https://bugtraq.ru/review/archive/2008/31-03-08.html

C 18 апреля, возможно, Vista SP1 будет устанавливаться принудительно; Более четверти падений Висты связаны с кривыми драйверами NVIDIA; В конкурсе по взлому Vista, MacOS и Ubuntu первым спекся MacBook Air, а Vista споткнулась на Adobe Flash; Кто быстрее исправляет уязвимости, Microsoft или Apple? Тысячи сайтов продолжают раздавать опасные флеш-ролики.

#256, 31.03.2008

C 18 апреля, возможно, Vista SP1 будет устанавливаться принудительно
dl // 28.03.08 21:19
По предварительной информации, начиная с 18 апреля Vista SP1 появится в Windows Update уже в качестве критического обновления и будет автоматически устанавливаться на все обновляемые системы. 9 апреля ожидается выход SP1 на 36 языках, включая русский.
Источник: Tip and Trick

Более четверти падений Висты связаны с кривыми драйверами NVIDIA
dl // 28.03.08 19:40
Среди материалов, обнародованных в рамках подготовки процесса о "Vista-capable" системах (которые оказались не слишком уж capable), проскочила любопытная информация о причинах более полутора миллионов падений системы, документированных Microsoft. Первое место с приличным отрывом занимают драйверы от NVIDIA - почти 29%. Следом идут падения, вызванные драйверами и системным софтом самой Microsoft - 18%, далее - 17% "неизвестных". Далее идут ATI и Intel с 9.3% и 8.8% соответственно.
Источник: ars technica

В конкурсе по взлому Vista, MacOS и Ubuntu первым спекся MacBook Air, а Vista споткнулась на Adobe Flash
dl // 28.03.08 01:56
26 марта стартовал конкурс CanSecWest PWN to OWN. Участникам предлагалось на выбор атаковать и прочитать содержимое заданного файла на трех ноутбуках - VAIO VGN-TZ37CN с Ubuntu 7.10; Fujitsu U810 с Vista Ultimate SP1; MacBook Air с OSX 10.5.2.

Все системы были полностью пропатчены и запущены в стандартной конфигурации, участники взаимодействовали с ними через прямое подключение по кроссоверу, независимо от других. Согласно условиям конкурса, победитель уносит с собой поверженный ноутбук и приз в 20 тысяч долларов при удаче в первый день соревнования, 10 тысяч при успешной атаке во второй, и 5 - в третий.

В первый день системы были открыты только для "честных" удаленных атак, исключающих действия пользователя атакуемой машины. Этот день не принес успеха никому.

Во второй день были разрешены также атаки на любые идущие в стандартной поставке прикладные программы и действия с ними, включая чтение почты, открытие полученных ссылок и т.п. Этот день принес победу над MacBook Air - Чарли Миллер (Charlie Miller), известный одним из первых взломов iPhone, использовал уязвимость в Safari для захвата управления системой.

Vista и Ubuntu пока выстояли, перейдя в третий тур. Тут в игру вступят некоторые популярные сторонние приложения.

Update: в последний день конкурса был сломан ноутбук с Vista Ultimate - после того как на него была установлена последняя версия Adobe Flash, в которой обнаружилась свежая и еще не обнародованная уязвимость.
Источник: eWeek

Кто быстрее исправляет уязвимости, Microsoft или Apple?
dl // 28.03.08 01:27
Согласно докладу, опубликованному в четверг на конференции Black Hat, несмотря на рекламные заверения Apple в большей безопасности ее софта, на самом деле реакция Microsoft оказалась лучшей.

Исследователи шведского государственного технологического института решили оценить, как часто за последние шесть лет производители софта были в состоянии выпустить исправление уязвимости в день ее обнародования, назвав это zero-day patch rate (кроме того, рассматривались патчи, выпущенные в течение 30, 90 и180 дней). Всего было проанализировано 658 и 738 уязвимостей в продуктах Microsoft и Apple соответственно, причем в рассмотрение принимались только ошибки со средним и высоким риском, согласно классификации National Vulnerability Database.

Приведенные в исследовании графики выглядят существенно приятнее для пользователей Microsoft. Любопытно, что для обеих компаний показатели регулярно ухудшались за полгода до выпуска крупных обновлений своих продуктов.

Если же переходить на простые оценки, количество непропатченных уязвимостей для продуктов Microsoft за рассматриваемый период колебалось в пределах от 0 до 22, для Apple - от 0 до 55, с ухудшением в последние годы.
Источник: InfoWorld

Тысячи сайтов продолжают раздавать опасные флеш-ролики
dl // 28.03.08 00:59
Два месяца назад Adobe исправила ошибку в средствах разработки Flash, которая приводила к созданию файлов, допускающих XSS-атаки на сайты. По оценке Google (инженер которой первым обнаружил эту ошибку), по крайней мере 10 тысяч сайтов продолжают раздавать проблемные ролики. Сама Google вышла из положения, просто перенеся все такие файлы за пределы домена google.com, на отдельные серверы с числовыми адресами - поскольку переделать их всех было неподъемной задачей. Но далеко не все сайты могут себе такое позволить.
Источник: InfoWorld