<
1
2
3
4
5
6
7
8
9
10
>
>>
>|
07.01.2012 Zranitelnost v zabezpečení většiny wifi routerů
Velké množství dnes uživaných wifi routerů obsahuje funkci WPS, která umožňuje stiskem tlačítka přímo na routeru jednoduše připojit podporovaná zařízení bez komplikovaného nastavování. WPS však představuje i bezpečnostní hrozbu. Při spojení nového zařízení tato funkce vyžaduje zadání PIN, který se mnohdy nachází na štítku přímo na zařízení. To samo o sobě nepředstavuje většinou velký problém - PIN obsahuje 8 číslic, jejichž uhodnutí by mohlo trvat i celé roky. Pokud však útočník zadá špatnou kombinaci, vrátí se mu nejen informace o tom, že jeho útok byl neúspěšný, ale i zpráva o tom, jestli bylo některé čtyřčíslí zadáno korektně. Funkce WPS tak v důsledku redukuje 100 milionů možných kombinací na pouhých 11 000 a prolomení takového hesla už mnoho času nezabere. Pro připojení nezvaného hosta tedy vlastně stačí, aby při stisku tlačítka v okolí byl někdo, kdo momentálně zjišťuje, zdali některý z routerů v okolí nemá zapnutou službu WPS a byl připraven toho zneužít. Více informací o této nepochopitelné chybě naleznete ve zprávě na serveru Zive.cz. -jbl-
26.11.2011 Zneužití telefonu k odezírání textu psaného na PC
Vědci z Georgia Institute of Technology přišli se zvláštním způsobem zneužití smartphonů. Mnoho lidí už někdy slyšelo o takzvaných keyloggerech - programech, které zaznamenávají stisknuté klávesy a v některých případech tato data odesílají útočníkům, kteří takto mohou získat například hesla k uživatelským účtům. Málokoho však už napadne, že tento útok nemusí mít jen podobu programu na vašem počítači. Díky novinkám, jako akcelerometry, gyroskopy, a svým způsobem třeba i mikrofony stačí nyní nainstalovat obdobný program na telefon ležící vedle klávesnice a snímat záchvěvy stolu způsobené psaním. Telefon samozřejmě nezjistí přesně jakou klávesu jste stiskli, ale pokud obsahuje dostatečně sofistikovaný slovník, lze například s iPhonem 4 dosáhnout přesnosti až 80% jen z informací o hrubé oblasti klávesnice, na které klávesa byla. Více informací naleznete v tomto článku. -jbl-
21.11.2011 Anonymní internetový "hippíci" broja proti Adobe Flash Player Plugin
Nepriatelia Flash-u pritvrdili. Založili portál Occupy Flash, kde verejne nabádajú ľudí, aby odstránili zo svojích internetových "životov" všadeprítomný Flash a nahradili ho HTML5. Ten práve označujú ako budúcnosť internetu. Táto militantná skupina, na svojich stránkach, Adobe Flash vážne nešetrí a označuje ho za webovú fosíliu či bezpečnostnú nočnú moru, ktorá obmedzuje, brzdí internet a navyše ani riadne nefunguje na všetkých zariadeniach. Kto za týmto projektom stojí, zatiaľ známe nie je, rovnako aj dôvod ich konania. Štatistiky totiž hovoria, že Adobe Flash Plugin používa viac ako 90% PC pripojených na internet. Ponúka sa preto otázka, či pánom z Occupy Flash ide naozaj iba o náš, ničím nerušený pôžitok z rýchleho surfovania na webe. Viac už však nájdete v originálnom článku, ktorý prináša TheRegister. -dra-
21.11.2011 Vážne pochybenia v zabezpečení RealPlayer
Multimediálny prehrávač RealPlayer obsahuje viacnásobné zraniteľnosti, ktoré môžu byť zneužité na kompromitáciu celého systému. Riešením daného problému je upgrade na verziu 15.0.0. Podrobný popis chýb nájdete tu. -dra-
