Tweets by @buherablog
profile for buherator at IT Security Stack Exchange, Q&A for IT security professionals

A BitBetyár Blog

Túljártál a nagyokosok eszén? Küldd be a mutatványodat! (e-mail a buherator gmailkomra jöhet)

Full-Disclosure / Névjegy / Coming out


Promó

H.A.C.K.

Címkék

0day (110) adobe (87) adobe reader (21) anonymous (26) apple (60) az olvasó ír (49) blackhat (20) botnet (22) bug (200) buherablog (44) buhera sörözés (39) bukta (49) deface (38) dns (22) dos (29) esemény (82) facebook (26) firefox (64) flash (33) gondolat (31) google (59) google chrome (36) hacktivity (37) hírek (117) incidens (224) internet explorer (88) iphone (35) java (50) jog (22) kína (21) kriptográfia (68) kultúra (21) linux (24) malware (43) microsoft (142) móka (48) mozilla (23) office (26) oracle (40) os x (43) patch (197) php (20) politika (31) privacy (58) programozás (22) safari (34) sql injection (62) windows (85) xss (77) Címkefelhő

Licensz

Creative Commons Licenc

Java frissítések, Reader és egyebek

2013.02.20. 09:47 | buherator | 3 komment

Java

Az Oracle tegnap kiadta a február 1-én kimaradt Java frissítéseket. A javított problémák első sorban a kliens oldali alkalmazásokat érintik, szerver oldalon a legújabb, CBC módú blokktitkosítókat használó TLS kapcsolatokat érintő "Lucky Thirteen" támadást küszöbölték ki (erről remélhetőleg majd egy későbbi posztban olvashattok, ha sikerül valamennyire utólérnem magam). A frissítést OS X júzerek is megkapják.

Idő közben kiderült, hogy Java sérülékenységeket kihasználva célzott támadók bejutottak a Facebookhoz és az Apple-hez is

Adobe Reader

Az Adobe Reader XI sandboxból is kitörni képes 0-day kártevőt fedeztek fel a vadonban. A rosszcsont két független Reader hibát használ ki a szoftverben, és tisztán ROP shellkódot futtat, vagyis az AV motorok kódemulációt használva sem nem ismerik fel. Frissítés egyelőre nincs, áthidaló megoldásként a Protected View bekapcsolása ajánlott.

Friss (19:41): Kijött a frissítés

Firefox

Ha már PDF: a legújabb Firefox 19 beépített PDF ovlasóval érkezik - remek fuzzing célpont - ezen túl pedig 4 kritikus problémát is orvosol.

Címkék: firefox apple java patch facebook incidens pdf oracle 0day adobe reader

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

dnet 2013.02.20. 11:22:30

A Firefox új PDF olvasójának forrása elérhető GitHub-on a github.com/mozilla/pdf.js címen, itt olvasható szép readme a felépítéséről, használatáról is. Úgy néz ki, pure JS megoldásról van szó, szóval a fuzzolás elvileg csak ugyanazt a felületet érinti, ami eddig is elérhető volt egy sima HTML oldalból. Arról már inkább érdekelne infó, hogy a pdf.js működésének biztosítása érdekében implementáltak-e újabb HTML5 API-kat, amiket célzottan, pdf.js kikerülésével lehetne fuzzolni.

Laca@blog 2013.02.24. 07:58:47

amennyire 1xu ez a pdf olvaso, nem csodalkoznek, ha csak kep es szoveg megjeleniteset vegezne el.

egy pdfet megnéztem a spar oldalrol, es a termekek fekete kockakban jelennek meg :D
biztos a 'vedelem' miatt ;)

buherator · http://buhera.blog.hu 2013.02.25. 14:55:12

@dnet: Kösz az infót! A README azt írja, hogy "without native code assistance", de egy ilyen interface arra talán jó lehet, hogy eddig bejáratlan kódutvonalakra futtasd a fuzzered.

@Laca@blog: Mert kép/font megjelenítőben még nem volt hiba ;) Persze új renderert ez a cucc sem implementál, így a pdf.js ebből a szempontból tényleg nem segítség.