Skocz do zawartości
Forum Kopalni Wiedzy
KopalniaWiedzy.pl

Poważny błąd w Windows

Rekomendowane odpowiedzi

Nowo odkryty błąd w microsoftowym Help and Support Center pozwala na zdalne zaatakowanie systemu Windows. Do ataku dochodzi, gdy użytkownik odwiedzi specjalnie spreparowaną witrynę używając Internet Explorera.

Problem leży w błędnej implementacji mechanizmu whitelist, który pozwala sprawdzić, czy przywołany przez użytkownika dokument pomocy pochodzi z zaufanego źródła. Błąd powoduje, że atakujący może pominąć sprawdzanie przez whitelist i jest w stanie podsunąć użytkownikowi dokument z dowolnego źródła. Dzięki temu jest np. w stanie uruchomić klienta FTP, który pobierze na komputer ofiary szkodliwy kod.

Przeprowadzenie ataku jest dość skomplikowane i wymaga sporej wiedzy, gdyż konieczne jest ominięcie alertów wyświelanych przez przeglądark. Można to uczynić wykorzystując mechanizm ActiveX Windows Media Playera. Odkrywca dziury uważa jednak, że cały proces można uprościć.

Na razie zademonstrowano jego skuteczność na Windows XP SP3 z IE8 oraz Windows Media Playerem. Błąd zagraża też użytkownikom Windows Server 2003. Bezpieczni są za to posiadacze Windows 7 z IE8.

Microsoft został poinformowany o istnieniu luki przed tygodniem.

Udostępnij tę odpowiedź


Odnośnik do odpowiedzi
Udostępnij na innych stronach

Wciąż jeszcze niektórzy używają IE :D

Udostępnij tę odpowiedź


Odnośnik do odpowiedzi
Udostępnij na innych stronach

Weź sie mymy opanuj??

co to miało znaczyć?

 

chrome szybko skoczył.

Udostępnij tę odpowiedź


Odnośnik do odpowiedzi
Udostępnij na innych stronach
Gość derobert

chrome to zło, wspaniałe okno na świat i w drugą stronę dla pana googla.

Udostępnij tę odpowiedź


Odnośnik do odpowiedzi
Udostępnij na innych stronach

Weź sie mymy opanuj??

co to miało znaczyć?

jakoś tak oberwało ci się na odlew - sorki, nie zauważyłem uśmieszku :D

a poważnie chodziło o to, że IE, nadal ma znaczącą pozycję na rynku, więc twierdzenie jakoby "to jeszcze ktoś to używa" jest...

Udostępnij tę odpowiedź


Odnośnik do odpowiedzi
Udostępnij na innych stronach

ironiczne :D

 

(dlatego uważam że rozmowy przez przeglądarki i komunikatory nigdy nie oddadzą faktycznej atmosfery, tonu)

Udostępnij tę odpowiedź


Odnośnik do odpowiedzi
Udostępnij na innych stronach
Gość shadowmajk

ironiczne :D

 

(dlatego uważam że rozmowy przez przeglądarki i komunikatory nigdy nie oddadzą faktycznej atmosfery, tonu)

 

Nawet w "realnym" spotkaniu mało kto bez wcześniejszego kotwicenia na siebie, ma problemy z odebraniem przekazu. Czesto sie z tym spotykam, gdy ludzie strzalaja karpia na moje ironiczne zaczepki.

 

Co do IE6 to... niektorzy do dzis jeżdzą syrenami, jak widać nie potrzebują nic wiecej jak to co mają i nie przeszkadzają im związane z tym przykre konsekwencje. W ogole IE do lamusa! obrzucajcie mnie kamieniami. :D

Udostępnij tę odpowiedź


Odnośnik do odpowiedzi
Udostępnij na innych stronach

Jeśli chcesz dodać odpowiedź, zaloguj się lub zarejestruj nowe konto

Jedynie zarejestrowani użytkownicy mogą komentować zawartość tej strony.

