<
1
2
3
4
5
6
7
8
9
10
>
>>
>|
18.11.2009 První zero-day chyba v Microsoft Windows 7
Zranitelnost se týká služby SMB (Server Message Block), která je integrována v Windows 7 a Windows Server 2008 R2. Spolu se zranitelností byl zveřejněn i její zdrojový kód, pomocí kterého lze vzdáleně shodit kernel systému a způsobit tak zamrznutí systému. Microsoft oznámil, že si je vědom zveřejnění kódu, ale v součastnosti prý nedochází ke zneužívání zranitelnosti, a tak je vydání opravného patche očekáváno až příští "patch tueseday", tedy 8. prosince. Do té doby je doporučeno na firewallu zakázat provoz na TCP portech 139 a 445, které služba SMB využívá, ale to může vést k vyřazení dalších služeb. Více informací naleznete v článku na Computerworld.co.nz, případně na blogu Laurenta Gaffiého, který zranitelnost objevil. -jdo-
17.11.2009 Naprostá většina bezpečnostních produktů napoprvé nefunguje tak jak má
Podle článku publikovaného na serveru net-security.org skoro 80% veškerých bezpečnostních produktů při prvním testování nefunguje tak jak jejich výrobci zamýšleli. Ve většině případů je před udělením certifikace zapotřebí dvou nebo i více cyklů testování. Potvrzuje to výzkum společnosti ICSA Labs, zakládající se na testování tisíců bezpečnostních produktů v průběhu uplynulých dvaceti let. V 78% případů bývají přitom za neúspěch produktu zodpovědné poměrně fundamentální chyby (například antivirový software nedokáže zabránit infekci, firewall propustí závadný provoz na síť). Jako další nejběžnější problémy jsou uvedeny neschopnost produktu udržovat přesné a kompletní záznamy o činnosti a čase a nakonec samotné zranitelnosti objevující se až se samotnou instalací software. Je zde také nastíněno několik základních pravidel, kterými by se firmy měly řídit při výběru bezpečnostních produktů. Jako příklad lze uvést používání certifikovaných produktů, požadování kvality od svých poskytovatelů a upřednostňování zavedených produktů před novými. -jbl-
11.11.2009 SSL/TLS zranitelnost
V SSL byla nalezena kritická zranitelnost, která utočníkům umožňuje vložit se do zabezpečené SSL komunikace standardním man-in-the-middle útokem. Webové stránky využívající SSL jsou zranitelné, např. internetové bankovnictví, back-office systémy, které využívají webové služby, dále aplikace jako mailové a databázové servery, ale i webové stránky, které využívají certifikáty klientů. Marsh Roy a Steve Dispenda, zaměstnanci společnosti PhoneFactor objevili bezpečnostní díru v SSL protokolu, a na konci října informovali společnosti, jejichž produktů se týká. Byla ustanovena pracovní skupina ze zástupců PhoneFactor, IETF (Internet Engineering Task Force) a organizace ICASI (Industry Consortium for the Advancement of Security on the Internet), která sdružuje společnosti Microsoft, Intel, Nokia, IBM, Cisco, Juniper, Open SSL, Apache, NSS, Red Hat a Leviathan Security Group. Zranitelnost neměla být zveřejněna do začátku roku 2010, aby výrobci sotftwaru měli dost času na opravu, ale 4. listopadu byla zranitelnost nezávisle objevena na diskuzi pracovní spiny IETF TLS a zprávy o zranitelnosti se začaly rychle šířit IT security komunitou. Původní oznámení naleznete zde. -jdo-
09.11.2009 První červ pro iPhone
Na serveru Slashdot byla zveřejněna informace o prvním červu, který se šíří telefony iPhone zneužitím přednastaveného hesla pro SSH server, které si uživatelé nezměnili. -zte-
05.11.2009 CheckPoint validuje AUTH_SESSKEY parametr db Oracle
21.10.2009 jsme informovali o uvolnění balíku bezpečnostních záplat společností Oracle. Mezi zranitelnosti, které záplaty odstraňují, patří i možnost přetečení bufferu vzdáleným k databázovému stroji nepřihlášeným útočníkem. Přetečení může být potenciálně využito k vykonání kódu. Za zranitelností stojí chyba databázového serveru při validaci parametru AUTH_SESSKEY. Protože ne vždy jsou bezpečnostní balíky ihned nasazeny, zahrnula společnost CheckPoint do svých produktů ochranu před tímto útokem. Více informací, včetně postupu jak ochranu nastavit u Security Gateway R70, VPN-1 NGX R65 a VPN-1 VSX NGX R65 naleznete zde. -mho-
04.11.2009 Symantec Altiris, zranitelné ActiveX
Společnost Symantec vydala dvě (1,2) bezpečnostní oznámení týkající se produktů Altiris Deployment Solution 6.x, Altiris Notification Server 6.x, Symantec Altiris ConsoleUtilities ActiveX Control 6.x a Symantec Management Platform 7.x. Úspěšné zneužití ActiveX prvku může potenciálně vést až k vykonání kódu na napadeném systému. Bližší informace včetně nabídky záplat naleznete ve zmíněných oznámeních výrobce. -mho-
