Последнее обновление Java вышло даже для Маков
dl // 15.06.12 09:53
Удивительное зрелище - обновление Java для Mac OS X впервые вышло без многомесячной задержки.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2012/06/05.html]
Во вторник Oracle выпустила Java 6 Update 33 и Java 7 Update 5, закрывающие 14 уязвимостей. И в тот же день Apple выпустила свой вариант обновления 1.6.0_33, закрывающий 11 из 14 уязвимостей. Почему оставшиеся три были проигнорированы, остается загадкой - Apple не опускается до объяснения своих действий. Но и это явный прогресс по сравнению с тем, что было в прошлый раз.

Источник: InfoWorld теги: oracle, java, apple  |  обсудить  |  все отзывы (0)

Июньские обновления от MS
dl // 13.06.12 01:07
Всего семь, три критичных, четыре важных, закрывают в общей сложности 25 уязвимостей.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2012/06/04.html]
Критичные: удаленное исполнение кода в RDP и .NET; кумулятивное обновление IE. Важные: удаленное исполнение кода в Microsoft Lync, эскалация привилегий в Microsoft Dynamics AX Enterprise Portal и модулях ядра.

Источник: Microsoft Security Bulletin Summary теги: microsoft, patch  |  обсудить  |  все отзывы (0)

Обход парольной защиты в линуксовых MySQL: уязвима половина доступных серверов
dl // 12.06.12 11:48
Некорректное приведение типов в процедуре проверки паролей ряда сборок MySQL и MariaDB приводит к тому, что с вероятностью 1/256 удается выполнить подключение, используя любой пароль - достаточно знать имя пользователя (ну а root-то там обычно бывает).
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2012/06/03.html]
Затронуты версии вплоть до 5.1.61, 5.2.11, 5.3.5, 5.5.22. Разумеется, во многих конфигурациях MySQL закрыт для всех коннектов снаружи, но так бывает далеко не всегда. Ну и героический брутфорс открывает все двери за пару-тройку сотен попыток, на что уйдет менее секунды.

Уязвимые версии собраны с использованием функции memcmp из оптимизированной под SSE линуксовой glibc. Встроенная memcmp из gcc незатронута, как и memcmp из BSDшной libc.

В пересчете на реальные операционные системы, затронуты 64-битные Ubuntu версий 10.04, 10.10, 11.04, 11.10, и12.04, Fedora и OpenSUSE 12.1. Чисты Debian, Gentoo и RHEL, равно как и официальные сборки MySQL и MariaDB. Быстрое сканирование 1.74 миллиона доступных MySQL-серверов показало, что уязвимы практически 50 процентов. Звучит довольно апокалиптично - просто представьте, что половина всех доступных MySQL-серверов прямо сейчас стоит с настежь открытой дверью.

Источник проблемы - возврат функцией целочисленного значения за границами диапазона -127..128. Вообще, возвращаемым значением функции memcmp является целое число, про которое можно лишь утверждать, что оно меньше, больше, либо равно нулю в зависимости от результата сравнения переданных ей блоков памяти. Разработчики понадеялись на то, что этот результат можно безболезненно привести к своему псевдобулевскому типу (typedef char my_bool) - что, строго говоря, справедливо лишь для указанного диапазона (при подобном преобразовании просто отбрасываются старшие биты и 0x100 окажется эквивалентно 0x00). Но с учетом описания функции как возвращающей int, этого никто никогда и не обещал.

Источник: The Register теги: mysql  |  обсудить  |  все отзывы (2)

Adobe пропатчила Flash и выпустила песочницу для Firefox
dl // 11.06.12 00:52
Adobe выпустила обновление для Flash Player, закрывающее семь критичных уязвимостей.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2012/06/02.html]
Кроме того, windows-версия включает анонсированную в феврале песочницу для Firefox, обеспечивающую выполнение флеш-роликов в изолированной среде.

Источник: InfoWorld теги: adobe, flash, firefox  |  обсудить  |  все отзывы (0)

LinkedIn подтвердил утечку паролей
dl // 07.06.12 00:35
LinkedIn подтвердил, что ранее опубликованный файл с хэшами 6.5 миллионов паролей действительно имеет отношение к его аккаунтам (хоть и без непосредственной привязки паролей к аккаунтам).
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2012/06/01.html]

Проводится расследование ситуации, пока же у пользователей, чьи пароли попали в список опубликованных, они будут принудительно сброшены, а пострадавшие получат письма с инструкциями по восстановлению и с объяснением ситуации.

Источник: LinkedIn теги: leak, password  |  обсудить  |  все отзывы (0)

««    «   111  |  112  |  113  |  114  |  115  |  116  |  117  |  118  |  119  |  120   »    »»

Предложить свою новость