Jump to content
Forum Kopalni Wiedzy

Search the Community

Showing results for tags 'luka'.



More search options

  • Search By Tags

    Type tags separated by commas.
  • Search By Author

Content Type


Forums

  • Nasza społeczność
    • Sprawy administracyjne i inne
    • Luźne gatki
  • Komentarze do wiadomości
    • Medycyna
    • Technologia
    • Psychologia
    • Zdrowie i uroda
    • Bezpieczeństwo IT
    • Nauki przyrodnicze
    • Astronomia i fizyka
    • Humanistyka
    • Ciekawostki
  • Artykuły
    • Artykuły
  • Inne
    • Wywiady
    • Książki

Find results in...

Find results that contain...


Date Created

  • Start

    End


Last Updated

  • Start

    End


Filter by number of...

Joined

  • Start

    End


Group


Adres URL


Skype


ICQ


Jabber


MSN


AIM


Yahoo


Lokalizacja


Zainteresowania

Found 53 results

  1. Firma Cenzic, specjalizująca się w tworzeniu aplikacji bezpieczeństwa, opublikowała swój raport za pierwszą połowę 2009 roku. Czytamy w nim, że przeglądarką, w której znaleziono najwięcej luk, był Firefox. Produkt Mozilli był odpowiedzialny za 44% wszystkich dziur znalezionych w przeglądarkach. Na drugim miejscu uplasowało się Safari, którego luki stanowiły 35% wszystkich. Trzecie miejsce przypadło Internet Explorerowi (15%), a czwarte Operze (6%). Warto przypomnieć, że w raporcie za II połowę 2008 roku pierwsze miejsce na niechlubnej liście przypadło IE (43% dziur), a Firefox był wówczas na drugiej pozycji (39%). Lars Ewe, prezes ds. technicznych firmy Cenzic mówi, że duża liczba luk w Firefoksie jest efektem kilku zjawisk. Przeglądarka przyciąga coraz więcej uwagi, co jest dla niej dobre, ale z drugiej strony im jest bardziej popularna, tym więcej błędów się w niej znajduje. Ponadto dużo luk występowało we wtyczkach. To właśnie architektura wtyczek jest tym, co przyczynia się do popularności przeglądarki i są one jednym z powodów, dla których uwielbiam Firefoksa. Jednak [Mozilla - red.] nie jest w stanie kontrolować bezpieczeństwa wszystkich wtyczek i jest to uboczny efekt popularności - stwierdza Ewe. Jednak fakt, że w Firefoksie znaleziono największą liczbę błędów nie oznacza, że jest to najmniej bezpieczna przeglądarka. Ewe informuje, że jego firma korzysta właśnie z technologii Mozilli w swoich produktach, co świadczy o tym, że można jej zaufać. Wyjaśnia również, w jaki sposób liczono liczbę błędów. Przygotowując raport oparto się na wielu różnych statystykach i uśredniono ich wyniki. W zależności bowiem od źródła można znaleźć kilkuprocentowe różnice w liczbie raportowanych błędów. Można mówić, że błędów jest 40% lub 42%, w zależności od tego, jak się je liczy, ale na pewno różnice w różnych statystykach nie są duże.
  2. Developerzy Linuksa opublikowali krytyczną poprawkę do jądra opensource'owego systemu. Łata ona poważny błąd, który umożliwia całkowite przejęcie kontroli nad Linuksem. Błąd istnieje w większości dystrybucji rozpowszechnionych w ciągu ostatnich ośmiu lat. Na atak podatne są wszystkie wersje jądra 2.4 i 2.6, które wydano od maja 2001. Co gorsza, przeprowadzenie ataku jest niezwykle proste, a napastnik ma możliwość dowolnego zwiększania swoich uprawnień w zaatakowanym systemie. Specjaliści ostrzegają, że luka jest szczególnie groźna dla przedsiębiorstw. To właśnie one są niezwykle atrakcyjnym celem potencjalnego ataku. To druga poważna luka w jądrze opensource'owego systemu odkryta w ciągu ostatnich tygodni. Wcześniej informowaliśmy o błędzie dereferencji pustego wskaźnika. Dokładny opis obecnie znalezionego błędu został udostępniony w Sieci.
