|<
<<
<
11
12
13
14
15
16
17
18
19
20
>
>>
>|
13.05.2010 HP Insight Control - Cross-Site Scripting
Byla nalezena chyba v HP Insight Control verzích předcházejících 6.0., která může být zneužita k vyvolání útoku typu cross-site scripting. Útočníkovi umožňuje vykonat libovolný HTML a script kód na napadeném systému. Řešením je update na verzi 6.0 a novější. Více informací naleznete zde. -jba-
01.05.2010 Microsoft SharePoint Server 2007 a Windows SharePoint Services 3.0, Cross-Site Scripting
Byla nalezena zranitelnost v produktech Microsoft SharePoint Server 2007 a Windows SharePoint Services 3.0. Chyby jsou zapříčiněny nedostatečným ošetřením vstupu poskytovaného souboru „_layouts/help.aspx“ před navrácením uživateli. To může být zneužito ke spuštění libovolného skriptu nebo HTML v kontextu uživatelova prohlížeče. Více informací je možné nalézt ve vyjádření výrobce na serveru Microsoft TechNet. -jbl-
23.04.2010 Antivirus McAfee DAT 5958 - paralyzace Windows XP
Nedávná chyba v aktualizaci virové databáze způsobila nefunkčnost systému Windows XP SP3.Důležitá součást Windows byla mylně označena za nebezpečný kód a antivirus ji smazal. Následkem toho počítače končí v nekonečné smyčce restartů.McAffee chybu potvrdil a nabídl novou virovou databázi a návod, jak počítače opět zprovoznit (administrátoři musí použít soubor svchost.exe ze stanice, kde soubor nebyl smazán).Chyba se projevila pouze ve Windows XP SP3. Detailní návod a popis chyby zde. -jba-
22.04.2010 Digitálne kopírky skrývajú tajomstvá
Kopírovacie zariadenia, neodmysliteľné súčasti každej kancelárie, môžu digitálne uskladniť až tisíce dokumentov, s ktorými prišli do styku. Táto skutočnosť otvára príležitosť zneužitia týchto citlivých informácií, ďalšími používateľmi daných zariadení, napríklad pri opätovnom predaji kopírky inej spoločnosti. Takmer každé z týchto zariadení, vyrobené po roku 2002, totiž obsahuje pevný disk, na ktorý sa zaznamenáva obraz každého dokumentu, či už kopírovaného, skenovaného, či preposielaného. Spoločnosť Digital Copier Security sa už dlhší čas aktívne snaží firmy, predávajúce použité kopírky pred týmto problémom varovať, no neúspešne. Vyvinula dokonca softvér, ktorý dokáže tieto citlivé data z disku úplne vymazať. Na demonštráciu závážnosti tohto problému vybrala však vyššie menovaná spoločnosť jeden z dvadsiatich piatich skladov v New Jersey, kde sa nachádzalo približne 6000 kopírovacích strojov pripravených na ďalší predaj a pomocou voľne dostupného softvéru, približne za 30 minút už sťahovala tieto dáta z prístrojov. Obsah diskov v kopírkach bol viac než prekvapivý, nehovoriac o tom, že v niektorých prístrojoch sa stále nachádzali originálne dokumenty priamo na kopírovacom skle. Od zápisnic spáchaných trestných činov, či zoznamu vyšetrovaných drogových dílerov, cez čísla ID a poistiek, až po dizajnové plány budovy blízko Ground Zero v Manhattane a taktiež kópie šekov - aj to našli pracovníci Digital Copier Security pri testoch kopírovacích zariadení "pripravených" na opätovný predaj. Viac info o ďalšom výskume tohto problému nájdete tu. -dra-
21.04.2010 Zraniteľnosti v HTTP File Server
Ako uviedol informačný server Secunia, Luigi Auriemma potvrdil výskyt dvoch závažných chýb v HTTP File Server, ktoré môžu byť zneužité a umožniť tak potencionálnym útočníkom obísť niektoré bezpečnostné obmedzenia, prípadne spôsobiť DoS (Denial of Service). Ide o chyby pri spracovaní HTTP požiadavkov, ktoré obsahujú znaky "%00", môžu byť zneužité a povoliť tak sťahovanie súborov zo zakázaných zložiek a požiadavky, ktoré obsahujú znaky "%" môžu nabúrať, či inak obmedziť (spomaliť) premávku pro na postihnutom serveri. Riešením tohto problému je update verzie na 2.2f. Viac info o chybách ako aj o ich rešeniach nájdete tu. -dra-
