|<
<<
<
21
22
23
24
25
26
27
28
29
30
>
>>
>|
13.12.2008 IE Zero Day zranitelnost zasahuje stále větší množství uživatelů
Zero Day zranitelnost v Internet Exploreru o které jsme Vás nedávno informovali a která dosud nebyla záplatována zasahuje více verzí prohlížeče než se původně předpokládalo a kroky, které uživatelé musí podstoupit k obraně jsou náročnější než se zdálo. Podle aktualizací zprávy Microsoft TechNet chyba zneužívaná už od úterka zasahuje i verze 5.01, 6 a 8 zdaleka nejrozšířenějšího prohlížeče na webu Internet Exploreru. Opatření doporučená uživatelům, kteří jsou nuceni používat IE Microsoftem zahrnují nastavení stupně zabezpečení pro pohyb na internetu na „vysoké” po několik příštích týdnů, případně zakázat aktivní skriptování. Podle této zprávy zveřejněné na webu Secunia.com však ani toto nemusí zamezit zneužití chyby. Momentálně se spekuluje zdali bude oprava chyby vydána ještě před pravidelnými záplatami pro příští měsíc, které jsou pravidelně vydávány v době kolem druhého úterka v měsíci. Vzhledem k tomu, že poslední balík záplat byl vydán jen před pár dny doporučujeme používat kdykoli je to možné alternativní prohlížeče. Více naleznete zde. -jbl-
13.12.2008 Microsoft SQL Server, Zero Day zranitelnost
Zatímco se Microsoft zabývá doposud nezáplatovanou a obzvláště závažnou zranitelností v poslední verzi Internet Exploreru, objevila se jiná zranitelnost, tentokrát v populárním Microsoft SQL Serveru. Chyba v SQL Serveru by mohla dovolovat vzdálené spuštění libovolného kódu. Zranitelnost by sice podle vyjádření Microsoftu vyžadovala ověřený účet na stanici s přímým přístupem k databázi, ale podle testů v laboratorních podmínkách ke zneužití stačí SQL injection, například pomocí vyhledávacích polí vázaných na databázi. Více informací naleznete na webu theregister.co.uk. -jbl-
11.12.2008 Microsoft Internet Explorer 7, Zero day exploit
Zranitelnost je typickým příkladem heap overflow, způsobeným bliíže nespecifikovanou chybou v XML parseru. Úspěšné zneužití zranitelnosti umožnuje útočníkovi spustit libovolný kód. Zranitelnost je hlášena pro MS Internet Explorer 7 pro Windows XP, Windows Server 2003, Windows Vista a Windows Server 2008. V záplatách MS08-073 (vydaných 9.12.2008) není zranitelnost opravena. Zranitelnost momentálně není masově zneužívána, např. server shadowserver.org vydal seznam napadnutých stránek, který ovšem nemusí být kompletní. Vzhledem k rostoucí popularitě se očekává rychlé rozšíření. Více informací naleznete v oznámení Microsoftu,a ve zprávě institutu SANS. -jdo-
09.12.2008 Microsoft Security Bulletins - December 2008
Spoločnosť Microsoft vydala svoj pravidelný bulletin, ktorý obsahuje množstvo záplat, update-ov a noviniek z oblasti bezpečnosti. Okrem iného tam taktiež nájdete rôzne opravy kritických chýb a zraniteľností, ktoré postihujú priamo Microsoft Windows a jeho súčasti ako napríklad Internet Explorer, Microsoft Office, Visual Basic, či Windows Search. Zneužitie daných chýb môže povoliť útočníkom spustenie ľubovoľného kódu, či inak skompromitovať tento zraniteľný systém. Viac podrobností, ako aj konkrétne popisy a riešenia sa už však dočítate priamo v Microsoft Security Bulletins. -dra-
05.12.2008 Trillian, Několik zranitelností
Bylo nalezeno několik zranitelností v Instant Messengeru Trillian. V první řadě se jedná o chybu při generování XML tagů pro obrázky. Zde totiž hrozí zneužití a způsobení přetečení vyrovnávací paměti (haldy) zasláním obrázku s příliš dlouhým názvem. Za druhé se jedná o chybu ve zpracování kódu XML, která může být zneužita k poškození interní datové struktury. Ve třetím případě se jedná o chybu v ohraničení při zpracování speciálních XML tagů, která může mít za následek přetečení haldy. Zneužití jakékoliv z těchto zranitelností může dovolovat spuštění libovolného kódu. Více naleznete zde. Update na verzi opravující problémy stáhnete zde. -jbl-
05.12.2008 SUN Java JDK/JRE, Několik zranitelností
Bylo nalezeno velké množství zranitelností v SUN Java Runtime Environment a Java Development Kitu. Některé mohou být zneužity k obcházení bezpečnostních opatření, jiné pak mohou mít za následek Denial of Service, umožnit přístup k citlivým informacím nebo kompromitovat zranitelný systém. Byly vydány záplaty opravující tyto problémy. Vzhledem k množství zdrojů uvádíme odkaz na zprávu Secunia.com, kde naleznete odkazy na záplaty pro jednotlivé verze softwaru a původní zprávy ať už výrobce nebo jiných webů zabývajících se bezpečnostní tématikou. -jbl-
