https://bugtraq.ru/review/archive/2017/12-10-17.html

Outlook полгода отправлял зашифрованные письма открытым текстом; Google считает, что Microsoft подставляет пользователей Windows 7 и 8; 8 уязвимостей в Bluetooth ставят под удар 5 с лишним миллиардов устройств; Человек, из-за которого нас заставляют менять пароли каждые три месяца, признал, что ошибался; Взломано популярное расширение для Chrome.

#387, 12.10.2017

Outlook полгода отправлял зашифрованные письма открытым текстом
dl // 11.10.17 23:59
В последнем обновлении Microsoft исправила неприятную уязвимость в Outlook, существовавшую по крайней мере полгода и делавшую бессмысленным использование S/MIME. Несмотря на то, что отправляемые письма честно помечались как зашифрованные, создавая у отправителя иллюзию защищенности, их текст попадал в письмо еще и в блоке с открытым текстом, доступным для просмотра всем транзитным узлам.
Источник: ZDNet

Google считает, что Microsoft подставляет пользователей Windows 7 и 8
dl // 08.10.17 19:19
Исследователи из Google Project Zero, проанализировав такие крупные обновления Windows 10, как Anniversary Update и Creator's Update, пришли к мнению, что Microsoft предпочитает по-тихому исправлять в них уязвимости, присутствующие и в более ранних версиях Windows. Причем до Windows 7 и 8 эти исправления добираются гораздо позже, что открывает широкие возможности для злобных хакеров, которым список подобных уязвимостей фактически преподносится на блюдечке.

В качестве примера приводится функция NtGdiGetGlyphOutline, простое сравнение кода которой выявило наличие уязвимости, исправленной в Windows 10 и остававшейся незакрытой в Windows 7 и 8.1 вплоть до сентября 2017.
Источник: The Register

8 уязвимостей в Bluetooth ставят под удар 5 с лишним миллиардов устройств
dl // 12.09.17 18:17
Компания Armis обнародовала информацию о восьми уязвимостях в Bluetooth-стеке. Уязвимости, объединенные под общим названием BlueBorne, затрагивают большинство существующих устройств, использующих Bluetooth (по оценке Armis уязвимо 5.3 миллиарда устройств от практически всех производителей) и позволяют захватить управление устройством и получить доступ к его данным без участия владельца.

4 уязвимости затрагивают Android-устройства (два удаленных исполнения кода, утечка информации, man-in-the-middle), одна - Windows-системы начиная с Vista (man-in-the-middle), две - Linux-системы (утечка информации и удаленное исполнение кода), одна - устройства с iOS и AppleTV (удаленное исполнение кода).

Производители были извещены в апреле и с тех пор тихо выкатывали патчи. Microsoft закрыла уязвимости в Windows в июле, уточнив, что Windows Phones не были затронуты. Apple включила исправление в обновления iOS 10, Google исправила Android начиная с версии 4.4.4. Более старые устройства по-прежнему уязвимы. Кроме того, Samsung проигнорировала сообщения об уязвимостях в некоторых моделях телевизоров и в часах Gear S3.
Источник: ZDNet, BlueBorne

Человек, из-за которого нас заставляют менять пароли каждые три месяца, признал, что ошибался
dl // 10.08.17 13:43
В интервью The Wall Street Journal бывший менеджер NIST Билл Бёрр (Bill Burr) рассказал, как в 2003 году написал восьмистраничное приложение к рекомендациям по управлению паролями в госучреждениях США. Именно документу «NIST Special Publication 800-63. Appendix A» мы обязаны требованиям к использованию в паролях разных регистров, спецсимволов и цифр, а также выматывающему душу требованию менять пароль по крайней мере каждые 90 дней. Чем это заканчивается, всем прекрасно известно.

Теперь Бёрд признал, что сожалеет о большей части своих рекомендаций, а обновлённый в июне стандарт NIST убрал как требование к обязательной смене пароля, так и требование к спецсимволам, добавив взамен рекомендацию по использованию длинных парольных фраз.
Источник: The Verge

Взломано популярное расширение для Chrome
dl // 03.08.17 00:39
Автор расширения Web Developer for Chrome Крис Педерик (Chris Pederick) призвал своих пользователей (которых насчитывается более миллиона) срочно перейти на версию 0.5, поскольку версия 0.4.9 оказалась выпущена кем-то, получившим доступ к google-аккаунту Криса. Поддельное расширения как минимум показывает пользователям рекламу, а возможно и внедряет вредоносный JavaScript. Счастливым пользователям, успевшим установить 0.4.9, рекомендовано сменить все пароли и сбросить токены доступа.
Источник: The Register