05.04.2010 PDF, sputění kódu při prohlížení dokumentu
Didier Stevens upozornil na možnost celkem jednoduše přimět uživatele prohlížejícího si PDF dokument ke spuštění vloženého programu. O tom, že skutečně stačí velmi málo se můžete přesvědčit z video ukázky. -mho-
25.03.2010 iPhone prolomen, lze ukrást SMS databázi
Na hackerské soutěži Pwn2Own se vitězům podařilo nabourat do iPhonu s nejnovějšími aktualizacemi a ukrást komplentí databázi SMS zpráv. Při návštěvě upravených stránek dojde během 20s k odeslání kompletní SMS databáze na vybraný server a k pádu prohlížeče. Podle Ralpha Phillipa Weinmanna, jednoho z dvojice která zranitelnost objevila, lze při troše další snahy uskutečnit útok bez pádu prohlížeče. Prohlásil také, že stejným způsobem lze vynutit export kontaktů, emailů, fotografií a hudby. Společnost TippingPoint Zero Day Initiative, která soutěž sponzoruje, má kompletní informace o zranitelnosti, se kterými bude kontaktovat Apple, a nevypustí je do světa dříve než bude uveden opravný patch. Více informací naleznete na blogu ZDNet nebo na webu The Register. -jdo-
23.03.2010 Rusko nalezlo drastické řešení problému zneužívání .ru adres
Domény s koncovkou .ru jsou nechvalně proslulé častým zneužíváním k vedení útoků, spamování, nebo například díky častému výskytu obsahu chráněného autorskými právy. Podle mnohých specialistů je na vině hlavně obtížná právní stíhatelnost v této zemi. Od 1. dubna však Ruské Koordinační Centrum začne při registraci domén tohoto typu od individuálních zájemců i firem vyžadovat kopie pasů, případně jiných dokladů totožnosti. Nové požadavky při ztíží registraci pod falešnými identitami. Samozřejmě s tím souvisí i nárůst ceny a časové náročnosti každé registrace. Čína, která byla za obsah na svých doménách taktéž často kritizována, zavedla podobný systém už v prosinci. Celá akce vznikla jako reakce na zatčení tří mužů ruskou tajnou službou ve spojení s nedávnou razii na RBS WorldPay, kterým se podařilo během 12 hodin zcizit až 9 milionů USD z bankomatů v 280 městech. Více informací naleznete v originálním článku na serveru theregister.co.uk -jbl-
21.03.2010 Google Chrome, několik zranitelností
Bylo nalezeno několik zranitelností ve webovém prohlížeči Google Chrome. Některé z chyb mají dosud neznámé následky, jiné mohou dovolovat vedení spoofing útoků, případně obcházení jistých bezpečnostních opatření. Mimo jiné se jedná o načítání HTML hlaviček ještě před kontrolou zda se nejedná o podvodný web vůči databázi SafeBrowsing společnosti Google, chybu při práci z pamětí při načítání vadných SVG souborů a jiné. Pro více informací navštivte oznámení výrobce, kde celou zprávu naleznete v originálním znění. -jbl-
18.03.2010 Zranitelnost Virtual PC Hypervisor
Byla odhalena zranitelnost, která může postihnout velké množství uživatelů Microsoft Virtual PC a ponechat je tak vystavené potencionálnímu útoku. Chyba dovoluje obejít bezpečnostní mechanismy operačního systému Windows a získat tak přístup k citlivým informacím, dovolit přepsání libovolných dat a získat vyšší privilegia. Zranitelnost je hlášena u Microsoft Virtual PC 2007, Virtual PC 2007 SP1, Windows Virtual PC, Microsoft Virtual Server 2005 a Windows 7 XP Mode. Dosud nebyla vydána záplata a tak možné řešení tohoto problému prozatím spočívá ve využití virtuálních technologií, které nejsou náchylné k této zranitelnosti. Více informací naleznete na stránkách microsoft.com. -jba-
