Мартовские обновления от MS
dl // 11.03.14 23:15
5 бюллетеней, закрывающих 23 уязвимости.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2014/03/01.html]
Большая часть приходится на кумулятивное обновление IE, еще одно критичное обновление закрывает удаленное исполнение кода в Microsoft DirectShow, оставшиеся три важных закрывают эскалацию привилегий в драйверах уровня ядра и обход защиты в Security Account Manager Remote и Silverlight.

Источник: Microsoft Security Bulletin Summary теги: microsoft, patch  |  обсудить  |  все отзывы (0)

Депутаты узнали о существовании прокси-серверов
dl // 24.02.14 14:30
Депутаты Госдумы озаботились тем, что "Яндекс.Браузер" с включенным режимом "Турбо" позволяет просматривать сайты, внесенные в черный список Роскомнадзора.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2014/02/03.html]
Провайдеры в этом случае не могут их блокировать, поскольку пользовательский трафик шифруется, и информация доходит до пользователей в том виде, в каком она попадает на прокси-серверы Яндекса. Абсолютно тот же способ обхода запретов давно доступен пользователям Оперы.

Это приводит к еще одной забавной детали: или прокси-серверы Яндекса расположены за пределами России, или претензии нужно предъявлять операторам связи, обеспечивающим их подключение.

С нетерпением ждем, когда депутаты узнают о существовании Tor и VPN.

Источник: Известия теги: клоуны  |  обсудить  |  все отзывы (4)

Лишний goto поломал SSL/TLS в iOS
dl // 22.02.14 17:13
Анализ внезапно выпущенного на днях обновления iOS до версии 7.0.6 выявил замечательную ошибку, позволяющую сайту отдавать iOS-устройствам одноразовые ключи, подписи которых вообще не имели отношения к его сертификату.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2014/02/02.html]
Т.е. приводящей к фактически полной неработоспособности всего механизма SSL/TLS. В переводе на русский язык: любой владелец точки доступа, на которую налетели любители халявного WiFi, может элементарно реализовать атаку класса man-in-the-middle, на ходу меняя ключи и читая весь как бы защищенный трафик к любимому вконтакту/твиттеру/фейсбуку (или, что хуже, к платежной системе).

Причина ошибки - лишний goto (привет копипасту), который всегда приводил к переходу в конец функции, минуя проверку sslRawVerify.

Эта же уязвимость присутствует и в MacOS, Apple обещает выпустить исправление в ближайшее время.

А вообще, увидев в 21 веке такое количество goto в коде, хочется передать отдельный привет отпраздновавшему на той неделе 80 лет Вирту. Спагетти-код неистребим.

Update: Хочется уточнить - сам по себе goto на блок очистки перед выходом из функции, конечно, вполне допустим и ничуть не хуже, чем привычный break или continue (хотя в таких ситуациях особенно начинаешь ценить автоматическую отработку деструкторов из C++). Но при таком количестве типовых проверок с goto их нужно обвязывать элементарными макросами, которые и делают код чище, и исключают подобные ошибки. Собственно, те же привычные break и continue в C являются точно такими же обвязками вокруг goto на конец блока, только замаскированными на уровне языка. Строго говоря, их введение тоже было избыточным, но без них подобных косяков было бы гораздо больше.

Источник: Adam Langley's Weblog теги: ios, клоуны  |  обсудить  |  все отзывы (0)

Февральские обновления от MS
dl // 11.02.14 22:39
7 штук, закрывающих 32 уязвимости.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2014/02/01.html]
4 критичных: кумулятивное обновление IE, устранение удаленного исполнения кода в VBScript, Direct2D, Microsoft Forefront Protection for Exchange. 3 важных: эскалация привилегий в .NET Framework, утечка информации в Microsoft XML Core Services, DoS на реализацию IPv6.

Источник: Microsoft Security Bulletin Summary теги: microsoft, patch  |  обсудить  |  все отзывы (0)

Исследование безопасности CMS
dl // 24.01.14 15:21
Сервис SiteSecure и проект Ruward опубликовали результаты исследования безопасности сайтов, созданных с помощью различных CMS.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2014/01/05.html]
Для исследования были отобраны 30 тысяч сайтов в домене RU, список которых был предоставлен компанией iTrack.

Коммерческие CMS оказались в 4 раза меньше бесплатных подвержены всяким заражениям, при этом особого лидера среди них не наблюдается. Среди бесплатных разброс гораздо больше, что вполне объяснимо. Вполне понятна и корреляция между использованием обновленных версий CMS и отсутствием проблем.

Конечно, к результатам стоит относиться умеренно критично (30 тысяч - это лишь 3% сайтов, при случайном отборе которых запросто можно было попасть на непуганые заповедники "тыща визиток на одном хосте"), но выглядят они вполне логично (я бы даже сказал, очевидно). Держите старую бесплатную CMS, наплевав на обновления - не удивляйтесь проблемам.

Источник: Ruward обсудить  |  все отзывы (0)

««    «   81  |  82  |  83  |  84  |  85  |  86  |  87  |  88  |  89  |  90   »    »»

Предложить свою новость