  3. W bibliotekach XML stworzonych przez Suna, Apache Software Foundation, Python Software Foundation i Gnome Project odkryto poważne błędy umożliwiające przeprowadzenie ataku DoS. Wykorzystujące je aplikacje są zagrożone, a aplikacji takich są prawdopodobnie miliony - mówi Dave Chartier, szef firmy Codenomicon, która odkryła błąd. Codenomicon produkuje narzędzie Defensics, które zajmuje się automatycznym analizowaniem kodu pod względem bezpieczeństwa. Na początku roku dodano do niego możliwość analizowania XML. Już pierwsze testy wykazały, że popularne biblioteki zawierają liczne luki. Dziury mogą zostać wykorzystane poprzez zachęcenie użytkownika do otwarcia odpowiednio spreparowanego pliku XML lub też wysłanie zapytania do witryny zawierającej spreparowany kod XML. Następstwa skutecznego ataku mogą być poważne - od możliwości przeprowadzenia ataku DoS po wykonanie szkodliwego kodu na zaatakowanej maszynie - czytamy na stronach Codenomicon. Firma od dłuższego czasu współpracuje z producentami oprogramowania i fińskim CERT-em w celu rozwiązania problemu. Implementacje XML-a są wszechobecne, znajdziemy je w systemach i usługach, w których byśmy się ich nie spodziewali. Dla nas najważniejsze jest, by użytkownicy końcowi i organizacje, którzy używają tych bibliotek zainstalowali ich najnowsze wersje. Niniejsze oświadczenie to początek długiej drogi rozwiązywania problemów, która zakończy się dopiero wówczas, gdy łaty zostaną zastosowane w systemach produkcyjnych - mówi Erka Koivunen z CERT-FI.
  4. Jeden z hakerów poinformował w serwisie milw0rm o odkryciu krytycznego błędu w opensource'owym firmware dla bezprzewodowych ruterów. Błędy występują w ponad 200 modelach urządzeń różnych producentów. Luka jest obecna w najnowszej wersji oprogramowania DD-WRT, które rozszerza domyślne funkcje rutera. Umożliwia ona atakującemu uzyskanie dostępu do urządzenia na prawach administratora, bez konieczności przechodzenia procesu uwierzytelniania. Wystarczy nakłonić kogoś z sieci lokalnej do odwiedzenia odpowiednio spreparowanej witryny. Błąd występuje w demonie httpd, który domyślnie działa w DD-WRT na prawach roota. Jest on podatny na atak typu CSRF, atakujący może więc zdalnie wprowadzać dowolne komendy. Twórcy DD-WRT właśnie opublikowali listę poprawek. Przed kilkoma miesiącami informowaliśmy o odkryciu botnetu na modemach i ruterach. Wszystko wskazuje na to, że urządzenia peryferyjne łączące nas z Internetem będą coraz częściej padały ofiarami podobnych ataków.
  5. Microsoft przyznał, że od półtora roku wiedział o skrajnie krytycznej luce, o której świat dowiedział się przed kilkoma dniami. Wyjątkowo niebezpieczna dziura pozwala na zaatakowanie komputerów z systemami Windows XP i Windows Server 2003, na których zainstalowano Internet Explorera 6 lub 7. Do przeprowadzenia ataku nie jest potrzebna żadna interakcja ze strony użytkownika. Wystarczy, że odwiedzi on odpowiednio spreparowaną witrynę. Koncern z Redmond został poinformowany o istnieniu luki na początku 2008 roku przez dwóch specjalistów z IBM-owskiego zespołu ISS X-Force. Analitycy nie pozostawiają na Microsofcie suchej nitki. To nieakceptowalnie długo. Załatanie luki nie powinno trwać 18 miesięcy, nie w przypadku tak wielkiej firmy jak Microsoft - mówi John Pescatora z Gartnera. Trudno sobie wyobrazić, by za 18-miesięczną zwłoką stały jakieś przyczyny techniczne. To oznacza, że wpłynęły na nią względy biznesowe, coś związanego z samym produktem lub też chodzi o priorytety - dodaje. Microsoft broni się mówiąc, że śledztwo w sprawie luki i wszelkich aspektów z nią związanych rozpoczęto natychmiast po otrzymaniu informacji o niej. Jednak nawet przedstawiciele firmy przyznają, że jej łatanie trwa zbyt długo i nie potrafią wyjaśnić przyczyn zwłoki. Ryan Smith, jeden z odkrywców dziury, nie jest nastawiony tak