<<< novější starší >>>
13.05.2010 HP Insight Control - Cross-Site Scripting
Byla nalezena chyba v HP Insight Control verzích předcházejících 6.0., která může být zneužita k vyvolání útoku typu cross-site scripting. Útočníkovi umožňuje vykonat libovolný HTML a script kód na napadeném systému. Řešením je update na verzi 6.0 a novější. Více informací naleznete zde. -jba-
01.05.2010 Microsoft SharePoint Server 2007 a Windows SharePoint Services 3.0, Cross-Site Scripting
Byla nalezena zranitelnost v produktech Microsoft SharePoint Server 2007 a Windows SharePoint Services 3.0. Chyby jsou zapříčiněny nedostatečným ošetřením vstupu poskytovaného souboru „_layouts/help.aspx“ před navrácením uživateli. To může být zneužito ke spuštění libovolného skriptu nebo HTML v kontextu uživatelova prohlížeče. Více informací je možné nalézt ve vyjádření výrobce na serveru Microsoft TechNet. -jbl-
23.04.2010 Antivirus McAfee DAT 5958 - paralyzace Windows XP
Nedávná chyba v aktualizaci virové databáze způsobila nefunkčnost systému Windows XP SP3.Důležitá součást Windows byla mylně označena za nebezpečný kód a antivirus ji smazal. Následkem toho počítače končí v nekonečné smyčce restartů.McAffee chybu potvrdil a nabídl novou virovou databázi a návod, jak počítače opět zprovoznit (administrátoři musí použít soubor svchost.exe ze stanice, kde soubor nebyl smazán).Chyba se projevila pouze ve Windows XP SP3. Detailní návod a popis chyby zde. -jba-
22.04.2010 Digitálne kopírky skrývajú tajomstvá
Kopírovacie zariadenia, neodmysliteľné súčasti každej kancelárie, môžu digitálne uskladniť až tisíce dokumentov, s ktorými prišli do styku. Táto skutočnosť otvára príležitosť zneužitia týchto citlivých informácií, ďalšími používateľmi daných zariadení, napríklad pri opätovnom predaji kopírky inej spoločnosti. Takmer každé z týchto zariadení, vyrobené po roku 2002, totiž obsahuje pevný disk, na ktorý sa zaznamenáva obraz každého dokumentu, či už kopírovaného, skenovaného, či preposielaného. Spoločnosť Digital Copier Security sa už dlhší čas aktívne snaží firmy, predávajúce použité kopírky pred týmto problémom varovať, no neúspešne. Vyvinula dokonca softvér, ktorý dokáže tieto citlivé data z disku úplne vymazať. Na demonštráciu závážnosti tohto problému vybrala však vyššie menovaná spoločnosť jeden z dvadsiatich piatich skladov v New Jersey, kde sa nachádzalo približne 6000 kopírovacích strojov pripravených na ďalší predaj a pomocou voľne dostupného softvéru, približne za 30 minút už sťahovala tieto dáta z prístrojov. Obsah diskov v kopírkach bol viac než prekvapivý, nehovoriac o tom, že v niektorých prístrojoch sa stále nachádzali originálne dokumenty priamo na kopírovacom skle. Od zápisnic spáchaných trestných činov, či zoznamu vyšetrovaných drogových dílerov, cez čísla ID a poistiek, až po dizajnové plány budovy blízko Ground Zero v Manhattane a taktiež kópie šekov - aj to našli pracovníci Digital Copier Security pri testoch kopírovacích zariadení "pripravených" na opätovný predaj. Viac info o ďalšom výskume tohto problému nájdete tu. -dra-
21.04.2010 Zraniteľnosti v HTTP File Server
Ako uviedol informačný server Secunia, Luigi Auriemma potvrdil výskyt dvoch závažných chýb v HTTP File Server, ktoré môžu byť zneužité a umožniť tak potencionálnym útočníkom obísť niektoré bezpečnostné obmedzenia, prípadne spôsobiť DoS (Denial of Service). Ide o chyby pri spracovaní HTTP požiadavkov, ktoré obsahujú znaky "%00", môžu byť zneužité a povoliť tak sťahovanie súborov zo zakázaných zložiek a požiadavky, ktoré obsahujú znaky "%" môžu nabúrať, či inak obmedziť (spomaliť) premávku pro na postihnutom serveri. Riešením tohto problému je update verzie na 2.2f. Viac info o chybách ako aj o ich rešeniach nájdete tu. -dra-