05.12.2008 PHP, Několik zranitelností
Bylo objeveno několik zranitelností v PHP, kdy některé mají neznámé důsledky a ostatní mohou zapříčinit Denial of Service, případně kompromitovat zranitelný systém. Ze známých se jedná o chybu v ověření vstupu funkce „ZipArchive::extractTo()“ při rozbalování archivů ZIP. To může být zneužito k rozbalování souborů do libovolných lokací mimo specifikovanou složku přes tzv. Directory Traversal sekvence ve speciálně upraveném ZIP souboru. V druhém případě se pak jedná o chybu v přiložené PCRE knihovně, která může být zneužita ke způsobení přetečení zásobníku. Více informací naleznete ve výpisu změn pro poslední verzi PHP a ve vyjádření serveru Secunia.com. -jbl-
04.12.2008 VMware ESX/ESXi, poškození paměti virtuálního stroje a serverový update pro bzip2
Byly nalezeny dvě zranitelnosti ve VMware ESX/ESXi. Jedna se týká poškození paměti virtuálních stanic a může být zneužita k obcházení určitých bezpečnostních omezení. Zranitelnost byla potvrzena v ESX ve verzích 3.0.2 - 3.5 a ESXi 3.5. Druhá se týká aplikace bzip2, kdy verze starší než 1.0.5 mohou spadnout při rozbalování archivů, kde chyby vedou ke čtení mimo vyrovnávací paměť. Výrobce vydal záplaty ve kterých tento problém adresuje. Více informací naleznete ve zprávě výrobce. -jbl-
02.12.2008 VLC Media Player, Integer Overflow
Zranitelnost je způsobena chybou ve funkci "ReadRealIndex()" v modules/demux/real.c. Může být zneužita pomocí upraveného souboru a vést k získání přístupu k systému.Zranitelnost je hlášena ve verzích 0.9.0 až 0.9.7. Více informací naleznete v oznámení výrobce. -jdo-
30.11.2008 RSA EnVision, odhalení password hashingu
Nicolas Viot odhalil zranitelnost v RSA EnVision, produktu RSA Security, verze 3.5.0, 3.5.1, 3.5.2. a 3.7.0. Jedná se o chybu, která může být zneužita k odhalení password hashingu administrátora s následným získáním administrativního přístupu k aplikaci. Více informací naleznete zde. -jba-
<<< novější starší >>>
13.12.2008 IE Zero Day zranitelnost zasahuje stále větší množství uživatelů
Zero Day zranitelnost v Internet Exploreru o které jsme Vás nedávno informovali a která dosud nebyla záplatována zasahuje více verzí prohlížeče než se původně předpokládalo a kroky, které uživatelé musí podstoupit k obraně jsou náročnější než se zdálo. Podle aktualizací zprávy Microsoft TechNet chyba zneužívaná už od úterka zasahuje i verze 5.01, 6 a 8 zdaleka nejrozšířenějšího prohlížeče na webu Internet Exploreru. Opatření doporučená uživatelům, kteří jsou nuceni používat IE Microsoftem zahrnují nastavení stupně zabezpečení pro pohyb na internetu na „vysoké” po několik příštích týdnů, případně zakázat aktivní skriptování. Podle této zprávy zveřejněné na webu Secunia.com však ani toto nemusí zamezit zneužití chyby. Momentálně se spekuluje zdali bude oprava chyby vydána ještě před pravidelnými záplatami pro příští měsíc, které jsou pravidelně vydávány v době kolem druhého úterka v měsíci. Vzhledem k tomu, že poslední balík záplat byl vydán jen před pár dny doporučujeme používat kdykoli je to možné alternativní prohlížeče. Více naleznete zde. -jbl-
13.12.2008 Microsoft SQL Server, Zero Day zranitelnost
Zatímco se Microsoft zabývá doposud nezáplatovanou a obzvláště závažnou zranitelností v poslední verzi Internet Exploreru, objevila se jiná zranitelnost, tentokrát v populárním Microsoft SQL Serveru. Chyba v SQL Serveru by mohla dovolovat vzdálené spuštění libovolného kódu. Zranitelnost by sice podle vyjádření Microsoftu vyžadovala ověřený účet na stanici s přímým přístupem k databázi, ale podle testů v laboratorních podmínkách ke zneužití stačí SQL injection, například pomocí vyhledávacích polí vázaných na databázi. Více informací naleznete na webu theregister.co.uk. -jbl-
11.12.2008 Microsoft Internet Explorer 7, Zero day exploit