21.11.2011 Havárie serverů BIND 9
Byly hlášeny pády DNS serverů provozujících BIND 9 a vykonávajících rekurzivní dotazy. Postiženy byly mnohé verze včetně aktuálně podporovaných. ISC současně zkoumá příčiny a vydalo záplaty, které zabraňují pádu. Pro více informací navštivte stránky ISC. -jba-
04.11.2011 Ze služby Facebook ukradena data
Ze služby Facebook bylo ukradeno 250GB osobních dat. Během osmi týdenního pokusu se podařilo 102 SocialBotům, vydávajícím se za skutečné uživatele Facebooku, získat 250GB důvěrných dat od uživatelů, kteří potvrdili žádost o přátelství. Obranný systém Facebooku proti SocialBotům téměř nezakročil, podařilo se mu zablokovat pouze 20 % z nich. Podle autorů z University of British Columbia Vancouver neměl jejich projekt za cíl odkrýt nedokonalosti bezpečnostního systému Facebooku, ale pomoci Facebooku a jiným službám zdokonalit jejich obrané systémy. -zte-
30.10.2011 Problém v zabezpečení zariadení D-Link
Viaceré produkty od spoločnosti D-Link obsahujú zraniteľnosť, ktorá umožní potencionálnym útočníkom spustiť ľubovoľne upravený kód a spôsobiť tak pád celého systému. Ide o bližšie nešpecifikovanú chybu v Secure Shell (SSH) server, ktorej úspešné zneužitie má za následok "buffer overflow". Daný problém sa týka zariadení D-Link DES-3800 Series, D-Link DWL-2100AP, D-Link DWL-3200AP a riešením je update firmware-u. Detailný popis zraniteľnosti nájdete na portáli Secunia. -dra-
22.10.2011 Apple iPad 2, Smart Cover obcházení zabezpečení
U tabletu iPad 2 společnosti Apple byla nalezena zvláštní zranitelnost. Souvisí s dalším produktem vyráběným touto společností - s magnetickým krytem Smart Cover, či s jiným vhodným magnetickým předmětem. Jedna z funkcí posledního iPadu je odemknutí zařízení po odklopení tohoto krytu displaye. Na tabletu sice lze nastavit vyžadování hesla k jeho odemknutí, stačí však, aby se na obrazovce pro jeho zadání podrželo tlačítko pro návrat do hlavní obrazovky, dokud se nezobrazí přepínač pro vypnutí přístroje, následně zavřít Smart Cover, otevřít jej a stisknout tlačítko cancel. Po těchto krocích se iPad přepne do módu, ve kterém se zobrazí poslední spuštěná aplikace, případně hlavní obrazovka. Nelze sice spouštět další aplikace a manipulace se zařízením je značně omezena, ale s poslední otevřenou aplikací lze pracovat libovolně. Více informací naleznete v článku serveru H-online.com. -jbl-
18.10.2011 Zraniteľnosť v prehliadači Opera
Expert na internetovú bezpečnosť José A. Vázquez objavil závažnú bezpečnostnú dieru v aktuálnej verzii internetového prehliadača Opera, ktorej úspešné zneužitie má za následok infikovanie zraniteľného systému "škodlivým" kódom. Nebolo by to až také výnimočné, pokiaľ by tak neurobil už pred rokom. Tento problém totiž objavil presne pred 370 dňami a zároveň aj upozornil vývojárov prehliadača na vážnosť situácie. Dodnes sa, však, z ich strany nedočkal adekvátnej reakcie. Zraniteľnosť je spôsobená chybou pamäti, pri spracovávaní SVG obsahu v rámci framesetov a k infikovaniu systému vírom, dochádza už pri nevinnej návšteve "špeciálne" upravenej webovej stránky. Viac informácií už však nájdete tu a tu.
