<
1
2
3
4
5
6
7
8
9
10
>
>>
>|
11.04.2012 Kritická zraniteľnosť v Samba
Tým Samba uvoľnil verzie 3.6.4, 3.5.14 a 3.4.16 s už opravenou kritickou zraniteľnosťou. Jedná sa o chybu v generátore kódov pre RPC (remote procedure call), kde potenciálny útočník pomocou "špeciálne" upraveného RPC dokáže spustiť ľubovoľný kód, s administrátorskými právami ako "root" a to z anonymného pripojenia. Keďže pre zneužitie danej chyby nie je potrebné autentifikované pripojenie, ide o veľmi závažnú zraniteľnosť a užívatelia či distribútori by mali vo vlastnom záujme aplikovať opravný patch, či upgradovať inštaláciu Samba. Zraniteľnosť sa týka v. 3.6.3 a všetkých predchádzajúcich verzií. Viac info už nájdete tu. -dra-
03.04.2012 Nová varianta Flashbacku využívá chybu Javy
Tento trojský kůň využívá kritickou chybu Javy, kvůli které nepotřebuje ani zadat od uživatele administrátorské heslo k napadení počítače. Tato závažná chyba v Jave již byla opravena, ale nikoli pro uživatele OS X, pro něž vydává updaty Javy sama společnost Apple, nikoliv Oracle. Tento flashback je také schopen obejít vestavěnou ochranu proti malware v OS X. Pro uživateke OS X je tedy nejlepším řešením do vydání opravného patche vypnout Javu. Detailnější informace najdete na arstechnica.com. -zte-
13.03.2012 Zraniteľnosť v CMS a S/MIME (openssl)
Šifrovacie štandardy správ pre OpenSSL: CMS (cryptographic Message Syntax), PKCS#7 a S/MIME (Secure/Multipurpose Internet Mail Extensions) obsahujú zraniteľnosť, ktorá môže byť úspešne zneužitá Bleichenbacherovým útokom, známym ako "útok miliónov správ" (million message attack - MMA). Ostatné SSL/TLS aplikácie, ktoré nepoužívajú dešifrovacie kódy PKCS#7 a CMS, daným problémom postihnuté nie sú. Riešením je upgrade na OpenSSL 1.0.0h alebo 0.9.8u. Viac info nájdete tu. -dra-
07.03.2012 Jak FBI zatkla 19-letého hackera, který zveřejnil odposlech jejich telefonátů
Ars techhnika zveřejnila pozadí, jak došlo k získání záznamu z konferenčního hovoru agentů FBI. Jeden z nich používal účet GMail, který monitoroval hacker a když se v něm objevily údaje pro připojení ke konferenčními hovoru s datem a časem konání, hacker toho využil. S úlovkem se pochlubil ale jinému hackerovi, který byl pod 24-hodinovým dohledem FBI. -zte-
17.02.2012 Adobe Flash Player, několik zranitelností
V aplikaci Adobe Flash Player bylo nalezeno větší množství zranitelností. Mimo jiné se jedná o chybu při zpracování souborů MP4 a chybu v ovladači ActiveX, které mohou způsobit poškození obsahu paměti. Další problémy nebyly blíže specifikovány, ale údajně mohou dovolovat spuštění libovolného kódu a obcházení bezpečnostních opatření. Jedna z těchto zranitelností, která je momentálně aktivně zneužívána, spočívá ve špatném ošetření vstupu před vrácením uživateli, což může dovolovat spuštění libovolného skriptu nebo HTML kódu v kontextu navštívené stránky. Adobe vydalo novou verzi software, která tyto problémy opravuje. Více informací naleznete v originálním článku výrobce. -jbl-
12.02.2012 Zranitelnost v aplikaci Google Wallet na smartphonech
Byla nalezena zranitelnost v aplikaci Google Wallet. Aplikace totiž dovoluje, při vymazání stávajících nastavení, zvolit nový pin ke službě jen na základě informace, z jakého telefonu je ke službě přistupováno. Pokud tedy byl Váš telefon s touto aplikací například odcizen, nový uživatel Vás může od Google Wallet odříznout během pár vteřin. Druhý problém, v mnoha ohledech ještě větší, tkví v samotném 4-místném PIN kódu. Aplikace Wallet totiž ukládá zašifrovaný hash kód vygenerovaný na základě tohoto PIN. Případnému útočníkovi tak tedy stačí vyzkoušet všechny možné kombinace 4 čísel (Což je při výkonu dnešních počítačů záležitost taktéž několika vteřin), aby tak získal přístup k vašemu účtu, aniž by jste to museli nutně zjistit. Více informací naleznete v originálním článku na serveru theregister.co.uk. -jbl-
05.02.2012 Šifrování komunikace satelitních telefonu prolomeno