krytycznie jak Pescatore. To problem jedyny w swoim rodzaju. Mechanizm jego działania jest unikalny. Myślę, że dlatego zabrało im to tak dużo czasu - mówi. Dodaje przy tym, że Microsoft informował go na bieżąco o postępach prac nad poprawką. W najbliższy wtorek w ramach comiesięcznego zestawu zabezpieczeń Microsoft opublikuje łatę, która uniemożliwi przeprowadzanie ataków na dziurę. Jednak nie będzie to poprawka w pełnym sensie tego słowa. Pierwsze ataki na wspomnianą dziurę pojawiły się 11 czerwca bieżącego roku. Microsoft dowiedział się o nich 5 lipca. Zarówno koncern z Redmond jak i odkrywcy luki odmawiają podania szczegółów na jej temat.
  6. Austriacka firma Phion poinformowała o znalezieniu w jądrze Windows Visty błędu, który umożliwia atakującemu wykonanie szkodliwego kodu w systemie. Dziura w Device IO Control, który odpowiada za wewnętrzną komunikację, umożliwia wywołanie błędu przepełnienia bufora. Przedstawiciele Phiona twierdzą, że istnieją dwa sposoby na wykorzystanie luki. Do przeprowadzenia pierwszego z ataków konieczne jest jednak posiadania praw administratora systemu, więc nie można w tym przypadku mówić o zagrożeniu. Jednak, jak zapewniają Austriacy, druga z metod pozwala na wywołanie przepełnienia bufora przez osobę, która nie posiada uprawnień administratora. Microsoft przed miesiącem został poinformowany o problemie. Koncern zapowiedział, że odpowiednia poprawka znajdzie się w Service Packu 2 dla Windows Visty.
  7. Na forum MacRumors pojawiła się informacja o poważnej dziurze w iPhonie z zainstalowanym najnowszym firmware'em w wersji 2.0.2. Jeden z użytkowników opisał prosty sposób, jak zdobyć niemal całkowitą kontrolę nad telefonem zabezpieczonym hasłem. By tego dokonać nie trzeba mieć żadnej wiedzy programistycznej. Wystarczy, by w zablokowanym i chronionym hasłem telefonie kilknąć Telefon alarmowy. Następnie dwukrotnie należy nacisnąć Home. Później naciskamy na niebieską strzałkę obok nazwy kontaktu i zyskujemy pełny dostęp do Safari, listy kontaktów, map, SMS-ów czy Ulubionych. Pod wpisem na forum pojawiły się komentarze użytkowników potwierdzające skuteczność metody. Co więcej, jeden z nich stwierdził, że sposób ten działa również na iPhonie z firmware'em 2.0.1. Przed opisanym wyżej atakiem można zabezpieczyć się w dość prosty sposób. Należy przypisać klawiszowi "Home" inną funkcję niż domyślna. By to zrobić wchodzimy w Ustawienia, później Ogólne, wybieramy Home Button i przypisujemy mu funkcję Home lub iPod. Wówczas podwójne kliknięcie przeniesie nas nie do kontaktów, a z powrotem do ekranu logowania lub do ekranu powitalnego.
  8. Mozilla ustanowiła swój rekord pobrań aplikacji w ciągu 24 godzin o premiery. Najnowszą wersję Firefoksa, oznaczoną numerem 3, pobrano w tym czasie ponad 8 milionów razy. Sukces przyćmiła jednak informacja, że zaledwie 5 godzin po udostępnieniu przeglądarki znaleziono w niej pierwszą krytyczną dziurę. Luka została znaleziona przez ekspertów z Zero Day Initiative, organizacji założonej przez TippingPoint i 3Com. Oczywiście specjaliści nie zdradzają szczegółów na jej temat, gdyż nie istnieje jeszcze łatająca ją poprawka. Ze skąpych informacji można wnioskować, że luka umożliwia wykorzystanie odpowiednio spreparowanej witryny WWW do wstrzyknięcia i wykonania na komputerze ofiary dowolnego kodu. Dziura występuje też w Firefoksie 2.
