Виявлені проблеми з авторизацією в MySQL.
Уразливі версії: Oracle MySQL 5.0, MySQL 5.1, MySQL 5.5.
Некоректне обчислення хеша на деяких платформах дає можливість доступу без знання пароля.
В даній добірці уразливості в веб додатках:
За повідомленням www.xakep.ru, Німеччина сформувала бойовий кіберпідрозділ.
Міністр оборони Німеччини повідомив парламенту про створення спеціального підрозділу армії для ведення “наступальних” операцій в Інтернеті. Він додав, що підрозділ Computer Network Operations (CNO) базується в Бонні і сформований ще в 2006 році, але тільки зараз дозрів для розгортання під військовим командуванням.
За повідомленням www.opennet.ru, представлене TACK, розширення SSL/TLS для боротьби з MITM-атаками і підробленими сертифікатами.
На розгляд у комітет IETF (Internet Engineering Task Force) внесений чорновий варіант стандарту, що визначає доповнення до протоколу TLS, призначене для захисту користувачів від атак MITM (Man-in-the-middle), заснованих на використанні підроблених сертифікатів, виданих кореневими засвідчуючими центрами. Стандарт з’явився у відповідь на випадки взлому серверів кореневих засвідчуючих центрів (CA) Comodo і DіgіNotar торік.
Стандарт визначає розширення TLS-протоколу TACK (Trust Assertions for Certificate Keys), суть якого полягає в тому, щоб дозволити браузеру “запам’ятати” інформацію про сертифікати веб сайта і використовувати її для блокування з’єднання чи інформування користувача про загрозу в тому випадку, якщо проти нього буде здійснена MITM-атака з використанням підроблених сертифікатів, виданих іншими кореневими засвідчуючими центрами.
За повідомленням www.xakep.ru, Last.fm просить усіх користувачів поміняти паролі.
В останні декілька днів Мережу потрясають новини про взломи великих Інтернет-сервісів. Нещодавно на хакерському форумі виклали базу хешей паролів ділової соціальної мережі LinkedIn (6,5 млн. хешей) і сайта знайомств eHarmony (1,5 млн. хешей), учора стало відомо про витік паролів з музичного сервісу Last.fm. На сайті опубліковане попередження для користувачів. Як випливає з заяви, витік паролів Last.fm пов’язаний з витоками LinkedIn і eHarmony.
Як я вже неодноразово зазначав стосовно витоків даних, відомі сайти доволі часто недостатньо добре слідкують за безпекою. Тому й трапляються витоки баз даних подібних сайтів.
В даній добірці уразливості в веб додатках:
Після найгучніших випадків витоку даних у 2009 році, розглянемо найгучніші випадки витоку даних у 2010 році.
За 2010 рік Identity Theft Resource Center (ITRC) зібрав інформацію про 662 подібні інциденти, у результаті яких було викрадено в цілому більше 16 мільйонів записів.
1. Netflix.
Netflix надала базу даних, що містить інформацію більш ніж про сотню мільйонів своїх абонентів, що брали участь у складанні рейтингу фільмів і підрахунку статистики глядацьких симпатій і переваг - учасникам проведеного компанією конкурсу.
2. Educational Credit Management Corp.
В сейфах, украдених у цієї фірми, тримали портативні носії інформації, на яких зберігалися особисті дані 3,3 млн. чоловік.
3. Gawker.
Хакер по імені Gnosis взломав базу даних популярної американської блогосфери Gawker, виклавши у вільному доступі в Мережі близько 1,3 млн. електронних адрес користувачів. А також виклав більше 250 тисяч взломаних паролів і всю базу даних MD5 хешів паролей.
4. AvMed Health Plans.
Два ноутбука були вкрадені з офісу корпорації AvMed у лютому 2010 року. Що призвело до витоку 1,2 млн. записів.
5. Lincoln National Financial Securities.
Витік логіна і пароля на сайті, який давав можливість доступу до бази даних, що містила персональну інформацію 1,2 мільйонів клієнтів центра.
6. South Shore Hospital.
Втрата старих магнітних стрічок, на яких зберігалося близько 800000 записів з персональною і фінансовою інформацією.
7. Університет штату Огайо.
Була виявлена хакерська активність на сервері, де зберігаються імена, номери соціального страхування, дати народження, адреси - вся інформація про 760000 нинішніх і колишніх студентів, викладачів, співробітників, консультантів і позаштатних працівників.
8. Citigroup.
Компанією Citigroup поштою були розіслані приблизно 600 тисяч податкових документів, а на зовнішній стороні кожного конверта разом з ім’ям і адресою одержувача були надруковані номери соціального страхування.