Zarejestruj nowe konto

Załóż nowe konto. To bardzo proste!

Zarejestruj się

Zaloguj się

Posiadasz już konto? Zaloguj się poniżej.

Zaloguj się

  • Podobna zawartość

    • przez KopalniaWiedzy.pl
      Międzynarodowy zespół uczonych udostępnił naukowcom i pasjonatom najpełniejszy jak dotąd katalog obiektów pozagalaktycznych obejmujący obszar ponad 3% pełnego kąta bryłowego nieba i zawierający 170 mln. źródeł. Za modelowanie ich widm energetycznych była odpowiedzialna dr hab. Katarzyna Małek z Zakładu Astrofizyki NCBJ.
      Dzięki współpracy naukowców z wielu światowych instytutów, w tym polskich astrofizyków z NCBJ powstał szerokozakresowy katalog obiektów pozagalaktycznych HELP, z ang. Herschel Extragalactic Legacy Project. Katalog ten pokrywa obszar ok 1300 deg2 nieba (łącznie 23 dobrze zdefiniowane i przebadane obszary nieba, jak np. Cosmological Evolution Survey, COSMOS).
      Zawiera on 170 mln źródeł, dla których zebrano, pogrupowano i ujednolicono dane fotometryczne z szerokiego zakresu widmowego fali elektromagnetycznej od części optycznej widma, a nawet ultrafioletu po daleką podczerwień. Wraz z katalogiem autorzy udostępniają wygodne narzędzia dostępu do danych oraz oprogramowanie umożliwiające sprawną analizę tego ogromnego katalogu. Katalog jest również dostępny przez narzędzia Wirtualnego Obserwatorium (z ang. Virtual Observatory, VO). Dzięki temu obiekty skatalogowane w HELP są w wygodny sposób dostępne do analizy przez użytkownika niemal od ręki.
      Pierwsze wydanie katalogu – DR1 jest już dostępne publicznie, a zebrane w jego ramach obiekty oprócz danych fotometrycznych, wraz z daleką podczerwienią z Herschel SPIRE, zawierają wyliczone wartości fotometrycznego przesunięcia ku czerwieni oraz ich parametry fizyczne, takie jak masa gwiazdowa, tempo powstawania gwiazd w galaktyce, czy całkowita jasność galaktyki w podczerwieni. Parametry zostały oszacowane na podstawie modelowania spektralnych rozkładów energii.
      Niewątpliwie HELP jest projektem, który będzie pomocny wielu naukowcom do statystycznej analizy, rozmieszczonych po całym niebie, galaktyk. Jako jedyny tak duży katalog, gromadzący kompletne publicznie dostępne dane fotometryczne jest świetnym laboratorium do badania Wszechświata we wczesnych jego etapach ewolucji. Równocześnie ten ogromny katalog zawiera bardzo unikalne obiekty, bardzo rzadko spotykane we Wszechświecie. To właśnie w trakcie analizy danych z HELP twórcy projektu odkryli super masywną czarną dziurę w galaktyce, istniejącej 1,4 miliarda lat po Wielkim Wybuchu.
      Katalog HELP został też użyty jako katalog bazowy dla obserwacji międzynarodowego projektu LOFAR, z ang. Low Frequency Aray. Autorzy planują aktualizację katalogu na nowe dane obserwacyjne, gdy zajdzie taka potrzeba. Równocześnie upubliczniają też niezbędne oprogramowanie do samodzielnego stworzenia takiego katalogu. Wszystkie użyte w projekcie programy i dane są dostępne publicznie na licencji open source. Kierownikiem projektu HELP jest profesor Seb Oliver z University of Sussex, a polskim przedstawicielem jest dr hab. Katarzyna Małek z Narodowego Centrum Badań Jądrowych w Świerku.
      W projekcie HELP jestem kierownikiem zespołu odpowiedzialnym za oszacowanie parametrów fizycznych wszystkich 170 milionów opublikowanych galaktyk – mówi pani profesor Małek. Moim głównym zadaniem było modelowanie ich widm energetycznych. Obecnie, po opublikowaniu katalogu, wraz z zespołem składającym się z doktorantów szkoły doktorskiej NCBJ i IChTJ, Mahmoudem Hamedem oraz Gabrielem Riccio, badamy właściwości znajdującym się w katalogu HELP galaktyk silnie emitujących w zakresie promieniowania podczerwonego.

