Tweets by @buherablog
profile for buherator at IT Security Stack Exchange, Q&A for IT security professionals

A BitBetyár Blog

Túljártál a nagyokosok eszén? Küldd be a mutatványodat! (e-mail a buherator gmailkomra jöhet)

Full-Disclosure / Névjegy / Coming out


Promó

H.A.C.K.

Címkék

0day (110) adobe (87) adobe reader (21) anonymous (26) apple (60) az olvasó ír (49) blackhat (20) botnet (22) bug (200) buherablog (44) buhera sörözés (39) bukta (49) deface (38) dns (22) dos (29) esemény (82) facebook (26) firefox (64) flash (33) gondolat (31) google (59) google chrome (36) hacktivity (37) hírek (117) incidens (224) internet explorer (88) iphone (35) java (50) jog (22) kína (21) kriptográfia (68) kultúra (21) linux (24) malware (43) microsoft (142) móka (48) mozilla (23) office (26) oracle (40) os x (43) patch (197) php (20) politika (31) privacy (58) programozás (22) safari (34) sql injection (62) windows (85) xss (77) Címkefelhő

Licensz

Creative Commons Licenc

Hírek - 2012/6. hét

2012.02.12. 15:00 | buherator | 4 komment

Irán blokkolja az titkosított forgalmakat

Iráni netezők az elmúlt héten a forgalomblokkolás jelentős növekedéséről számoltak be. A hírek szerint az állami kontroll alatt álló szolgáltatók félbeszkítják a népszerű külföldi kommunikációs szolgáltatásokhoz - pl. Facebook, Twitter, GMail, Hotmail -  indított SSL/TLS kézfogásokat, meggátolva ezzel a titkosított és hitelesített kommunikációt. A hivatalos álláspont szerint persze minden a legnagyobb rendben van, hiszen a szolgáltatások nyílt csatornán továrra is elérhetőek - más kérdés, hogy így a titkosszolgálat gond nélkül belehallgathat a kommunikációba. A blokkolt tartalmak között van a Tor Project weboldala is. A projekt azt kéri az Internet közösségétől, hogy állítsanak üzembe minél több obfuszkációs proxy-t melyek segítségével az irániak továbbra is hozzáférhetnek a Tor hálózathoz.

Sandboxolt Flash Player a Firefoxhoz

Hogy ne csak rosszat mondjunk szegény Adobe-ról :) Béta állapotba került a Firefox-hoz szánt Flash Player alacsony integritási szinten futó, "védett módú" változata. Ez a verzió az Adobe Reader X-ével megegyező védelmet nyújt a lejátszó számára. Az Adobe Reader X-hez megjelenése óta nem találtak a sandboxból kitörni képes kártevőt, reméljük hasonló változás áll majd be a Flash esetében is - bár sajnos jó esély van arra, hogy a védett módú szoftverváltozatok piaci részesedésének növekedésével a malware fejlesztők is összekapják majd magukat.

MySQL 0-day

Erős fejvekerásra ad okot az Intevydis bejelentése, amely arról szól hogy a White Phosphorus exploit csomagot egy, a MySQL 5.5.20-as változatának debianos kiadását érintő 0-day exploittal bővítették. Bár ennél több információ gyakorlatilag nem áll rendelkezésre, tudni kell, hogy az Intevydis-nél nem pehelysúlyban játszanak.

Egy éves múlt a Google hibavadász programja

Minden tekintetben nagy siker a tavaly novemberben első évét betöltött Google Bug Bounty program - olvasható a cég online biztonsággal foglalkozó blogján. A cég több mint 410.000 dollárt fizetett ki 730 hibajegyért, és további 19.000-et a bejelentő kérésének megfelelően jótékony célra fordított. A cég a program Chromium OS-re történő kiterjesztését is tervezi, és más vállalatokat is hasonló projektek beindítására bíztat. 

Novell

Ennek a Full-Disclosure-re érkezett levélnek a tanúsága szerint a Novellnél sem mindig tudják, hogyan kell védekezni a hely file include hibák ellen. 

ENSZ

Csekélyértelmű szkriptsuttyók megint bementek az ENSZ-hez. Úgy látszik, azokat a 2008-as SQL injection hibákat még mindig nem sikerült kijavítani...

Változó szelek SSL fronton

A Google az OCSP támogatás megszüntetését tervezi a Chrome böngészőben. Mivel a felhasználói élmény kielégítése érdekében a böngészők akkor is betöltik a hitelesítésre váró oldalakat, ha a visszavonási információk nem elérhetők, így a rendszer "csak akkor nem működik, amikor szükség lenne rá". A jelenlegi elképzelés szerint a visszavonási listák a Chrome frissítési mechanizmusát használva jutnak majd el a böngészőkbe.

Eközben Moxie Marlinspike a CSO Interchange konferencián az általa fejlesztett Covnergence támogatására igyekezett rávenni a böngészőgyártókat. Ebben a rendszerben a tanusítványra vonatkozó információk több "irányból", más-más hosztokról is ellenőrzésre kerülnek, így egyetlen kommunikációs csatorna kompromittálása nem elegendő a kliens átveréséhez.

Véget ért a Debian GNU/Linux 5.0 "Lenny" biztonsági támogatása

trey@HUP:

Francesca Ciceri pár nappal ezelőtt jelezte a debian-annouce@ levlistán, hogy egy évvel az Debian 6.0 "Squeeze" bejelentése után, 2012. február 6-án a Debian GNU/Linux 5.0 "Lenny" biztonsági támogatása véget ért. A bejelentés elolvasható itt.

Jövő héten frissít a Microsoft

Töltsetek kávét a WSUS szerverbe, jövő héten jön a frissítőkedd, 21 hibajavítással, melyek közül négy kapott kritikus besorolást. Kis frissítés: A Symantec eddig ismeretlen, célzott támadásokhoz használt Office exploitot észlelt. A megcélzott sérülékenységet a Microsoft az MS11-073-al már javította - meglepő módon egy sima DLL hijacking problémáról van szó.

Végül a várva várt Hacktion, bug bounty programokkal, és giroszkópos PIN-kód töréssel :)

Címkék: microsoft google hírek ssl privacy cenzúra adobe irán debian chrome sandbox novell flash player chromium os convergence

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

kz71 2012.02.13. 15:48:42

a következő Buhera sörözésen valaki elmeséli majd, hogy mi a phallikus görbe történt a heksün első évadjának utolsó adása alapján, mernemértem az egészet visszamenőleg :-(

_2501 2012.02.14. 09:34:16

@kz71: de ne nézzed mert elhülyülsz... nézzél inkább ugly americans-t, még az is kevésbé rombol.

kz71 2012.02.14. 09:40:41

hm...Buherátor azért linkeli be, hogy hülyítsen? 8-)
nem hiszek én az összeesküvéselméletekben (ld. atlatszo.hu/2012/02/14/titkos-forgatokonyv-szerint-dolt-be-a-malev/?utm_source=rss&utm_medium=rss&utm_campaign=titkos-forgatokonyv-szerint-dolt-be-a-malev), sz'al sztem jó példa ez a film arra, hogy nem könnyű jó hack filmet készíteni :-(

_2501 2012.02.14. 12:23:08

@kz71: sztem azért linkeli be hogy legyen min jót derülni :D