Очередная пачка исправлений в Android - пока только для Nexus
dl // 05.04.16 12:48
Google выпустила очередное обновление для Nexus, исправляющее очередную критичную уязвимость в медиасервере (с августа их накопилось уже два с лишним десятка), удаленное исполнение кода при доступе к dhcp-серверу, пару критичных уязвимостей, связанных с чипсетом Qualcomm и эскалацию привилегий в ядре.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2016/04/02.html]
Всего 39 штук. Пользователям других устройств по традиции остается лишь ждать.

Источник: ZDNet теги: android  |  обсудить  |  все отзывы (0)

Google пришлось откатить один из своих первоапрельских приколов
dl // 01.04.16 15:10
Тяжела жизнь у тех, кто вынужден натужно шутить по расписанию.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2016/04/01.html]
1 апреля в Gmail была добавлена кнопка 'Send + Mic Drop', предназначенная, согласно описанию, для ситуаций, когда вы точно уверены, что только ваше мнение имеет смысл, так что все, что остается - сказать свое последнее слово в дискуссии и больше не получать писем на эту тему. В реальности все, что делала эта кнопка - вставляла в письмо перед отправкой гифку с миньоном.

Как внезапно обнаружили в Google, когда у тебя миллиард пользователей, многие из которых пользуются gmail и в профессиональных целях, такие игры могут привести к значительным проблемам. Даже оставив в стороне незначительное число доверчивых, эта кнопка встала на место 'Send + Archive', которой многие пользуются на автомате. Осознав масштабы проблемы, Google извинилась и отключила миньона.

Источник: Tech Crunch теги: google, fools  |  обсудить  |  все отзывы (0)

Со дна постучали: внедрение вредоносного кода в проекты Node.js
dl // 27.03.16 18:37
Любопытные вещи выясняются насчет npm.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2016/03/12.html]
Недавняя весёлая история с leftpad продемонстрировала, какие могут возникнуть проблемы от удаления чего-то из npm. Оказывается, еще сильней рвануть может от добавления.

Исследователь из Google Сэм Сакконе (Sam Saccone) еще в начале года проинформировал npm о неприятной уязвимости, способной привести к распространению вредоносного кода по множеству зависимых друг от друга пакетов. В феврале информация об уязвимости была раскрыта, а на днях добралась до CERT, после чего привлекла всеобщее внимание.

Проблема в первую очередь связана с тем, что при установке пакета из npm могут выполняться вспомогательные скрипты (так называемые lifecycle scripts). Выполняются они обычно с правами текущего пользователя, хотя на некоторых системах им запросто может оказаться root. Проблема известная, но Сакконе пошел чуть дальше.

Во-первых, он использовал тот факт, что при использовании npm'шной версионной системы SemVer и подключении к своему проекту сторонних модулей далеко не все разработчики фиксируют их версии (ведь так удобно автоматически получить новую функциональность/исправление ошибок, когда автор модуля его обновит).

Во-вторых, многие разработчики сами являются авторами модулей, выложенных в npm, причем в npm не предусмотрен автоматический выход - кто залогинился, тот так и остается авторизованным пользователем, пока явно не выйдет. Так что подхваченный скрипт запросто может что-то сделать от имени этого пользователя.

Все это, усугубленное централизованностью npm, позволило создать демонстрационный модуль, который по сути является npm-червем. Как только его установит разработчик другого модуля, дальше он начнет распространяться как снежный ком по всем проектам, выставившим зависимость на модуль первой жертвы, от них дальше, дальше и дальше.

Администрация npm уже заявила, что не располагает ресурсами, достаточными для проверки всех модулей, и возлагает свои надежды на сообщество.

Источник: Softpedia теги: javascript  |  обсудить  |  все отзывы (0)

Как поломать интернет 11 строчками кода
dl // 23.03.16 19:37
Конечно, не весь интернет, а всего лишь кучу проектов на Node.js, но и так неплохо получилось (c).
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2016/03/11.html]

Несколько часов назад JS-разработчик Азер Кочулу (Azer Koçulu) отозвал из NPM (популярный менеджер пакетов, используемый при разработке проектов на Node.js) более 250 своих модулей. Причиной этого стали разногласия по поводу названия одного из модулей, совпавшего с названием мессенджера Kik.

Представители разработчиков Kik сначала обратились к Кочулу с требованием переименовать модуль, тот отказался, после чего они пошли напрямую к администраторам NPM. Те не стали спорить и тихо сменили владельца модуля.

Это привело Кочулу в ярость, он снес из NPM все свои разработки и перенес их на GitHub. По несчастливому стечению обстоятельств среди них оказалась 11-строчная функция leftpad, занимающаяся дополнением строки пробелами до нужной длины. И функция эта использовалась каким-то безумным количеством JS-проектов (за последний месяц модуль left-pad скачивался почти два с половиной миллиона раз), которые сразу после этого сломались.

Администрации NPM пришлось пойти на беспрецедентный шаг и откатить отзыв злосчастного модуля. Обычно такое невозможно, что удалилось, то удалилось, но простая заливка нового одноименного модуля не исправила бы все зависимые проекты.

Это примерно все, что нужно знать о разработке на JavaScript в 2016 году.

Update: продолжение банкета.

Источник: The Register теги: javascript  |  обсудить  |  все отзывы (0)

Metaphor ставит под удар четверть андроидов
dl // 19.03.16 15:21
Израильская команда NorthBit раскрыла детали атаки на уязвимость в движке Stagefright, названной ими Metaphor.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2016/03/10.html]
Stagefright - мультимедийная библиотека, ставшая печально известной в прошлом году после обнаружения в ней ряда уязвимостей, способных привести к полному захвату устройства.

Несмотря на то, что уязвимость потенциально затрагивает около миллиарда устройств с Android, реализованный в последних версиях системы механизм рандомизации адресного пространства (address space layout randomization, ASLR) препятствовал созданию эффективных эксплоитов, ограничивая число потенциальных жертв пользователями версий 4.х (примерно 40 миллионов устройств, 4 процента от андроидного парка).

Целью разработки Metaphor как раз и стал обход механизма ASLR, что расширило множество уязвимых систем до версий 5.0 и 5.1. А это еще 23.5 процента или 235 миллионов устройств, среди которых названы Nexus 5, LG G3, HTC One и Samsung Galaxy S5. Все, что требуется от жертвы - попасть на страницу с подготовленным mp4-файлом. В демонстрационном ролике процесс захвата системы и передачи с нее критичной информации занял менее 20 секунд, в течение которых пользователь просматривал страницу с котиками.

Реальное число потенциальных жертв несколько меньше, поскольку Google все-таки периодически выпускает исправления обнаруженных уязвимостей (как раз полторы недели назад вышло крупное исправление 19 уязвимостей, включая и использованное в Metaphor). Проблема лишь в том, что до пользовательских устройств эти исправления добираются слишком медленно.

Источник: ZDNet теги: android  |  обсудить  |  все отзывы (0)

««    «   41  |  42  |  43  |  44  |  45  |  46  |  47  |  48  |  49  |  50   »    »»

Предложить свою новость