      « powrót do artykułu
    • przez KopalniaWiedzy.pl
      Za znalezienie luki w produktach Apple'a można będzie otrzymać do miliona dolarów. Ivan Krstic, odpowiedzialny w Apple'u za kwestie bezpieczeństwa, poinformował podczas dorocznej konferencji Black Hat, że firma zwiększa z 200 000 do 1 000 000 limit kwoty, jaką płaci za znalezione dziury. Przedsiębiorstwo chce w ten sposób zachęcić odkrywców luk, by informowali je o ich istnieniu, zamiast by sprzedawali je na czarnym rynku.
      Co więcej, program nagród nie będzie ograniczony tylko do iPhone'a ale będzie dotyczył również innych produktów, jak iPad, Mac, Apple Watch czy Apple TV.
      Dotychczas firma płaciła do 200 000 USD za informacje o dziurach, ale krytykowano ją, że to zbyt mała kwota, więc istnieje pokusa sprzedaży informacji na czarnym rynku, co negatywnie odbiłoby się na bezpieczeństwie użytkowników firmowych produktów.
      Oczywiście nie dostaniemy miliona dolarów za każdą informację o luce. Najwyższą kwotę przewidziano tylko dla znalazców najpoważniejszych najbardziej groźnych dziur. Ponadto do 500 000 dolarów zwiększono kwotę za informacje o dziurach pozwalających na nieuprawniony dostęp do danych użytkownika.

      « powrót do artykułu
    • przez KopalniaWiedzy.pl
      Eksperci z firmy Eclypisium ostrzegają, że ponad 40 sterowników dla systemu Windows zawiera dziury, które mogą zostać wykorzystane do ataku na pecety i serwery. Błędy występują w produktach wielu gigantów IT, takich jak Intel, Toshiba, Huawei czy Asus. Narażone na atak są wszystkie wersje Windows.
      Dziury znalezione przez pracowników Eclypsium pozwalają na zwiększenie uprawnień w dostępie do sprzętu. Za ich powstanie odpowiada niedbałość w pisaniu kodu i niezwracanie uwagi na kwestie bezpieczeństwa.
      Eclypsium już poinformowało wszystkich 20 producentów sterowników. Dotychczas 15 z nich poprawiło swoje oprogramowanie. Sterowniki załatali m.in. Intel, Huawei, Toshiba, NVIDIA, Gigabyte, Biostar, AsRock, AMI, Realtek, ASUSTek czy AMD. Kilku producentów nie wypuściło jeszcze poprawek, dlatego ich nazw nie ujawniono.
      Błędy w sterownikach zdarzają się dość często. W czerwcu Microsoft poprawiał swój sterownik dla urządzeń bezprzewodowych firmy Broadcom, a w marcu specjaliści z Redmond poinformowali Huawei o znalezieniu dziury w sterowniku highendowych MateBook'ów.