03.11.2009 Použití služby Amazon EC2 k brute force prolamování hesel
K prolamování hesel se v součastnosti nejčastěji používají útoky pomocí slovníků, které obsahují nejčasteji používaná hesla (viz 500 nejhorších hesel všech dob), a to hlavně kvůli časové náročnosti a vysoké ceně brute force útoků. Security consultant David Campbell vypočítal ceny brute force útoků, kdy by byla použita služba Amazon EC2. Z jeho výsledků vyplývá, že uz přestává záležet na složitosti hesla a na významu nabývá délka. Při použití jednoduchého hesla, které obsahuje jen malá písmena o délce 10 znaků vyjde prolomení na méně než 2 300 dolarů, 11 znaků na 60 000 dolarů a 12 znaků na 1,5 milionu USD. Pokud se k heslu přidají velká písmena a číslice, cena za prolomení se zvyšuje u 10 znakového hesla na 60 000 USD a 11 znakového na 2,1 milionu. Po zkomplikování hesla o 35 speciálních znaků (!@#$%) se cena u 10 znaků dlouhého hesla zvýší na necelý milion. Kompletní přehled najdete zde a další informace o problemacite na webu TheRegister. -jdo-
31.10.2009 DDoS ve Švédsku
Několik významných švédských webů se stalo nedávno obětí distribuovaného DoS útoku. Mimo jiné byly vyřazeny z provozu i www stránky policie. O síle útoku vypovídá příklad společnosti Adeprimo, jejíž web v době útoku zahltilo 400 tisíc požadavků za sekundu oproti obvyklým osmi stům požadavkům. Další informace v angličtině nabízí The Register nebo The Local. -mho-
28.10.2009 Opera, doporučuje se upgrade na verzi 10.01
Norská společnost Opera Software ASA uvolnila verzi 10.01 svého webového prohlížeče, která odstraňuje čerstvě oznámené zranitelnosti (1,2,3). Dle oznámení výrobce bylo mimo jiné potenciálně možné vzdáleně vykonat na napadeném systému kód. -mho-
28.10.2009 Mozilla Firefox, vyplatí se upgradovat
Mozilla Foundation vydala 27.10.2009 celkem jedenáct bezpečnostních oznámení týkajících se webového prohlížeče Firefox. Šest zranitelností je kritických. Řešením je povýšení na Firefox 3.0.15, nebo 3.5.4. Některé zranitelnosti se týkají i balíku aplikací SeaMonkey. V tomto případě je doporučen upgrade na verzi 2.0. -mho-
<<< novější starší >>>
18.11.2009 První zero-day chyba v Microsoft Windows 7
Zranitelnost se týká služby SMB (Server Message Block), která je integrována v Windows 7 a Windows Server 2008 R2. Spolu se zranitelností byl zveřejněn i její zdrojový kód, pomocí kterého lze vzdáleně shodit kernel systému a způsobit tak zamrznutí systému. Microsoft oznámil, že si je vědom zveřejnění kódu, ale v součastnosti prý nedochází ke zneužívání zranitelnosti, a tak je vydání opravného patche očekáváno až příští "patch tueseday", tedy 8. prosince. Do té doby je doporučeno na firewallu zakázat provoz na TCP portech 139 a 445, které služba SMB využívá, ale to může vést k vyřazení dalších služeb. Více informací naleznete v článku na Computerworld.co.nz, případně na blogu Laurenta Gaffiého, který zranitelnost objevil. -jdo-
17.11.2009 Naprostá většina bezpečnostních produktů napoprvé nefunguje tak jak má
Podle článku publikovaného na serveru net-security.org skoro 80% veškerých bezpečnostních produktů při prvním testování nefunguje tak jak jejich výrobci zamýšleli. Ve většině případů je před udělením certifikace zapotřebí dvou nebo i více cyklů testování. Potvrzuje to výzkum společnosti ICSA Labs, zakládající se na testování tisíců bezpečnostních produktů v průběhu uplynulých dvaceti let. V 78% případů bývají přitom za neúspěch produktu zodpovědné poměrně fundamentální chyby (například antivirový software nedokáže zabránit infekci, firewall propustí závadný provoz na síť). Jako další nejběžnější problémy jsou uvedeny neschopnost produktu udržovat přesné a kompletní záznamy o činnosti a čase a nakonec samotné zranitelnosti objevující se až se samotnou instalací software. Je zde také nastíněno několik základních pravidel, kterými by se firmy měly řídit při výběru bezpečnostních produktů. Jako příklad lze uvést používání certifikovaných produktů, požadování kvality od svých poskytovatelů a upřednostňování zavedených produktů před novými. -jbl-
11.11.2009 SSL/TLS zranitelnost