Update: Společnost Opera vydala verzi 11.52, ve které je zranitelnost opravena. -dra-
03.10.2011 Katastrofa v zabezpečení zariadení HTC (Android)
Portál Android Police informuje o mnohonásobných zraniteľnostiach zariadení od spoločnosti HTC, s operačným systémom Android. Dané zraniteľnosti umožnia takmer každej aplikácii, využívajúcej internetové pripojenie, prístup k citlivým informáciám či už o konkrétnom zariadení, alebo o samotnom užívateľovi. Jadrom problému je chyba v zabezpečení sady nástrojov (data logger), ktorá zaznamenáva informácie ako napríklad telefonný zoznam, prijaté či odoslané SMS správy, detaily o užívateľských účtoch, informácie o WIFI pripojeniach, GPS lokácia (vrátane histórie), systémové logy a veľa ďalších osobných informácií. Viac už však nájdete na stránkach The Register a Android Police. -dra-
<<< novější starší >>>
07.01.2012 Zranitelnost v zabezpečení většiny wifi routerů
Velké množství dnes uživaných wifi routerů obsahuje funkci WPS, která umožňuje stiskem tlačítka přímo na routeru jednoduše připojit podporovaná zařízení bez komplikovaného nastavování. WPS však představuje i bezpečnostní hrozbu. Při spojení nového zařízení tato funkce vyžaduje zadání PIN, který se mnohdy nachází na štítku přímo na zařízení. To samo o sobě nepředstavuje většinou velký problém - PIN obsahuje 8 číslic, jejichž uhodnutí by mohlo trvat i celé roky. Pokud však útočník zadá špatnou kombinaci, vrátí se mu nejen informace o tom, že jeho útok byl neúspěšný, ale i zpráva o tom, jestli bylo některé čtyřčíslí zadáno korektně. Funkce WPS tak v důsledku redukuje 100 milionů možných kombinací na pouhých 11 000 a prolomení takového hesla už mnoho času nezabere. Pro připojení nezvaného hosta tedy vlastně stačí, aby při stisku tlačítka v okolí byl někdo, kdo momentálně zjišťuje, zdali některý z routerů v okolí nemá zapnutou službu WPS a byl připraven toho zneužít. Více informací o této nepochopitelné chybě naleznete ve zprávě na serveru Zive.cz. -jbl-
26.11.2011 Zneužití telefonu k odezírání textu psaného na PC
Vědci z Georgia Institute of Technology přišli se zvláštním způsobem zneužití smartphonů. Mnoho lidí už někdy slyšelo o takzvaných keyloggerech - programech, které zaznamenávají stisknuté klávesy a v některých případech tato data odesílají útočníkům, kteří takto mohou získat například hesla k uživatelským účtům. Málokoho však už napadne, že tento útok nemusí mít jen podobu programu na vašem počítači. Díky novinkám, jako akcelerometry, gyroskopy, a svým způsobem třeba i mikrofony stačí nyní nainstalovat obdobný program na telefon ležící vedle klávesnice a snímat záchvěvy stolu způsobené psaním. Telefon samozřejmě nezjistí přesně jakou klávesu jste stiskli, ale pokud obsahuje dostatečně sofistikovaný slovník, lze například s iPhonem 4 dosáhnout přesnosti až 80% jen z informací o hrubé oblasti klávesnice, na které klávesa byla. Více informací naleznete v tomto článku. -jbl-
21.11.2011 Anonymní internetový "hippíci" broja proti Adobe Flash Player Plugin
Nepriatelia Flash-u pritvrdili. Založili portál Occupy Flash, kde verejne nabádajú ľudí, aby odstránili zo svojích internetových "životov" všadeprítomný Flash a nahradili ho HTML5. Ten práve označujú ako budúcnosť internetu. Táto militantná skupina, na svojich stránkach, Adobe Flash vážne nešetrí a označuje ho za webovú fosíliu či bezpečnostnú nočnú moru, ktorá obmedzuje, brzdí internet a navyše ani riadne nefunguje na všetkých zariadeniach. Kto za týmto projektom stojí, zatiaľ známe nie je, rovnako aj dôvod ich konania. Štatistiky totiž hovoria, že Adobe Flash Plugin používa viac ako 90% PC pripojených na internet. Ponúka sa preto otázka, či pánom z Occupy Flash ide naozaj iba o náš, ničím nerušený pôžitok z rýchleho surfovania na webe. Viac už však nájdete v originálnom článku, ktorý prináša TheRegister. -dra-
21.11.2011 Vážne pochybenia v zabezpečení RealPlayer
Multimediálny prehrávač RealPlayer obsahuje viacnásobné zraniteľnosti, ktoré môžu byť zneužité na kompromitáciu celého systému. Riešením daného problému je upgrade na verziu 15.0.0. Podrobný popis chýb nájdete tu. -dra-