  9. Na zlecenie amerykańskiego Departamentu Bezpieczeństwa Wewnętrznego (DHS) przeprowadzono badania dotyczące liczby luk bezpieczeństwa w kodzie popularnych opensource’owych programów. Specjaliści przyjrzeli się m.in. Sambie, PHP, Perlowi czy Amandzie. Z badań wynika, że w tego typu oprogramowaniu można znaleźć średnio 1 błąd bezpieczeństwa na 1000 linii kodu. Od czasu, gdy DHS rozpoczął swój projekt poprawiania luk w programach typu Open Source, naprawiono 7826 takich dziur, czyli jedną co dwie godziny. Departament w marcu 2006 roku zapłacił firmie Coverity 300 000 dolarów za sprawdzenie kodu 180 opensource’owych programów, z których wiele jest używanych przez agendy amerykańskiego rządu. Przyjrzyjmy się zatem, jak sprawowały się najpopularniejsze z tych programów. W Sambie znaleziono 236 błędów w 450 000 linii. Tak więc wypada ona znacznie lepiej, niż przecięty opensource’owy projekt. Z tych 236 błędów poprawiono 228. Bardzo dobrze wypada też Linux. W jądrze 2.6 odkryto 0,127 błędu na 1000 linii. Jądro to składa się z 3 milionów 639 tysięcy 322 linii. Kolejne badania dowiodły, że w ciągu ostatnich dwóch lat developerzy Linuksa usunęli 452 błędy w jądrze, 48 jest potwierdzonych, ale jeszcze niezałatanych, a kolejnych 413 błędów czeka na potwierdzenie i łaty. Z kolei we FreeBSD znaleziono 1 błąd na 2615 linii kodu, jednak dotychczas twórcy tego systemu nie poprawili żadnego z 605 niedociągnięć. Serwer Apache składa się ze 135 916 linii, a liczba błędów wynosi 0,14 na 1000 linii. Dotychczas poprawiono 3 błędy, potwierdzono istnienie 7, które jeszcze nie zostały załatane, a 12 dalszych czeka na potwierdzenie i łaty. Bardzo dobrym rezultatem może poszczycić się system bazodanowy PostgreSQL. Wśród 909 148 linii częstotliwość występowania błędów wynosi 0,041 na 1000 linii. Dotychczas załatano 53 luki znalezione przez Coverity, czyli wszystkie, których istnienie potwierdzono. Na weryfikację i łaty czeka 37 dziur. Jednak najlepszy wynik osiągnął jeden z najczęściej używanych przez developerów programów, biblioteka glibc. W 588 931 liniach kodu wykryto jedynie 83 błędy, które zostały załatane na bieżąco. Teraz w glibc nie istnieje żaden znany błąd. Podobnie zresztą jak w Amandzie (99 073 linie) i courier-maildir (82 229 linii). Coverity zbadało też graficzne interfejsy użytkownika. W KDE w 4 712 273 liniach kodu poprawiono 1554 błędy, zweryfikowano 25, a na potwierdzenie czeka jeszcze 65. Z kolei Gnome w 430 809 liniach poprawiło 357 błędów, potwierdzono istnienie 5, a 214 czeka na weryfikację. W popularnym OpenVPN znaleziono tylko 1 błąd (na 69 223 linie), ale nie został on jeszcze poprawiony. Z kolei OpenSSL składa się z 221 194 linii kodu. Dotychczas poprawiono 24 luki, 1 potwierdzono, a 24 czekają na weryfikację. Coverity nie chciał natomiast ujawnić wyników testowania produktów o zamkniętym kodzie. Firma na zlecenie swoich klientów sprawdziła 400 takich produktów. Nasi klienci nie byliby zadowoleni, gdybyśmy ujawnili liczbę błędów w ich kodzie – stwierdzili przedstawiciele Coverity.
  10. W oprogramowaniu Norton Personal Firewall 2004 znaleziono lukę, która umożliwia wprowadzenie złośliwego kodu do systemu i wykonanie go. Symantec informuje, że błąd występuje w module ActiveX ISAlertDataCOM (plik ISLALERT.DLL). Może zostać wykorzystany poprzez przesłanie do funkcji „Get()” i „Set()” odpowiednio spreparowanych parametrów. Atak jest możliwy wówczas, gdy użytkownik, za pomocą Internet Explorera, odwiedzi witrynę WWW przygotowaną przez cyberprzestępców. Narażeni na atak są też użytkownicy Norton Internet Security Suite 2004, gdyż Personal Firewall jest częścią tego pakietu. Symantec zapewnia, że błąd nie występuje w kolejnych edycja oprogramowania. Firma udostępniła już odpowiednie poprawki.