Dvěma akademikům z německé univerzity se podařilo prolomit šifry GMR-1 a GMR-2, které se používají pro šifrování komunikace satelitních telefonů. Jedním z důvodů bylo to, že výrobci si toto šifrování ponechali v tajnosti a tudiž se nemohlo otestovat bezpečnostními inženýry po celém světě. Problém s prolomením šifrování komunikace se zatím netýká satelitních telefonů používajících šifry ETSI GMR-1/2. -zte-
29.01.2012 Spoločnosť Symantec varuje zákazníkov pred použitím vlastného produktu
Softvérový balík pcAnywhere od firmy Symantec obsahuje kritickú zraniteľnosť súvisiacu so vzdialeným prístupom. Potenciálne zneužitie danej chyby napríklad umožní útočníkom získať vzdialenú správu nad firemnou sieťou a dostať sa k citlivým údajom. V neprospech situácie navyše hrá fakt, že istá hackerská skupina odcudzila zdrojový kód, čím získali čas podrobne preskúmať zraniteľnosti a vypracovať sofistikovanejšie možnosti zneužitia. Firma Symantec preto odporúča všetkým svojím klientom, nepoužívať daný produkt, dokiaľ nevydá opravný patch, ktorý eliminuje všetky bezpečnostné riziká. Viac sa dočítate na stránkach BBCNews. -dra-
29.01.2012 Zraniteľnosť v zariadeniach Cisco IronPort
Systémy Cisco IronPort Email Security Appliances (ESA) a Cisco IronPort Security Management Appliances (SMA) obsahujú zraniteľnosť, ktorej úspešné zneužitie umožní vzdialene pripojenému útočníkovi, s neautorizovaným prístupom, spúšťať ľubovoľne upravené kódy so zvýšenými oprávneniami. Viac info nájdete na stánkach výrobcu. -dra-
23.01.2012 Oprava bezpečnostnej chyby v OpenSSL obsahuje kritickú zraniteľnosť
Opravný patch pre populárne knižnice OpenSSL, vydaný dňa 6. 1. 2012, síce vyriešil chybu typu DoS (denial-of-service), no priniesol so sebou ďalšiu zraniteľnosť (CVE-2011-4108). Ide o vážnu chybu v implementácii DTLS (Datagram Transport Layer Security) protokolu, ktorá umožní potencionálnym útočníkom dešifrovať zabezpečenú komunikáciu bez znalosti šifrovacieho kľúča. Riešením problému je upgrade na verzie OpenSSL 1.0.0g alebo 0.9.8t. Viac informácií nájdete tu. -dra-
<<< novější starší >>>
11.04.2012 Kritická zraniteľnosť v Samba
Tým Samba uvoľnil verzie 3.6.4, 3.5.14 a 3.4.16 s už opravenou kritickou zraniteľnosťou. Jedná sa o chybu v generátore kódov pre RPC (remote procedure call), kde potenciálny útočník pomocou "špeciálne" upraveného RPC dokáže spustiť ľubovoľný kód, s administrátorskými právami ako "root" a to z anonymného pripojenia. Keďže pre zneužitie danej chyby nie je potrebné autentifikované pripojenie, ide o veľmi závažnú zraniteľnosť a užívatelia či distribútori by mali vo vlastnom záujme aplikovať opravný patch, či upgradovať inštaláciu Samba. Zraniteľnosť sa týka v. 3.6.3 a všetkých predchádzajúcich verzií. Viac info už nájdete tu. -dra-
03.04.2012 Nová varianta Flashbacku využívá chybu Javy
Tento trojský kůň využívá kritickou chybu Javy, kvůli které nepotřebuje ani zadat od uživatele administrátorské heslo k napadení počítače. Tato závažná chyba v Jave již byla opravena, ale nikoli pro uživatele OS X, pro něž vydává updaty Javy sama společnost Apple, nikoliv Oracle. Tento flashback je také schopen obejít vestavěnou ochranu proti malware v OS X. Pro uživateke OS X je tedy nejlepším řešením do vydání opravného patche vypnout Javu. Detailnější informace najdete na arstechnica.com. -zte-
13.03.2012 Zraniteľnosť v CMS a S/MIME (openssl)
Šifrovacie štandardy správ pre OpenSSL: CMS (cryptographic Message Syntax), PKCS#7 a S/MIME (Secure/Multipurpose Internet Mail Extensions) obsahujú zraniteľnosť, ktorá môže byť úspešne zneužitá Bleichenbacherovým útokom, známym ako "útok miliónov správ" (million message attack - MMA). Ostatné SSL/TLS aplikácie, ktoré nepoužívajú dešifrovacie kódy PKCS#7 a CMS, daným problémom postihnuté nie sú. Riešením je upgrade na OpenSSL 1.0.0h alebo 0.9.8u. Viac info nájdete tu. -dra-
07.03.2012 Jak FBI zatkla 19-letého hackera, který zveřejnil odposlech jejich telefonátů