Zranitelnost je typickým příkladem heap overflow, způsobeným bliíže nespecifikovanou chybou v XML parseru. Úspěšné zneužití zranitelnosti umožnuje útočníkovi spustit libovolný kód. Zranitelnost je hlášena pro MS Internet Explorer 7 pro Windows XP, Windows Server 2003, Windows Vista a Windows Server 2008. V záplatách MS08-073 (vydaných 9.12.2008) není zranitelnost opravena. Zranitelnost momentálně není masově zneužívána, např. server shadowserver.org vydal seznam napadnutých stránek, který ovšem nemusí být kompletní. Vzhledem k rostoucí popularitě se očekává rychlé rozšíření. Více informací naleznete v oznámení Microsoftu,a ve zprávě institutu SANS. -jdo-
09.12.2008 Microsoft Security Bulletins - December 2008
Spoločnosť Microsoft vydala svoj pravidelný bulletin, ktorý obsahuje množstvo záplat, update-ov a noviniek z oblasti bezpečnosti. Okrem iného tam taktiež nájdete rôzne opravy kritických chýb a zraniteľností, ktoré postihujú priamo Microsoft Windows a jeho súčasti ako napríklad Internet Explorer, Microsoft Office, Visual Basic, či Windows Search. Zneužitie daných chýb môže povoliť útočníkom spustenie ľubovoľného kódu, či inak skompromitovať tento zraniteľný systém. Viac podrobností, ako aj konkrétne popisy a riešenia sa už však dočítate priamo v Microsoft Security Bulletins. -dra-
05.12.2008 Trillian, Několik zranitelností
Bylo nalezeno několik zranitelností v Instant Messengeru Trillian. V první řadě se jedná o chybu při generování XML tagů pro obrázky. Zde totiž hrozí zneužití a způsobení přetečení vyrovnávací paměti (haldy) zasláním obrázku s příliš dlouhým názvem. Za druhé se jedná o chybu ve zpracování kódu XML, která může být zneužita k poškození interní datové struktury. Ve třetím případě se jedná o chybu v ohraničení při zpracování speciálních XML tagů, která může mít za následek přetečení haldy. Zneužití jakékoliv z těchto zranitelností může dovolovat spuštění libovolného kódu. Více naleznete zde. Update na verzi opravující problémy stáhnete zde. -jbl-
05.12.2008 SUN Java JDK/JRE, Několik zranitelností
Bylo nalezeno velké množství zranitelností v SUN Java Runtime Environment a Java Development Kitu. Některé mohou být zneužity k obcházení bezpečnostních opatření, jiné pak mohou mít za následek Denial of Service, umožnit přístup k citlivým informacím nebo kompromitovat zranitelný systém. Byly vydány záplaty opravující tyto problémy. Vzhledem k množství zdrojů uvádíme odkaz na zprávu Secunia.com, kde naleznete odkazy na záplaty pro jednotlivé verze softwaru a původní zprávy ať už výrobce nebo jiných webů zabývajících se bezpečnostní tématikou. -jbl-
05.12.2008 PHP, Několik zranitelností
Bylo objeveno několik zranitelností v PHP, kdy některé mají neznámé důsledky a ostatní mohou zapříčinit Denial of Service, případně kompromitovat zranitelný systém. Ze známých se jedná o chybu v ověření vstupu funkce „ZipArchive::extractTo()“ při rozbalování archivů ZIP. To může být zneužito k rozbalování souborů do libovolných lokací mimo specifikovanou složku přes tzv. Directory Traversal sekvence ve speciálně upraveném ZIP souboru. V druhém případě se pak jedná o chybu v přiložené PCRE knihovně, která může být zneužita ke způsobení přetečení zásobníku. Více informací naleznete ve výpisu změn pro poslední verzi PHP a ve vyjádření serveru Secunia.com. -jbl-
04.12.2008 VMware ESX/ESXi, poškození paměti virtuálního stroje a serverový update pro bzip2
Byly nalezeny dvě zranitelnosti ve VMware ESX/ESXi. Jedna se týká poškození paměti virtuálních stanic a může být zneužita k obcházení určitých bezpečnostních omezení. Zranitelnost byla potvrzena v ESX ve verzích 3.0.2 - 3.5 a ESXi 3.5. Druhá se týká aplikace bzip2, kdy verze starší než 1.0.5 mohou spadnout při rozbalování archivů, kde chyby vedou ke čtení mimo vyrovnávací paměť. Výrobce vydal záplaty ve kterých tento problém adresuje. Více informací naleznete ve zprávě výrobce. -jbl-
02.12.2008 VLC Media Player, Integer Overflow
Zranitelnost je způsobena chybou ve funkci "ReadRealIndex()" v modules/demux/real.c. Může být zneužita pomocí upraveného souboru a vést k získání přístupu k systému.Zranitelnost je hlášena ve verzích 0.9.0 až 0.9.7. Více informací naleznete v oznámení výrobce. -jdo-
30.11.2008 RSA EnVision, odhalení password hashingu
Nicolas Viot odhalil zranitelnost v RSA EnVision, produktu RSA Security, verze 3.5.0, 3.5.1, 3.5.2. a 3.7.0. Jedná se o chybu, která může být zneužita k odhalení password hashingu administrátora s následným získáním administrativního přístupu k aplikaci. Více informací naleznete zde. -jba-
<<< novější starší >>>