  11. Microsoft zdecydował, że, w przeciwieństwie do wielu przedsiębiorstw, nie będzie płacił niezależnym badaczom za informacje dotyczące luk w firmowych produktach. Roger Halbheer, doradca Microsoftu, powiedział, że koncern ma zamiar współpracować z niezależnymi specjalistami i co miesiąc, w ramach publikowania poprawek, będzie im dziękował za odkrycie luk. Nie sądzę, by płacenie było dobrym pomysłem. W Redmond odbywają się spotkania z badaczami zwane Bluehat. Gdy specjaliści zobaczą, jak pracujemy, zaczną nam ufać. Poza tym, to nie tak, że ociągamy się z opracowywaniem poprawek. Są one po prostu bardzo skomplikowane. To kompleksowa robota – dodał Halbheer. Poinformował, że stworzenie gotowej poprawki może potrwać nawet kilkaset dni. Częściowo dlatego, że Microsoft stosuje bardzo długotrwały proces testowania. Na przykład łata dla Internet Explorera musi przejść ponad 400 różnych testów, zanim zostanie udostępniona. W szczególnych przypadkach Microsoft jest jednak skłonny wydać dodatkowe pieniądze. Przed trzema laty firma zaoferowała 250 000 dolarów nagrody osobie, której informacje doprowadzą do aresztowania i skazania autora robaka MyDoom.B. Inne firmy i organizacje stosują różną strategię. Mozilla oferuje 500 dolarów i koszulkę za informację o każdej z luk. Z kolei amerykańska Federalna Komisja Handlu płaci do 250 000 dolarów za informacje, które pozwolą na złapanie spamerów.
  12. W linuksowych sterownikach dla sieci Wi-Fi odkryto dziurę, która umożliwia przejęcie kontroli nad maszyną. Luka występuje w sterowniku MadWi-Fi dla chipsetów korzystających z kości firmy Atheros. Cyberprzestępca może ją wykorzystać do doprowadzenia do przepełnienia stosu w jądrze Linuksa, nawet wówczas, gdy komputer nie jest podłączony do sieci Wi-Fi. Laurent Butti, specjalista zatrudniony we France Telecom Orange, który odkrył błąd, informuje, że konieczne jest ręczne zainstalowanie poprawki. Po raz pierwszy o dziurze poinformowano w ubiegłym miesiącu podczas konferencji Black Hat, ale informację tę trzymano w tajemnicy, by dać programistom czas na stworzenie poprawek. Obecnie Butti sprawdza, czy podobne błędy nie występują w WiMaksie i bezprzewodowym USB.
  13. Microsoft ostrzega, że cyberprzestępcy próbują wykorzystać nowo odkrytą lukę w produktach serwerowych tej firmy. Dziura umożliwia uruchomienie nieutoryzowanego kodu na zaatakowanych maszynach. Problem dotyczy systemów Windows 2000 Server z Service Packiem 4, Windows Server 2003 z SP1 oraz Windows Server 2003 z SP2. Błąd może spowodować przepełnienie stosu w interfejsie RPC serwera DNS. Atakujący może wysłać specjalnie spreparowany pakiet RPC, który umożliwi mu uruchomienie kodu w serwerze DNS. Microsoft radzi, by administratorzy do czasu opublikowania poprawki wyłączyli w rejestrze możliwość korzystania z opcji zdalnego zarządzania. Innym rozwiązaniem jest zablokowanie na firewallu portów od 1024 do 5000 i włączenie zaawansowanego filtrowania TCP/IP. Firma Secunia oceniła błąd jako "wysoce krytyczny”.
  14. Po raz drugi w ciągu ostatniego tygodnia okazuje się, że Google Desktop jest dziurawy. Tym razem specjaliści znaleźli lukę, która powoduje, iż program jest podatny na pewien mało znany rodzaj ataku zwany anti-DNS pinning. Daje on cyberprzestępcy dostęp do wszystkich danych zaindeksowanych przez Google Desktop. Robert Hansen, niezależny specjalista ds. bezpieczeństwa, który odkrył lukę, ostrzega, że wszystkie dane z Google Desktop mogą zostać pobrane na komputer atakującego. Niestety, nie ujawnił on szczegółów dotyczących sposobu, w jaki można przeprowadzić atak. Zapewnił, że przetestował wszystkie możliwe scenariusze i atak jest skuteczny. Hansen poinformował o znalezionej luce Google’a, a koncern oświadczył, że bada doniesienia. Anti-DNS pinning to metoda ataku znana niewielkiej grupie specjalistów. Hansen wykorzystał jej odmianę, która polega na takim zmanipulowaniu sposobu, w jaki przeglądarka internetowa korzysta z serwera nazw (DNS), by wysyłała ona dane na komputer cyberprzestępcy. Na szczęście atak jest trudny do przeprowadzenia i niewiele osób potrafi go wykonać. Specjaliści uważają jednak, że nie wolno tej metody lekceważyć, gdyż jest bardzo skuteczna i w przyszłości może być szerzej wykorzystywana przez cyberprzestępców. Tym bardziej, że niewiele można zrobić, by go uniknąć.