9. WellPoint / Anthem BlueCross.
Витік персональних даних 470000 заявників компанії.
10. Affinity Health Plan.
Витік 409000 записів з національної програми охорони здоров’я Affinity Health.
Продовжуючи розпочату традицію, після попереднього відео про SSL Spoofing в Mozilla Firefox, пропоную нове відео на веб секюріті тематику. Цього разу відео про обхід sandbox в Google Chrome. Рекомендую подивитися всім хто цікавиться цією темою.
VUPEN Pwned Google Chrome aka Sandbox/ASLR/DEP Bypass
В ролику демонструється Code Execution уразливість в браузері Google Chrome. Що дозволяє виконати довільний код у браузері (в даному прикладі запускається calc.exe). При цьому обходяться такі захисні технології як пісочниця (sandbox) Chrome, ASLR та DEP.
Атака відбувається при відвідуванні в Chrome спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.
Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.
В даній добірці експлоіти в веб додатках:
Раніше я розповідав про різні причини, через які в Україні правоохоронні органи можуть закрити веб сайти. В останнє я писав про закриття сайтів через розміщення вірусів. А зараз розповім вам про можливість накладання штрафів та закриття сайтів через закони, які стосуються Євро 2012.
В Україні є законодавство стосовно захисту авторського права, в тому числі авторського права УЄФА. Зокрема є закон “Про авторське право і суміжні права“. Відповідно до цього закону, захист авторського права реалізується шляхом встановленим адміністративним, цивільним та кримінальним законодавством. Відповідно до статті 176 Кримінального кодексу “Порушення авторського права і суміжних прав” можливі штрафи, виправні роботи до 2 років та ув’язнення до 2 років за порушення авторського права. А якщо ці дії зроблені повторно, чи групою осбі, чи призвели до значних збитків, то можливі ще більші штрафи, виправні роботи до 2 років та ув’язнення від 2 до 5 років.
Тому copyright УЄФА захищений в Україні поточними законами. Але уряд вирішив зробити закони більш жорсткими. В березні 2012 уряд створив проект Закону про права інтелектуальної власності та репутацію Об’єднання європейських футбольних асоціацій. Спочатку вони планували підняти штрафи за різні порушення авторського права УЄФА, такі як збільшення ув’язнення до 6 років для користувачів та власників сайті за копіювання футбольних записів та поширення їх в Інтернеті. Але потім уряд відмовися від цих змін і ліше запропонував пришвидшити розгляд копірайтних справ в судах. Цей законопроект ще не прийнятий, але це може бути зроблени найближчим часом.
Є один приклад використання закону про авторське право в контексті Євро 2012. У вересні 2011 правоохронці закрити сайт ProstoPrint та саму компанію в зв’язку з порушенням копірайту УЄФА. Офіційна причина правоохоронців для закриття ProstoPrint була такою, що компані продовала футболки з логотипом УЄФА на своєму сайті. При цьому власник ProstoPrint стверджує, що його онлайн магазин не продавав такі футболки і були виготовлені лише ті 15 футболок, що були замовлені правоохоронцями (для створення легальних причин для їхніх дій). Це приклад зловживання сервісами міліцією, коли вони дозволяють таке зловживання (як сервіси другу по замовленню), щоб змусити їх порушити закон та закрити їх.
Навіть без посилення поточних законів, Українське законодавство про авторське право може бути використане проти веб сайтів та компаній, що його порушують. Особливо це стосується копірайту УЄФА, який активно захищається в зв’язку з Євро 2012. Порушення можуть бути зроблені як власниками сайтів (що розмістять заборонений контент), або користувачами сайтів (що завантажать заборонений контент), або правоохоронцями (що заабюзять сервіс, який дозволяє зловживання, як у вищезгаданому випадку), або в результаті взлому сайта та розміщення на ньому такого контенту.
Тому правоохронці можуть притягти до відовідальності тих, хто незаконно копіює футбольні записи та поширує їх в Інтернеті - за це можуть бути штрафи та ув’язнення. А за розміщення на сайтах банерів з логотипом чемпіонату чи трансляцію матчів в Інтернеті, окрім штрафів власники сайтів можуть залишитися без домена і сервера.
Так що за вчинені умисно чи неумисно вищезгадані дії, в тому числі після взлому сайтів, їх власники підпадуть під порушення законодавства. Тому уразливості на веб сайтах можуть підставити їх під штрафи та закриття через порушення копірайту УЄФА. Дана обставина повина стати приводом для власників веб сайтів для покращення їхньої безпеки.
* 
Copyright © 2006-2025 MustLive. Усі права захищені.
Партнер проекту Websecurity.com.ua - веб проект mlfun.org.ua.