05.04.2010 PDF, sputění kódu při prohlížení dokumentu
Didier Stevens upozornil na možnost celkem jednoduše přimět uživatele prohlížejícího si PDF dokument ke spuštění vloženého programu. O tom, že skutečně stačí velmi málo se můžete přesvědčit z video ukázky. -mho-
25.03.2010 iPhone prolomen, lze ukrást SMS databázi
Na hackerské soutěži Pwn2Own se vitězům podařilo nabourat do iPhonu s nejnovějšími aktualizacemi a ukrást komplentí databázi SMS zpráv. Při návštěvě upravených stránek dojde během 20s k odeslání kompletní SMS databáze na vybraný server a k pádu prohlížeče. Podle Ralpha Phillipa Weinmanna, jednoho z dvojice která zranitelnost objevila, lze při troše další snahy uskutečnit útok bez pádu prohlížeče. Prohlásil také, že stejným způsobem lze vynutit export kontaktů, emailů, fotografií a hudby. Společnost TippingPoint Zero Day Initiative, která soutěž sponzoruje, má kompletní informace o zranitelnosti, se kterými bude kontaktovat Apple, a nevypustí je do světa dříve než bude uveden opravný patch. Více informací naleznete na blogu ZDNet nebo na webu The Register. -jdo-
23.03.2010 Rusko nalezlo drastické řešení problému zneužívání .ru adres
Domény s koncovkou .ru jsou nechvalně proslulé častým zneužíváním k vedení útoků, spamování, nebo například díky častému výskytu obsahu chráněného autorskými právy. Podle mnohých specialistů je na vině hlavně obtížná právní stíhatelnost v této zemi. Od 1. dubna však Ruské Koordinační Centrum začne při registraci domén tohoto typu od individuálních zájemců i firem vyžadovat kopie pasů, případně jiných dokladů totožnosti. Nové požadavky při ztíží registraci pod falešnými identitami. Samozřejmě s tím souvisí i nárůst ceny a časové náročnosti každé registrace. Čína, která byla za obsah na svých doménách taktéž často kritizována, zavedla podobný systém už v prosinci. Celá akce vznikla jako reakce na zatčení tří mužů ruskou tajnou službou ve spojení s nedávnou razii na RBS WorldPay, kterým se podařilo během 12 hodin zcizit až 9 milionů USD z bankomatů v 280 městech. Více informací naleznete v originálním článku na serveru theregister.co.uk -jbl-
21.03.2010 Google Chrome, několik zranitelností
Bylo nalezeno několik zranitelností ve webovém prohlížeči Google Chrome. Některé z chyb mají dosud neznámé následky, jiné mohou dovolovat vedení spoofing útoků, případně obcházení jistých bezpečnostních opatření. Mimo jiné se jedná o načítání HTML hlaviček ještě před kontrolou zda se nejedná o podvodný web vůči databázi SafeBrowsing společnosti Google, chybu při práci z pamětí při načítání vadných SVG souborů a jiné. Pro více informací navštivte oznámení výrobce, kde celou zprávu naleznete v originálním znění. -jbl-
18.03.2010 Zranitelnost Virtual PC Hypervisor
Byla odhalena zranitelnost, která může postihnout velké množství uživatelů Microsoft Virtual PC a ponechat je tak vystavené potencionálnímu útoku. Chyba dovoluje obejít bezpečnostní mechanismy operačního systému Windows a získat tak přístup k citlivým informacím, dovolit přepsání libovolných dat a získat vyšší privilegia. Zranitelnost je hlášena u Microsoft Virtual PC 2007, Virtual PC 2007 SP1, Windows Virtual PC, Microsoft Virtual Server 2005 a Windows 7 XP Mode. Dosud nebyla vydána záplata a tak možné řešení tohoto problému prozatím spočívá ve využití virtuálních technologií, které nejsou náchylné k této zranitelnosti. Více informací naleznete na stránkách microsoft.com. -jba-
<<< novější starší >>>