  15. Google załatało groźną dziurę w Google Desktop. Luka została odkryta w ubiegłym roku przez analityków firmy Watchfire Corp. Można ją spotkać w około 80% aplikacji sieciowych, jednak szczególnie niebezpieczna była w produkcie Google’a. Google Desktop to darmowe narzędzie, które pozwala wyszukiwać i indeksować przechowywane na komputerze dane tak, jak czyni to wyszukiwarka internetowa. Okazało się, że Google Desktop jest podatny na atak typu cross-site scripting. Pozwala on na zainstalowanie i uruchomienie szkodliwego kodu na komputerze wykorzystującym Google Desktop. Atakujący może doprowadzić do infekcji w różnych sposób, np. wysyłając potencjalnej ofierze e-mail. Jeśli atak się powiedzie, cyberprzestępca może przeszukiwać komputer ofiary i, prawdopodobnie, zyskać nad nim całkowitą kontrolę. Watchfire poinformował Google’a o luce 4 stycznia, a 1 lutego jego pracownicy otrzymali informację, że dziura została załatana.
  16. Google załatał w swoim serwisie hostingowym lukę, która pozwalała na przeprowadzenie ataku XSS (cross-site scripting). Umożliwiała ona podejrzenie dokumentów, arkuszy kalkulacyjnych, tematów e-maili oraz historii wyszukiwarki użytkownika. Błąd powstał po tym, jak Google zaktualizował oprogramowanie niektórych swoich usług. Przed kilkoma dniami odkryto inną lukę powstałą po aktualizacji. Pozwalała ona na stworzenie strony internetowej przechowywanej w domenie google.com, za pomocą której można było ukraść ciasteczka (cookie) użytkowników i uzyskać dostęp do wykorzystywanych przez nich serwisów Google’a.
  17. MIT (Massachusetts Institute of Technology) poinformował o znalezieniu krytycznych dziur w stworzonym przez tę uczelnię, szeroko wykorzystywanym protokole uwierzytelniania i autoryzacji Kerberos. Luki pozwalają atakującemu na przejęcie kontroli nad serwerem Kerberosa i uzyskanie dostępu do bazy danych. Możliwe, że cyberprzestępca jest również w stanie dostać się do innych komponentów sieci. Dziury mogą zostać też wykorzystane do przerwania pracy Kerberosa, co z kolei uniemożliwi dostęp do sieci legalnym użytkownikom. Luki odkryto w module kadmind i spowodowana jest ona błędami w komunikacji dokonywanej za pomocą RPC i GSS-API.Cyberprzestępca może wykorzystać kadmind to zainfekowania pamięci szkodliwym kodem i wykonania go. Do przeprowadzenia ataku nie jest konieczne uwierzytelnienie się w systemie. Błąd dotyczy kadmind w wersjach od krb5-1.4 do krb5-1.4.4 oraz od krb5-1.5 do krb5-1.5. Wadliwe jest również oprogramowanie wszystkich producentów korzystających z biblioteki RPC oraz GSS-API w wymienionych powyżej wersjach. Edycje wcześniejsze niż krb5-1.4 są pozbawione błędu. Opublikowano już kod źródłowy łat dla RPC i GSS-API. Ponadto wkrótce MIT udostępni wersję 1.5.2 swojego oprogramowania, która jest pozbawiona błędów.
  18. Firma analityczna ABI Research ostrzega przed licznymi lukami w zabezpieczeniach technologii WiMax. Jeśli nie uczysz się na błędach przeszłości, będziesz musiał je powtórzyć – mówi wiceprezes ABI, Stan Schatt. Pierwsi użytkownicy sieci Wi-Fi żyli w złudnym poczuciu bezpieczeństwa do czasu, aż zaczęto odkrywać poważne błędy. WiMax Forum podkreśla, że technologia WiMax jest znacznie bardziej bezpieczna od Wi-Fi. W rezultacie użytkownicy WiMaksa mogą podobnie łudzić się, że są bezpieczni. Zdaniem Schatta o poważnych dziurach w zabezpieczeniach zaczniemy dowiadywać się, gdy tylko ruszy