змогла залишитися заходом для професіоналів комп’ютерного фронту.

Під час цієї конференції традиційно діє негласна угода між співробітниками ФБР і хакерами про те, що перші не будуть заарештовувати других, а другі не будуть заважати проведенню конференції. Defcon є унікальною ще й у тому сенсі, що тут на одній трибуні зустрічаються виробники вірусів і антивірусів, керівництво таких гігантів, як Microsoft чи Cisco, і юні хакери-інтелектуали, що найчастіше приїжджають на конференцію з батьками в силу свого віку.

Усі ці люди зацікавлені в одному - довідатися про самі останні методи комп’ютерних атак і захисту від них, послухати доповіді про новітні комп’ютерні технології і методи їхнього взлому.

Також організатори відзначають, що з кожним роком Defcon стає усе більш солідною, організованою й упорядкованою. Якщо в 1993 році ця конференція була фактично просто зборами хакерів, то сьогодні - це вже солідний, розбитий на секції захід.

Були і випадки, коли на доповідачів подавали в суд. Наприклад, відомий комп’ютерний фахівець Майкл Лін перебував під загрозою судового переслідування з боку Cisco і арешту з боку ФБР, за те, що намагався розповісти про уразливості, що дозволяють блокувати все устаткування Cisco. Компанія зуміла одержати копію доповіді Ліна ще до його виступу, однак перешкодити самому виступу так і не змогла.

По матеріалам http://www.securitylab.ru.

Можливий обхід захисту безпечного режиму в Ruby (protection bypass).

Уразливі версії: Ruby 1.6, Ruby 1.8.

За допомогою “alias” можна підмінити безпечні методи, можна обійти захист доступу до каталогів. Так само, не обмежуються деякі потенційно небезпечні методи.

• New ruby1.6 packages fix privilege escalation (деталі)
• Ruby Safe Level Security Bypass Vulnerabilities (деталі)

Нещодавно, 29.07.2006, вийшла нова версія движку WordPress 2.0.4 (мій сайт використувує саме цю CMS). Всім хто користується попередніми версіями рекомендується оновити движок своїх сайтів.

WordPress 2.0.4 - це останній стабільний реліз Вордпреса, який доступний для скачування з сайту виробника. Даний реліз виправляє декілька серьйозних секюріті уразливостей, тому він дуже рекомендований для всіх користувачів движку WordPress (в цілому в даній версії було виправлено понад 50 багів).

Планую найближчим часом оновити свій WordPress на версію 2.0.4.

Президент України Віктор Ющенко підписав Закон “Про ратифікацію Додаткового протоколу до Конвенції про кіберзлочинність, що стосується криміналізації дій расистського і ксенофобського характеру, зроблених через комп’ютерні системи”.

Відповідний протокол Верховна Рада ратифікувала 21 липня 2006 року. Протокол передбачає зобов’язання кожної зі сторін ужити законодавчих заходів, які необхідні для визнання злочинними ряд визначених у протоколі діянь.

Відповідно до положень Протоколу, кожна сторона приймає такі законодавчі й інші міри, що необхідні для визнання у своєму внутрішньому законодавстві карними злочинами наступні дії:

• поширення чи іншим способом надання громадськості доступу до расистського і ксенофобного матеріалу через комп’ютерні системи;
• погроза через комп’ютерну систему здійснення серйозного карного правопорушення, визначеного в її національному законодавстві, проти особи через їхню приналежність до групи, що відрізняється по ознаках раси, кольору шкіри, національному чи етнічному походженню, а також віросповіданню, чи групи осіб, що відрізняється по кожній з цих характеристик;
• публічна образа через комп’ютерну систему осіб через їхню приналежність до групи, що відрізняється по ознаках раси, кольору шкіри, національному чи етнічному походженню, а також віросповіданню, чи групи осіб, що відрізняються по кожній з цих характеристик;
• поширення чи іншим способом надання громадськості доступу через комп’ютерні системи до матеріалу, що заперечує, грубо мінімізує, схвалює чи виправдує дії, що є геноцидом чи злочинами проти людства, як визначено в міжнародному праві і як це визнано заключними й обов’язковими рішеннями Міжнародного військового трибуналу, заснованого відповідно до Лондонського договору від 8 серпня 1945 року, чи якого-небудь іншого міжнародного суду, заснованого відповідними міжнародними документами і юрисдикція якого визнана стороною.

По матеріалам http://www.securitylab.ru.

Компанія Exploit Prevention Labs повідомила про випуск безкоштовного сервісу LinkScanner. Новинка, після того як у “рядок дослідження” введена адреса, перевіряє сайт чи визначену сторінку на наявність в ній шкідливих кодів чи інших загроз.

Таким чином, користувач, у якого виникли підозри, може улаштувати підозрілому сайту “перевірку на вошивість”. Зрозуміло, від помилки ніхто не застрахований, однак жертв хакерів, здатних заволодіти особистими даними користувача чи одержати доступ до його комп’ютера, може стати набагато менше.

Про помилки можна судити по дослідженню, проведеному фахівцями видання Tech Web. Сайти, що браузер Firefox 2.0 1 Beta пізнав як “можливо інфіковані”, LinkScanner визнав цілком чистими.

Конкурентів у LinkScanner, небагато - лише один. Це Mc Afee Site Advisor, що поширюється у вигляді плагіна до Internet Explorer і FireFox, а також доступний в онлайновій версії.

По матеріалам http://inattack.ru.

P.S.

Ось лінка на тест websecurity.com.ua