VeriSign и nCipher представляют Hardware SSL
// 08.04.03 16:15
Вчера небезызвестная компания VeriSign вместе с nCipher представили расширение SSL-протокола.
[Не забывайте при копировании материала указывать полный адрес источника: http://www.bugtraq.ru/rsn/archive/2003/04/10.html]
Суть инновации состоит в том, что SSL-ключ будет защищен hardware-модулем, зашифрованным по FIPS 140-2 стандарту. По заверениям разработчиков, это обеспечит максимальную безопасность передачи информации между сервером и клиентом и позволит компаниям показать наивысший уровень безопасности интернет-транзакций.
Samba Remote Root Compromise
cybervlad // 08.04.03 10:34
Переполнение буфера в версиях < Samba 2.2.8a, <= Samba 2.0.10, < Samba-TNG 0.3.2 позволяет удаленно получить привилегии суперпользователя.
[Не забывайте при копировании материала указывать полный адрес источника: http://www.bugtraq.ru/rsn/archive/2003/04/09.html]
Соответствующая уязвимость обнаружена Digitaldefense. ОДнако, с публикацией связана одна почти детективная история. После обнаружения уязвимости Digitaldefense вошла в контакт с командой разработчиков Samba и договорилась опубликовать соответствующий бюллетень. Что и было сделано 7 апреля. Однако уже 8 апреля на сайте Digitaldefense появилось уведомление о том, что в версию Digitaldefense без одобрения ее руководством был включен текст эксплоита, который изначально публиковать не планировалось. В связи с этим компания проводит ряд мероприятий, призванных не допустить подобных проколов в дальнейшем. Кого-то сделают стрелочником...
Закрытые порты - не абсолютная защита
cybervlad // 08.04.03 10:09
При организации защиты хоста в сети админ обыно исходит из принципа: чем меньше открытых портов, тем безопаснее.
[Не забывайте при копировании материала указывать полный адрес источника: http://www.bugtraq.ru/rsn/archive/2003/04/08.html]
Крайний вариант - когда открытых портов нет совсем. Именно для таких параноидальных случаев и предназначен Passlogd Sniffer. Эта программа работает в режиме сниффера и перехватывает сообщения в формате syslog, что позволяет организовать syslog-сервер, не открывая на нем портов. Вроде бы, все красиво и безопасно. Но неаккуратное написание кода может даже в такой ситуации дать удаленный шелл. Опубликованное на SecuriTeam описание уязвимости отличается от обычного "вывешивания эксплоита" предварительным анализом исходного текста с указанием уязвимых мест.
Уязвимость SETI@Home
dl // 08.04.03 00:02
Популярный распределенный клиент Seti@Home содержит по крайней мере две неприятных уязвимости.
[Не забывайте при копировании материала указывать полный адрес источника: http://www.bugtraq.ru/rsn/archive/2003/04/07.html]
Во-первых, переполнение буфера при обоработке ответов сервера, содержащих большую строку, оканчивающуюся символом перевода строки (\n) - что, в принципе, позволяет захватить контроль над клиентской машиной. Аналогичное переполнение буфера замечено и в главном сервере проекта.
Во-вторых, клиент передает информацию о машине пользователя открытым текстом, что позволяет легко перехватить ее, после чего воспользоваться полученной информацией для планирования атаки.
Новая версия клиента доступна.
P.S. То ли дело старый добрый distributed.net... :)
DoS на Apache 2
dl // 07.04.03 23:54
Анонсирован выход Apache 2.0.45, основное назначение которого - исправление ошибок и уязвимостей предыдущей версии, и в первую очередь устранение возможной DoS-атаки, обнаруженной iDefence.
[Не забывайте при копировании материала указывать полный адрес источника: http://www.bugtraq.ru/rsn/archive/2003/04/06.html]
Технические детали пока не раскрывались, обещана их публикация 7.04, т.е. сегодня.
Предложить свою новость
подробно о проекте
Анализ криптографических сетевых...