pierwsza duża sieć WiMax. Błędy w tej technologii podzielono na trzy kategorie: luki w komputerach użytkowników, problemy z systemem wykrywania włamań oraz dziury w innych urządzeniach podłączanych do sieci WiMax. ABI podkreśla, że terminale wykorzystywane przez użytkowników muszą zostać wyposażone w systemy umożliwiające sprawne przetwarzanie kluczy szyfrujących AES, a producenci innych urządzeń sieciowych powinni dodać do nich sprzętowe i programowy systemy zabezpieczające i wykrywające włamania. Szczególnie niebezpieczny jest fakt, iż poza kilkoma wielkimi producentami sprzętu sieciowego, jak Motorola, Nortel czy Alcatel, niewiele firm zainteresowanych technologią WiMax ma wiedzę i doświadczenie konieczne do zabezpieczenia sieci. Z drugiej jednak strony braki te to idealna nisza rynkowa dla niewielkich firm specjalizujących się w zabezpieczeniach. Zdaniem analityków ABI istnieje więc pole do popisu dla firm takich jak Cavium Networks, AirTight Networks czy Redline Communications, które potrafią zadbać o bezpieczeństwo sieci. Muszą jednak pamiętać, że, jak wskazują doświadczenia z sieciami Wi-Fi, dla klientów końcowych najbardziej atrakcyjne są rozwiązania zintegrowane, więc mniejsze firmy powinny oferować swoje produkty we współpracy z wymienionymi powyżej gigantami.
  19. Firma iDefense oferuje 8000 dolarów za informacje o lukach, które mogą zostać wykorzystane do zdalnego ataku na system Windows Vista i przeglądarkę Internet Explorer 7. Ponadto dodatkowe 4000 dolarów zostaną wypłacone za zaprezentowanie działającego prototypowego kodu, wykorzystującego luki. Oferowane sumy mogą imponować, są jednak znacznie niższe, niż za podobne informacje oferują na czarnym rynku gangi cyberprzestępców. Ostatnio doniesiono, że informacje o dziurach w Viście sprzedawane są cyberprzestępcom za 50 000 dolarów. Sprzedaż posiadanych informacji firmie iDefense ma jednak tą zaletę, że sprzedający nie stanie się obiektem zainteresowania stróżów prawa. iDefense przekazuje takie informacje producentom wadliwego oprogramowania, a do publicznej wiadomości trafiają one tylko wtedy, gdy producent opublikuje odpowiednie łaty.
  20. Mozilla opublikowała łaty dla ośmiu dziur znalezionych w przeglądarce Firefox 2.0. Pięć ze wspomnianych luk oceniono jako krytyczne. Firefox 2.0.0.1 łata luki dotyczące zarządzania pamięcią, obsługi kanałów RSS, kodu JavaScript i CSS. Co ciekawe, podobne dziury zostały były już poprawiane w wersji 1.5 popularnej przeglądarki. Jedna z krytycznych dziur występuje tylko w wersji Firefoksa przeznaczonej dla Windows. Spośród pozostałych trzech luk dwie oceniono jako "ważne", jedną uznano za mało niebezpieczną. Mozilla za krytyczne uznaje te dziury, które pozwalają na uruchomienie i zainstalowanie szkodliwego kodu bez żadnej interakcji ze strony użytkownika komputera. Z kolei luki "ważne” to takie, które pozwalają na kradzież danych lub na wstawienie przez cyberprzestępców własnych danych.
  21. Microsoft bada doniesienia o dziurze w systemie operacyjnym Windows Vista. Mike Reavey, z microsoftowego Security Response Centem poinformował, że dziura pozwala użytkownikowi na zmianę uprawnień w wielu różnych wersjach Windows. Prototypowy kod wykorzystujący wspomnianą lukę trafił do Sieci, jednak na razie brak jest doniesień o jego praktycznym wykorzystaniu. Wstępne badania wskazują, że atakujący, by wkorzystać lukę, musi mieć autoryzowany dostęp do atakowanego komputera – napisał Reavey. Mimo iż luka ta dotyczy systemu Windows Vista, wciąż jestem przekonany, iż jest to najbardziej bezpieczny system operacyjny. Jak zwykle zachęcamy użytkowników do włączenia firewalla i wszelkich innych systemów zabezpieczeń oraz do zainstalowania oprogramowania antywirusowego i antyspyware’owego.