Ars techhnika zveřejnila pozadí, jak došlo k získání záznamu z konferenčního hovoru agentů FBI. Jeden z nich používal účet GMail, který monitoroval hacker a když se v něm objevily údaje pro připojení ke konferenčními hovoru s datem a časem konání, hacker toho využil. S úlovkem se pochlubil ale jinému hackerovi, který byl pod 24-hodinovým dohledem FBI. -zte-
17.02.2012 Adobe Flash Player, několik zranitelností
V aplikaci Adobe Flash Player bylo nalezeno větší množství zranitelností. Mimo jiné se jedná o chybu při zpracování souborů MP4 a chybu v ovladači ActiveX, které mohou způsobit poškození obsahu paměti. Další problémy nebyly blíže specifikovány, ale údajně mohou dovolovat spuštění libovolného kódu a obcházení bezpečnostních opatření. Jedna z těchto zranitelností, která je momentálně aktivně zneužívána, spočívá ve špatném ošetření vstupu před vrácením uživateli, což může dovolovat spuštění libovolného skriptu nebo HTML kódu v kontextu navštívené stránky. Adobe vydalo novou verzi software, která tyto problémy opravuje. Více informací naleznete v originálním článku výrobce. -jbl-
12.02.2012 Zranitelnost v aplikaci Google Wallet na smartphonech
Byla nalezena zranitelnost v aplikaci Google Wallet. Aplikace totiž dovoluje, při vymazání stávajících nastavení, zvolit nový pin ke službě jen na základě informace, z jakého telefonu je ke službě přistupováno. Pokud tedy byl Váš telefon s touto aplikací například odcizen, nový uživatel Vás může od Google Wallet odříznout během pár vteřin. Druhý problém, v mnoha ohledech ještě větší, tkví v samotném 4-místném PIN kódu. Aplikace Wallet totiž ukládá zašifrovaný hash kód vygenerovaný na základě tohoto PIN. Případnému útočníkovi tak tedy stačí vyzkoušet všechny možné kombinace 4 čísel (Což je při výkonu dnešních počítačů záležitost taktéž několika vteřin), aby tak získal přístup k vašemu účtu, aniž by jste to museli nutně zjistit. Více informací naleznete v originálním článku na serveru theregister.co.uk. -jbl-
05.02.2012 Šifrování komunikace satelitních telefonu prolomeno
Dvěma akademikům z německé univerzity se podařilo prolomit šifry GMR-1 a GMR-2, které se používají pro šifrování komunikace satelitních telefonů. Jedním z důvodů bylo to, že výrobci si toto šifrování ponechali v tajnosti a tudiž se nemohlo otestovat bezpečnostními inženýry po celém světě. Problém s prolomením šifrování komunikace se zatím netýká satelitních telefonů používajících šifry ETSI GMR-1/2. -zte-
29.01.2012 Spoločnosť Symantec varuje zákazníkov pred použitím vlastného produktu
Softvérový balík pcAnywhere od firmy Symantec obsahuje kritickú zraniteľnosť súvisiacu so vzdialeným prístupom. Potenciálne zneužitie danej chyby napríklad umožní útočníkom získať vzdialenú správu nad firemnou sieťou a dostať sa k citlivým údajom. V neprospech situácie navyše hrá fakt, že istá hackerská skupina odcudzila zdrojový kód, čím získali čas podrobne preskúmať zraniteľnosti a vypracovať sofistikovanejšie možnosti zneužitia. Firma Symantec preto odporúča všetkým svojím klientom, nepoužívať daný produkt, dokiaľ nevydá opravný patch, ktorý eliminuje všetky bezpečnostné riziká. Viac sa dočítate na stránkach BBCNews. -dra-
29.01.2012 Zraniteľnosť v zariadeniach Cisco IronPort
Systémy Cisco IronPort Email Security Appliances (ESA) a Cisco IronPort Security Management Appliances (SMA) obsahujú zraniteľnosť, ktorej úspešné zneužitie umožní vzdialene pripojenému útočníkovi, s neautorizovaným prístupom, spúšťať ľubovoľne upravené kódy so zvýšenými oprávneniami. Viac info nájdete na stánkach výrobcu. -dra-
23.01.2012 Oprava bezpečnostnej chyby v OpenSSL obsahuje kritickú zraniteľnosť
Opravný patch pre populárne knižnice OpenSSL, vydaný dňa 6. 1. 2012, síce vyriešil chybu typu DoS (denial-of-service), no priniesol so sebou ďalšiu zraniteľnosť (CVE-2011-4108). Ide o vážnu chybu v implementácii DTLS (Datagram Transport Layer Security) protokolu, ktorá umožní potencionálnym útočníkom dešifrovať zabezpečenú komunikáciu bez znalosti šifrovacieho kľúča. Riešením problému je upgrade na verzie OpenSSL 1.0.0g alebo 0.9.8t. Viac informácií nájdete tu. -dra-
<<< novější starší >>>
