https://bugtraq.ru/review/archive/2014/13-10-14.html

Dropbox признал ошибку, приводящую к потере файлов; HighLoad++ 2014; Shellshock успешно использовали в атаке на Yahoo; Баг в Багзилле раскрывает массу уязвимостей; BadUSB ушел в массы.

#358, 13.10.2014

Dropbox признал ошибку, приводящую к потере файлов
dl // 13.10.14 16:28
Dropbox подтвердил существование ошибки в некоторых старых версиях десктопных клиентов, приводящую к удалению пользовательских файлов в случае выборочной синхронизации. Затронутые версии клиентов заблокированы, пострадавшим пользователям разосланы извещения.
Источник: Engadget

HighLoad++ 2014
dl // 10.10.14 00:26
Профессиональная конференция разработчиков высоконагруженных систем HighLoad++ пройдёт 31 октября и 1 ноября в Москве, в Центре Международной торговли.

Тематика конференции та же, что и прежде — всё, что так или иначе входит в сферу интересов элиты программистов — разработчиков высоконагруженных, масштабных и сложных проектов:

• базы данных и системы хранения, кластерные файловые системы, нереляционные базы данных;
• масштабируемые и отказоустойчивые архитектуры, горизонтальное и вертикальное масштабирование;
• организация разработки, технический менеджмент;
• практические направления: видео, поиск, Сочи 2014;
• системное администрирование, хостинг, балансирование нагрузки, поддержка, мониторинг, деплоймент;
• функциональное и нагрузочное тестирование.

В этом году организаторы HighLoad++ планируют собрать максимальное число участников (до 2000 человек), внедряя новшества в формат конференции.

• Ожидается от 4 до 6 параллельных потоков, то есть до 120 докладов, представленных квалифицированными докладчиками России и мира. Кроме лекционных потоков планируются потоки с мастер-классами с углублённым изучением тем. Мастер-классы от гуру будут входить в стоимость мероприятия.
• На конференцию прибудут 20 высококвалифицированных западных докладчиков. Для слушателей, не говорящих по-английски, будет предоставляться качественный синхронный перевод с английского языка.
• Организаторы утверждают, что в этом году партнёрская часть конференции будет не менее полезной, чем содержательная. Демонстрации продуктов, возможность опробовать новое аппаратное обеспечение или отдохнуть в полноценной lounge-зоне - это теперь будут обеспечивать спонсоры HighLoad++.
• Традиционной раздатки от спонсоров и партнёров в этом году не будет: организаторы планируют издать все партнёрские предложения и вакансии в виде ОДНОЙ структурированной книги “Услуги и скидки".
• Посетителям HighLoad++ будет доступна экспертная зона, где будут проходить консультации ведущих специалистов по системам хранения, технологиям и высоконагруженным системам. Эти консультации также будут входить в стоимость конференции.

Что касается программы, уже известны четыре крупных релиза, крайне интересных с технической точки зрения, которые разработчики планируют представить именно на конференции.
Источник: HighLoad++ 2014

Shellshock успешно использовали в атаке на Yahoo
dl // 06.10.14 23:38
Недавно обнародованная уязвимость в bash была использована для взлома по крайней мере двух серверов Yahoo Games. Представитель компании признал факт взлома нескольких серверов, использовавших старую версию bash. Пользовательские данные предположительно не пострадали.

Обнаруживший уязвимые серверы Джонатан Холл (Jonathan Hall) также заметил, что пока все в основном бросились искать уязвимые web-скрипты, он успешно взломал несколько OpenSSH и ftp-серверов, а заодно и сервер, обслуживающий биткойновый пул.
Источник: SecurityWeek

Баг в Багзилле раскрывает массу уязвимостей
dl // 06.10.14 19:56
Уявимость в популярном багтрекере Bugzilla (используется многими производителями, заводящими там отдельные проекты) сделала возможным просмотр детальных отчетов о найденных уязвимостях. Как выяснилось, при регистрации нового пользователя вполне можно указать любой почтовый адрес, и если он счастливо совпадает с адресом администратора проекта, у вас окажется полный доступ к закрытой для посторонних информации. Например, admin@mozilla.org дает полный доступ к отчетам по уязвимостям в Firefox и других продуктах Mozilla.

Поиск zero-day уязвимостей еще никогда не был столь простым. Исправление ожидается уже сегодня.
Источник: Krebs on Security

BadUSB ушел в массы
dl // 03.10.14 16:46
Атака, основанная на использовании контроллеров usb-устройств, теперь может быть использована кем угодно. По следам августовской демонстрации аналогичный анализ прошивок usb-контроллеров Phison провели Адам Кодилл (Adam Caudill) и Брэндон Уилсон (Brandon Wilson), но на этот раз они еще и выложили свой код на GitHub.

Целью обнародования традиционно названо желание привлечь внимание производителей. Проблема в том, что пока не вполне ясно, как вообще с этим бороться. Практически это означает возврат во времена незапрещенного автозапуска с флешек (и даже хуже, поскольку отлавливать это еще никто не научился, а для кучи уже выпущенных устройств вряд ли и научится).

Чуть успокаивает лишь то, что пока речь идет строго об одном контроллере для USB 3.0 одного производителя (хоть и весьма популярного).
Источник: Wired