  22. The Washington Post, opierając się na danych dostarczonych przez Microsoft oraz na wywiadach ze specjalistami ds. bezpieczeństwa informuje, że przeglądarka Internet Explorer była niezałatana przez 284 dni 2006 roku. Tak więc przez 78% ubiegłego roku jej użytkownicy byli narażeni na niebezpieczeństwo. W tym samym roku przez co najmniej 98 dni jedna z luk w Internet Explorerze pozostawała niezałatana i była aktywnie wykorzystywana przez cyberprzestępców do kradzieży danych osobowych i finansowych. Dla porównania, główny konkurent Internet Explorera – przeglądarka Firefox – ma na swoim koncie jeden 9-dniowy okres, w którym istniała poważna, niezałatana dziura. W ciągu ubiegłego roku do Sieci trafiło 10 informacji, szczegółowo opisujących, w jaki sposób można wykorzystać krytyczne dziury w IE, jeszcze zanim zostały one załatane przez Microsoft. Brian Krebs, który ogłosił powyższe dane, informuje, że przed publikacją pokazał wyniki swoich badań Microsoftowi, a przedstawiciele koncernu nie zgłosili do nich żadnych zastrzeżeń.
  23. Odnaleziona ostatnio luka w Adobe Readerze jest groźniejsza, niż pierwotnie przypuszczano. Początkowo eksperci twierdzili, że za jej pomocą można ukraść jedynie dane dotyczące aktywności użytkownika w Sieci lub też wykorzystać ją do przeprowadzenia phishingu (wyłudzania danych osobistych i finansowych). Obecnie okazało się, że dziura daje dostęp do wszystkich informacji zapisanych na dysku twardym zaatakowanego komputera. Najpierw odkryto, iż podsunięcie ofierze linku z odpowiednio spreparowanym kodem JavaScript, prowadzącego do pliku .PDF przechowywanego na serwerze, pozwala na dostęp do informacji o tym, co ofiara robiła w Internecie. Niedawno odkryto, że podobny link, ale prowadzący do pliku .PDF na komputerze ofiary daje dostęp do całego komputera. Oznacza to, że jakikolwiek skrypt JavaScript może zostać wykonany na maszynie użytkownika – mówi Billy Hoffman z SPI Dynamics. W zależności od wykorzystywanej przeglądarki oznacza to, iż JavaScript może odczytać pliki użytkownika, kasować je, uruchamiać programy, wysyłać listy kontaktów do atakujące itd.. Niebiezpieczeństwo istnieje, ponieważ przeglądarki korzystają ze wtyczki, która pozwala im na uruchamianie plików .PDF. Użytkownicy, którzy chcą się zabezpieczyć przed ewentualnym atakiem, powinni jak najszybciej zainstalować wersję 8. Adobe Readera.
  24. Eksperci ds. bezpieczeństwa oraz cyberprzestępcy szukają prawdopodobnej dziury w systemie Windows Vista. O istnieniu luki poinformował 15 grudnia jeden z rosyjskich programistów. Pozwala ona na samodzielne zwiększenie uprawnień użytkownika we wszystkich wersjach Windows, wśród nich w Viście. Podczas świąt jedna z firm zajmujących się bezpieczeństwem stwierdziła, że poinformowała Microsoft o znalezieniu kolejnej luki i pięciu dodatkowych dziur w IE7. Pozwalają one na zarażenie komputera za pomocą witryny WWW, którą odwiedzi użytkownik. Microsoft bada doniesienia i informuje, że nie znaleziono obecnie dowodu na to, bo któraś z dziur była wykorzystywana przez cyberprzestępców.
  25. eEye security poinformowała, że korporacyjne komputery są od dwóch dni atakowane przez robaka "Big Yellow”. Szkodliwy kod wykorzystuje lukę w oprogramowaniu antywirusowym firmy Symantec. Dziura została odkryta przed siedmioma miesiącami, a Symantec opublikował odpowiednią poprawkę już w maju. Najwyraźniej nie wszystkie firmy zainstalowały poprawkę. "Big Yellow” bierze na cel tylko korporacyjne wersje programu Symanteca. Po zainfekowaniu komputera dołącza go do sieci komputerów-zombie. Specjaliści jeszcze raz przypominają o konieczności stosowania poprawek na bieżąco.
×
×
  • Create New...