V SSL byla nalezena kritická zranitelnost, která utočníkům umožňuje vložit se do zabezpečené SSL komunikace standardním man-in-the-middle útokem. Webové stránky využívající SSL jsou zranitelné, např. internetové bankovnictví, back-office systémy, které využívají webové služby, dále aplikace jako mailové a databázové servery, ale i webové stránky, které využívají certifikáty klientů. Marsh Roy a Steve Dispenda, zaměstnanci společnosti PhoneFactor objevili bezpečnostní díru v SSL protokolu, a na konci října informovali společnosti, jejichž produktů se týká. Byla ustanovena pracovní skupina ze zástupců PhoneFactor, IETF (Internet Engineering Task Force) a organizace ICASI (Industry Consortium for the Advancement of Security on the Internet), která sdružuje společnosti Microsoft, Intel, Nokia, IBM, Cisco, Juniper, Open SSL, Apache, NSS, Red Hat a Leviathan Security Group. Zranitelnost neměla být zveřejněna do začátku roku 2010, aby výrobci sotftwaru měli dost času na opravu, ale 4. listopadu byla zranitelnost nezávisle objevena na diskuzi pracovní spiny IETF TLS a zprávy o zranitelnosti se začaly rychle šířit IT security komunitou. Původní oznámení naleznete zde. -jdo-
09.11.2009 První červ pro iPhone
Na serveru Slashdot byla zveřejněna informace o prvním červu, který se šíří telefony iPhone zneužitím přednastaveného hesla pro SSH server, které si uživatelé nezměnili. -zte-
05.11.2009 CheckPoint validuje AUTH_SESSKEY parametr db Oracle
21.10.2009 jsme informovali o uvolnění balíku bezpečnostních záplat společností Oracle. Mezi zranitelnosti, které záplaty odstraňují, patří i možnost přetečení bufferu vzdáleným k databázovému stroji nepřihlášeným útočníkem. Přetečení může být potenciálně využito k vykonání kódu. Za zranitelností stojí chyba databázového serveru při validaci parametru AUTH_SESSKEY. Protože ne vždy jsou bezpečnostní balíky ihned nasazeny, zahrnula společnost CheckPoint do svých produktů ochranu před tímto útokem. Více informací, včetně postupu jak ochranu nastavit u Security Gateway R70, VPN-1 NGX R65 a VPN-1 VSX NGX R65 naleznete zde. -mho-
04.11.2009 Symantec Altiris, zranitelné ActiveX
Společnost Symantec vydala dvě (1,2) bezpečnostní oznámení týkající se produktů Altiris Deployment Solution 6.x, Altiris Notification Server 6.x, Symantec Altiris ConsoleUtilities ActiveX Control 6.x a Symantec Management Platform 7.x. Úspěšné zneužití ActiveX prvku může potenciálně vést až k vykonání kódu na napadeném systému. Bližší informace včetně nabídky záplat naleznete ve zmíněných oznámeních výrobce. -mho-
03.11.2009 Použití služby Amazon EC2 k brute force prolamování hesel
K prolamování hesel se v součastnosti nejčastěji používají útoky pomocí slovníků, které obsahují nejčasteji používaná hesla (viz 500 nejhorších hesel všech dob), a to hlavně kvůli časové náročnosti a vysoké ceně brute force útoků. Security consultant David Campbell vypočítal ceny brute force útoků, kdy by byla použita služba Amazon EC2. Z jeho výsledků vyplývá, že uz přestává záležet na složitosti hesla a na významu nabývá délka. Při použití jednoduchého hesla, které obsahuje jen malá písmena o délce 10 znaků vyjde prolomení na méně než 2 300 dolarů, 11 znaků na 60 000 dolarů a 12 znaků na 1,5 milionu USD. Pokud se k heslu přidají velká písmena a číslice, cena za prolomení se zvyšuje u 10 znakového hesla na 60 000 USD a 11 znakového na 2,1 milionu. Po zkomplikování hesla o 35 speciálních znaků (!@#$%) se cena u 10 znaků dlouhého hesla zvýší na necelý milion. Kompletní přehled najdete zde a další informace o problemacite na webu TheRegister. -jdo-
31.10.2009 DDoS ve Švédsku
Několik významných švédských webů se stalo nedávno obětí distribuovaného DoS útoku. Mimo jiné byly vyřazeny z provozu i www stránky policie. O síle útoku vypovídá příklad společnosti Adeprimo, jejíž web v době útoku zahltilo 400 tisíc požadavků za sekundu oproti obvyklým osmi stům požadavkům. Další informace v angličtině nabízí The Register nebo The Local. -mho-
28.10.2009 Opera, doporučuje se upgrade na verzi 10.01
Norská společnost Opera Software ASA uvolnila verzi 10.01 svého webového prohlížeče, která odstraňuje čerstvě oznámené zranitelnosti (1,2,3). Dle oznámení výrobce bylo mimo jiné potenciálně možné vzdáleně vykonat na napadeném systému kód. -mho-
28.10.2009 Mozilla Firefox, vyplatí se upgradovat
Mozilla Foundation vydala 27.10.2009 celkem jedenáct bezpečnostních oznámení týkajících se webového prohlížeče Firefox. Šest zranitelností je kritických. Řešením je povýšení na Firefox 3.0.15, nebo 3.5.4. Některé zranitelnosti se týkají i balíku aplikací SeaMonkey. V tomto případě je doporučen upgrade na verzi 2.0. -mho-
<<< novější starší >>>
