8 уязвимостей в Bluetooth ставят под удар 5 с лишним миллиардов устройств
dl // 12.09.17 18:17
Компания Armis обнародовала информацию о восьми уязвимостях в Bluetooth-стеке.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2017/09/01.html]
Уязвимости, объединенные под общим названием BlueBorne, затрагивают большинство существующих устройств, использующих Bluetooth (по оценке Armis уязвимо 5.3 миллиарда устройств от практически всех производителей) и позволяют захватить управление устройством и получить доступ к его данным без участия владельца.

4 уязвимости затрагивают Android-устройства (два удаленных исполнения кода, утечка информации, man-in-the-middle), одна - Windows-системы начиная с Vista (man-in-the-middle), две - Linux-системы (утечка информации и удаленное исполнение кода), одна - устройства с iOS и AppleTV (удаленное исполнение кода).

Производители были извещены в апреле и с тех пор тихо выкатывали патчи. Microsoft закрыла уязвимости в Windows в июле, уточнив, что Windows Phones не были затронуты. Apple включила исправление в обновления iOS 10, Google исправила Android начиная с версии 4.4.4. Более старые устройства по-прежнему уязвимы. Кроме того, Samsung проигнорировала сообщения об уязвимостях в некоторых моделях телевизоров и в часах Gear S3.

Источник: ZDNet, BlueBorne теги: уязвимости, bluetooth  |  обсудить  |  все отзывы (0)

Человек, из-за которого нас заставляют менять пароли каждые три месяца, признал, что ошибался
dl // 10.08.17 13:43
В интервью The Wall Street Journal бывший менеджер NIST Билл Бёрр (Bill Burr) рассказал, как в 2003 году написал восьмистраничное приложение к рекомендациям по управлению паролями в госучреждениях США.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2017/08/02.html]
Именно документу «NIST Special Publication 800-63. Appendix A» мы обязаны требованиям к использованию в паролях разных регистров, спецсимволов и цифр, а также выматывающему душу требованию менять пароль по крайней мере каждые 90 дней. Чем это заканчивается, всем прекрасно известно.

Теперь Бёрр признал, что сожалеет о большей части своих рекомендаций, а обновлённый в июне стандарт NIST убрал как требование к обязательной смене пароля, так и требование к спецсимволам, добавив взамен рекомендацию по использованию длинных парольных фраз.

Источник: The Verge теги: password  |  обсудить  |  все отзывы (0)

Взломано популярное расширение для Chrome
dl // 03.08.17 00:39
Автор расширения Web Developer for Chrome Крис Педерик (Chris Pederick) призвал своих пользователей (которых насчитывается более миллиона) срочно перейти на версию 0.5, поскольку версия 0.4.9 оказалась выпущена кем-то, получившим доступ к google-аккаунту Криса.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2017/08/01.html]
Поддельное расширения как минимум показывает пользователям рекламу, а возможно и внедряет вредоносный JavaScript. Счастливым пользователям, успевшим установить 0.4.9, рекомендовано сменить все пароли и сбросить токены доступа.

Источник: The Register теги: chrome  |  обсудить  |  все отзывы (0)

IPv6 добрался до стандарта
dl // 17.07.17 21:03
Спустя 18 с лишним лет существования RFC 2460, пребывавшего в статусе чернового стандарта (draft standard) IPv6, ему на замену вышел полноценный интернет-стандарт (internet standard) RFC 8200.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2017/07/03.html]
С практической точки зрения не изменилось ничего, поскольку RFC 8200 фактически представляет собой все тот же RFC 2460, объединенный вместе с несколькими вспомогательными RFC.

Источник: Internet Society обсудить  |  все отзывы (0)

Двадцатилетняя уязвимость в Kerberos
dl // 14.07.17 03:39
Июльские патчи Microsoft, FreeBSD и нескольких дистрибутивов Linux включают исправление уязвимости, существовавшей в реализациях протокола Kerberos более двадцати лет.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2017/07/02.html]
Уязвимость, получившая название Orpheus' Lyre (лира Орфея, позволяющая обойти Kerberos подобно тому, как Орфей проскользнул мимо Цербера, усыпив того своей музыкой) была обнаружена в опенсорсной реализации Kerberos под еще одним мифологическим именем Heimdal и связана с тем, как происходит обработка аутентификационных сообщений, содержащих зашифрованные и открытые данные. Она может быть использована для эскалации привилегий при наличии доступа к сети.

Источник: The Register, Orpheus' Lyre теги: microsoft, retro  |  обсудить  |  все отзывы (0)

««    «   31  |  32  |  33  |  34  |  35  |  36  |  37  |  38  |  39  |  40   »    »»