      « powrót do artykułu
    • przez KopalniaWiedzy.pl
      Gavin Thomas, który w Microsofcie sprawuje funkcję Principal Security Engineering Manager, zasugerował, że ze względów bezpieczeństwa czas porzucić języki C i C++. Thomas argumentuje na blogu Microsoftu, że rezygnacja ze starszych języków na rzecz języków bardziej nowoczesnych pozwoli na wyeliminowanie całej klasy błędów bezpieczeństwa.
      Od 2004 roku każdy błąd naprawiony w oprogramowaniu Microsoftu jest przez nas przypisywany do jednej z kategorii. Matt Miller podczas konferencji Blue Hat w 2019 roku zauważył, że większość tych dziur powstaje wskutek działań programistów, którzy przypadkowo wprowadzają do kodu C i C++ błędy związane z zarządzeniem pamięcią. Problem narasta w miarę jak Microsoft tworzy coraz więcej kodu i coraz silniej zwraca się w stronę oprogramowania Open Source. A Microsoft nie jest jedyną firmą, która ma problemy z błędami związanymi  z zarządzaniem pamięcią, pisze Thomas.
      W dalszej części swojego wpisu menedżer wymienia liczne zalety C++, ale zauważa, że język ten ma już swoje lata i pod względem bezpieczeństwa czy metod odstaje od nowszych języków. Zamiast wydawać kolejne zalecenia i tworzyć narzędzia do walki z błędami, powinniśmy skupić się przede wszystkim na tym, by programiści nie wprowadzali błędów do kodu, czytamy.
      Dlatego też Thomas proponuje porzucenie C++. Jednym z najbardziej obiecujących nowych języków programistycznych zapewniających bezpieczeństwo jest Rust, opracowany oryginalnie przez Mozillę. Jeśli przemysł programistyczny chce dbać o bezpieczeństwo, powinien skupić się na rozwijaniu narzędzi dla developerów, a nie zajmować się tymi wszystkimi pobocznymi sprawami, ideologią czy przestarzałymi metodami i sposobami rozwiązywania problemów.

      « powrót do artykułu
    • przez KopalniaWiedzy.pl
      Amerykańska NSA (Narodowa Agencja Bezpieczeństwa) dołączyła do Microsoftu zachęcając użytkowników systemu Windows, by pilnie zaktualizowali swój system operacyjny. W Remote Desktop Services for Windows odkryto bowiem dziurę, która podobna jest do luki, którą w 2017 roku wykorzystało ransomware WannaCry, powodując wielomiliardowe straty na całym świecie.
      Dziura, nazwana „BlueKeep”, może też istnieć w starszych systemach operacyjnych z rodziny Windows, jak Windows 7, Windows XP, Windows Server 2003 oraz Server 2008. Stanowi ona poważne zagrożenie, gdyż szkodliwy kod może rozprzestrzeniać się i zarażać bez interakcji ze strony użytkownika.
      Microsoft poinformował o istnieniu dziury wraz z publikacją w ubiegłym miesiącu odpowiedniej poprawki. Wówczas firma nie zdradziła zbyt wielu informacji. Poinformowano jedynie, że na atak może być narażonych około 7 milionów urządzeń na całym świecie. Później dokładniej przyjrzano się zagrożeniu i liczbę narażonych urządzeń zmniejszono do 1 miliona.
      „BlueKeep”, oficjalnie skatalogowana jako CVE-2017-0708, to krytyczna luka pozwalająca napastnikowi na uruchomienie dowolnego kodu, który kradnie dane i szpieguje użytkowników. Na blogu NSA czytamy: to typ luki, jaką cyberprzestępcy często wykorzystują. Można jej użyć na przykład do przeprowadzenia ataku DoS. Ukazanie się i rozpowszechnienie szkodliwego kodu atakującą tę lukę jest prawdopodobnie kwestią czasu.
      Niektóre firmy zajmujące się cyberbezpieczeństwem już stworzyły prototypowy szkodliwy kod, by móc na tej podstawie stworzyć mechanizmy zabezpieczające. Microsoft i NSA wzywają do pilnego zainstalowania opublikowanej łaty.

      « powrót do artykułu
  • Ostatnio przeglądający   0 użytkowników

    Brak zarejestrowanych użytkowników przeglądających tę stronę.

×
×
  • Dodaj nową pozycję...