Новый класс атак на встраиваемые устройства
dl // 06.04.07 01:27
Исследователь из Juniper Networks Барнаби Джек (Barnaby Jack) рассказал о планах демонстрации атаки на встроенные устройства, использующие микропроцессоры ARM и XScale.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2007/04/02.html]
По его словам, архитектура этих процессоров допускает гарантированно работающую возможность удаленного запуска произвольного кода.

Проблема заключается в интерфейсе JTAG (Joint Test Action Group), который обычно используется для отладки. Он оказался незаблокированным в 90% рассмотренных систем - во-первых, для сохранения возможности диагностики, во-вторых, поскольку его блокировка зачастую оказывается слишком дорогой.

Потенциальные последствия - утечка информации из мобильных телефонов, атаки на маршрутизаторы и прочие мелкие радости.

Источник: InfoWorld теги: уязвимости  |  обсудить  |  все отзывы (0)

MS выпустила исправление ряда серьезных уязвимостей в GDI
dl // 03.04.07 22:38
Microsoft решила в очередной раз нарушить график выпуска ежемесячных обновлений и выпустила бюллетень, исправляющий ряд уязвимостей в GDI, приводящих к исполнению удаленного кода (основной виновник, конечно, недавно обнародованная уязвимость в модуле обработки анимированных курсоров, которую уже вовсю стали использовать).
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2007/04/01.html]
Подвержены все поддерживаемые операционные системы - от Windows 2000 SP4 до Висты. Обновление крайне рекомендуется.

Правда, пользователи XP могут получить в результате проблему с вылетающей при старте Realtek HD Audio Control Panel. Патч этой ошибки уже выпущен, но для свободного скачивания пока недоступен, требуется обращение в поддержку MS.

Источник: MS Security Bulletin MS07-017 теги: microsoft, уязвимости, windows, xp  |  обсудить  |  все отзывы (0)

РИТ-2007
dl // 26.03.07 02:17
16-17 апреля состоится конференция веб-разработчиков "Российские интернет-технологии - 2007".
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2007/03/05.html]
Основными задачами конференции заявлено формирование отрасли веб-разработок в России, ее стандартов, профсоюзов, обсуждение приоритетных направлений развития. Основные запланированные темы обсуждения технологического блока - разработка больших интернет-сайтов, серверное и клиентское программирование, веб-безопасность, базы данных.

Источник: приглашение участникам конференции теги: конференции  |  обсудить  |  все отзывы (0)

Windows Server 2003 Service Pack 2
dl // 14.03.07 20:12
Пропустив в марте очередной "день патчей", Microsoft, между тем, без особого шума выпустила второй сервис пак для 2003-го сервера.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2007/03/04.html]
Обновление включает в себя все последние исправления, плюс некоторые усовершенствования - улучшенную консоль управления, новый парсер XML, удучшенную поддержку IPSec, Wi-Fi Protected Access 2 (WPA2) и т.п.

Источник: Microsoft теги: microsoft, windows, server, service pack  |  обсудить  |  все отзывы (4)

Похоже, систему активации Висты все-таки обошли
dl // 08.03.07 03:03
Как обычно, подвело стремление угодить крупным вендорам.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2007/03/03.html]
Как выяснилось, крупные поставщики железа (такие как Asus, HP, Dell и т.п., так называемые Royalty OEMs) получили возможность распространять свои компьютеры с предустановленной Вистой, не требующей активации. Механизм SLP 2.0 (System Locked Pre-installation 2.0) предполагает наличие в BIOS таблицы ACPI_SLIC, содержащей индивидуальный маркер, опознаваемый системой лицензирования Висты. Дальше нужен соответствующий OEM-сертификат и ключ продукта (опять-таки привязанный лишь к производителю).

Разумеется, сразу после этого (примерно в середине февраля) появились и рецепты приведения биосов в вид, подходящий для такой регистрации, и все нужные сертификаты и ключи. Однако ручная правка своего биоса - довольно радикальный шаг, на который способны отважиться далеко не все. Впрочем, более человечное решение не заставило себя долго ждать - с конца прошлой недели по сети стал расходиться Paradox OEM BIOS Emulation Toolkit, основная идея которого - установка драйвера-эмулятора, обманывающего систему лицензирования путем подпихивания ей "правильной" ACPI-информации. Также доступно и второе решение, использующее ту же идею, но немного другую реализацию - встраивание в процедуру загрузки системы, правку нужной информации в памяти "на лету" и возобновление загрузки системы.

Прелесть этого подхода в том, что он, видимо, спокойно пройдет Windows Genuine Advantage Validation Check - вряд ли MS будет блокировать сертификаты и ключи, розданные крупнякам. Возможно, через некоторое время MS начнет опрашивать ACPI-информацию не только в процессе регистрации, что потребует постоянного присутствия эмуляторов, потом MS научится опознавать их присутствие, в ответ те возьмут на вооружение технологии руткитов, там появится еще что-нибудь, старая добрая борьба снаряда и брони.

Впрочем, многих вполне устроит и простая установка системы без обновлений. Скорее всего, в ближайшее время появятся образы подправленных дистрибутивов, в которых процедура установки эмулятора вообще не потребует никаких усилий со стороны пользователя. Фактически вся новая система активации пошла коту под хвост только из-за того, что захотелось опять сделать кого-то чуть более равным, чем остальные.

Источник: My Digital Life теги: vista, windows  |  обсудить  |  все отзывы (7)

««    «   241  |  242  |  243  |  244  |  245  |  246  |  247  |  248  |  249  |  250   »    »»

Предложить свою новость