https://bugtraq.ru/review/archive/2005/03-08-05.html

MS планирует проведение регулярных хакерских конференций; Доклад об уязвимости в Cisco IOS уплыл в Internet; RIP OS/2; Июльская порция исправлений от MS; Непропатченная дырка в IE.

#208, 03.08.2005

MS планирует проведение регулярных хакерских конференций
dl // 02.08.05 13:18
Представитель Microsoft заявил, что компания планирует повторить осенью встречу, аналогичную мартовской. Тогда под вывеской Blue Hat руководители и разработчики Microsoft встретились с людьми, демонстрировавшими им использование уязвимостей в продуктах компании. Обе стороны остались вполне довольны результатами - программистам всегда полезно посмотреть, как ломают то, что они делают, а людям, ищущим дыры, было интересно встретиться с теми, кто ответственен за их появление и исправление.

Теперь предполагается, что подобные встречи будут проходить регулярно, два раза в год.
Источник: InfoWorld

Доклад об уязвимости в Cisco IOS уплыл в Internet
dl // 30.07.05 12:43
На следующий день после того как организаторы Black Hat USA conference и бывший сотрудник ISS Майкл Линн (Michael Lynn) согласились не публиковать детальное описание уязвимостей в Cisco IOS, доклад "The Holy Grail: Cisco IOS Shellcode and Remote Execution", посвященный проблемам с реализацией IPv6, все-таки появился в Internet.

ISS в последний момент отменила презентацию доклада, после чего он был буквально вырван из материалов конференции, а диски с ним уничтожены, но сам Майкл Линн предпочел уволиться из ISS и все равно выступить. Опубликованные слайды предположительно являются копией первоначальных материалов, они содержат логотип ISS, в них отсутствует ссылка на резюме Линна.

В пятницу информационное сообщение об уязвимости в IPv6 было опубликовано и на сайте Cisco. Представитель Cisco заявил, что компания не планирует препятствовать распространению доклада, поскольку с учетом возможностей Internet это "все равно, что разодрать подушку посреди улицы и пытаться собрать все перья". Также было заявлено, что работа над исправлением ведется начиная с апреля, и в настоящее время большинство пользователей последних версий системы уже не подвержен данной уязвимости. В качестве одного из решений предлагается отключить поддержку IPv6 в сетях, которым он не нужен (процентов 99, как я понимаю).

Тем не менее, Ричард Форно (Richard Forno), владелец сайта Infowarrior.org, на котором были опубликованы слайды, уже получил факc от адвокатов ISS, требующий удаления материалов с сайта, после чего заменил доклад этим самым факсом.
Источник: InfoWorld, Cisco advisory, ZDNet

RIP OS/2
dl // 15.07.05 11:42
IBM забила последние гвозди в крышку гроба OS/2 - официально объявлено о прекращении поставок с 23 декабря этого года и о прекращении поддержки с 1 января 2007. Пользователям, оставшимся верными тихо умиравшей последние лет десять "Windows лучшей, чем Windows", предложено мигрировать на Linux.
Источник: The Inquirer (via ktirf)

Июльская порция исправлений от MS
dl // 12.07.05 22:03
Порция небольшая, всего три исправления, но все критические, связанные с удаленным исполнением кода: из-за уязвимостей в MS Word, Microsoft Color Management Module и JView Profiler (о дырке в последнем сообщалось полторы недели назад).
Источник: MS Security Bulletins

Непропатченная дырка в IE
dl // 01.07.05 21:32
Инициализация COM-объекта javaprxy.dll может привести к внезапному закрытию IE, а также к исполнению произвольного кода. В качестве защиты пока предлагается поднять уровень безопасности в зонах Internet и Local intranet до высокого, либо хотя бы включить предупреждение о запуске любых элементов ActiveX.
Источник: Microsoft Security Advisory