21.11.2011 Havárie serverů BIND 9
Byly hlášeny pády DNS serverů provozujících BIND 9 a vykonávajících rekurzivní dotazy. Postiženy byly mnohé verze včetně aktuálně podporovaných. ISC současně zkoumá příčiny a vydalo záplaty, které zabraňují pádu. Pro více informací navštivte stránky ISC. -jba-
04.11.2011 Ze služby Facebook ukradena data
Ze služby Facebook bylo ukradeno 250GB osobních dat. Během osmi týdenního pokusu se podařilo 102 SocialBotům, vydávajícím se za skutečné uživatele Facebooku, získat 250GB důvěrných dat od uživatelů, kteří potvrdili žádost o přátelství. Obranný systém Facebooku proti SocialBotům téměř nezakročil, podařilo se mu zablokovat pouze 20 % z nich. Podle autorů z University of British Columbia Vancouver neměl jejich projekt za cíl odkrýt nedokonalosti bezpečnostního systému Facebooku, ale pomoci Facebooku a jiným službám zdokonalit jejich obrané systémy. -zte-
30.10.2011 Problém v zabezpečení zariadení D-Link
Viaceré produkty od spoločnosti D-Link obsahujú zraniteľnosť, ktorá umožní potencionálnym útočníkom spustiť ľubovoľne upravený kód a spôsobiť tak pád celého systému. Ide o bližšie nešpecifikovanú chybu v Secure Shell (SSH) server, ktorej úspešné zneužitie má za následok "buffer overflow". Daný problém sa týka zariadení D-Link DES-3800 Series, D-Link DWL-2100AP, D-Link DWL-3200AP a riešením je update firmware-u. Detailný popis zraniteľnosti nájdete na portáli Secunia. -dra-
22.10.2011 Apple iPad 2, Smart Cover obcházení zabezpečení
U tabletu iPad 2 společnosti Apple byla nalezena zvláštní zranitelnost. Souvisí s dalším produktem vyráběným touto společností - s magnetickým krytem Smart Cover, či s jiným vhodným magnetickým předmětem. Jedna z funkcí posledního iPadu je odemknutí zařízení po odklopení tohoto krytu displaye. Na tabletu sice lze nastavit vyžadování hesla k jeho odemknutí, stačí však, aby se na obrazovce pro jeho zadání podrželo tlačítko pro návrat do hlavní obrazovky, dokud se nezobrazí přepínač pro vypnutí přístroje, následně zavřít Smart Cover, otevřít jej a stisknout tlačítko cancel. Po těchto krocích se iPad přepne do módu, ve kterém se zobrazí poslední spuštěná aplikace, případně hlavní obrazovka. Nelze sice spouštět další aplikace a manipulace se zařízením je značně omezena, ale s poslední otevřenou aplikací lze pracovat libovolně. Více informací naleznete v článku serveru H-online.com. -jbl-
18.10.2011 Zraniteľnosť v prehliadači Opera
Expert na internetovú bezpečnosť José A. Vázquez objavil závažnú bezpečnostnú dieru v aktuálnej verzii internetového prehliadača Opera, ktorej úspešné zneužitie má za následok infikovanie zraniteľného systému "škodlivým" kódom. Nebolo by to až také výnimočné, pokiaľ by tak neurobil už pred rokom. Tento problém totiž objavil presne pred 370 dňami a zároveň aj upozornil vývojárov prehliadača na vážnosť situácie. Dodnes sa, však, z ich strany nedočkal adekvátnej reakcie. Zraniteľnosť je spôsobená chybou pamäti, pri spracovávaní SVG obsahu v rámci framesetov a k infikovaniu systému vírom, dochádza už pri nevinnej návšteve "špeciálne" upravenej webovej stránky. Viac informácií už však nájdete tu a tu.
Update: Společnost Opera vydala verzi 11.52, ve které je zranitelnost opravena. -dra-
03.10.2011 Katastrofa v zabezpečení zariadení HTC (Android)
Portál Android Police informuje o mnohonásobných zraniteľnostiach zariadení od spoločnosti HTC, s operačným systémom Android. Dané zraniteľnosti umožnia takmer každej aplikácii, využívajúcej internetové pripojenie, prístup k citlivým informáciám či už o konkrétnom zariadení, alebo o samotnom užívateľovi. Jadrom problému je chyba v zabezpečení sady nástrojov (data logger), ktorá zaznamenáva informácie ako napríklad telefonný zoznam, prijaté či odoslané SMS správy, detaily o užívateľských účtoch, informácie o WIFI pripojeniach, GPS lokácia (vrátane histórie), systémové logy a veľa ďalších osobných informácií. Viac už však nájdete na stránkach The Register a Android Police. -dra-
<<< novější starší >>>
