Как поломать интернет 11 строчками кода
dl // 23.03.16 19:37
Конечно, не весь интернет, а всего лишь кучу проектов на Node.js, но и так неплохо получилось (c).
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2016/03/11.html]

Несколько часов назад JS-разработчик Азер Кочулу (Azer Koçulu) отозвал из NPM (популярный менеджер пакетов, используемый при разработке проектов на Node.js) более 250 своих модулей. Причиной этого стали разногласия по поводу названия одного из модулей, совпавшего с названием мессенджера Kik.

Представители разработчиков Kik сначала обратились к Кочулу с требованием переименовать модуль, тот отказался, после чего они пошли напрямую к администраторам NPM. Те не стали спорить и тихо сменили владельца модуля.

Это привело Кочулу в ярость, он снес из NPM все свои разработки и перенес их на GitHub. По несчастливому стечению обстоятельств среди них оказалась 11-строчная функция leftpad, занимающаяся дополнением строки пробелами до нужной длины. И функция эта использовалась каким-то безумным количеством JS-проектов (за последний месяц модуль left-pad скачивался почти два с половиной миллиона раз), которые сразу после этого сломались.

Администрации NPM пришлось пойти на беспрецедентный шаг и откатить отзыв злосчастного модуля. Обычно такое невозможно, что удалилось, то удалилось, но простая заливка нового одноименного модуля не исправила бы все зависимые проекты.

Это примерно все, что нужно знать о разработке на JavaScript в 2016 году.

Update: продолжение банкета.

Источник: The Register теги: javascript  |  обсудить  |  все отзывы (0)

Metaphor ставит под удар четверть андроидов
dl // 19.03.16 15:21
Израильская команда NorthBit раскрыла детали атаки на уязвимость в движке Stagefright, названной ими Metaphor.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2016/03/10.html]
Stagefright - мультимедийная библиотека, ставшая печально известной в прошлом году после обнаружения в ней ряда уязвимостей, способных привести к полному захвату устройства.

Несмотря на то, что уязвимость потенциально затрагивает около миллиарда устройств с Android, реализованный в последних версиях системы механизм рандомизации адресного пространства (address space layout randomization, ASLR) препятствовал созданию эффективных эксплоитов, ограничивая число потенциальных жертв пользователями версий 4.х (примерно 40 миллионов устройств, 4 процента от андроидного парка).

Целью разработки Metaphor как раз и стал обход механизма ASLR, что расширило множество уязвимых систем до версий 5.0 и 5.1. А это еще 23.5 процента или 235 миллионов устройств, среди которых названы Nexus 5, LG G3, HTC One и Samsung Galaxy S5. Все, что требуется от жертвы - попасть на страницу с подготовленным mp4-файлом. В демонстрационном ролике процесс захвата системы и передачи с нее критичной информации занял менее 20 секунд, в течение которых пользователь просматривал страницу с котиками.

Реальное число потенциальных жертв несколько меньше, поскольку Google все-таки периодически выпускает исправления обнаруженных уязвимостей (как раз полторы недели назад вышло крупное исправление 19 уязвимостей, включая и использованное в Metaphor). Проблема лишь в том, что до пользовательских устройств эти исправления добираются слишком медленно.

Источник: ZDNet теги: android  |  обсудить  |  все отзывы (0)

Pwn2Own 2016
dl // 18.03.16 13:00
Завершился очередной конкурс Pwn2Own, в рамках которого соревнующиеся ломали популярные браузеры и системы, попутно демонстрируя новые уязвимости.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2016/03/09.html]
Было проведено 7 успешных попыток взлома, одна частично успешная и 3 неудачных. Стопроцентный результат дали атаки на Safari и Edge (3 и 2 соответственно), Flash дал в копилку 4 успешных атаки из 5, Chrome всего лишь одну частично успешную из двух. Была использована 21 нова уязвимость, в том числе 6 уязвимостей в Windows и 5 в OS X.

Сумма выплаченных призов достигла 460 тысяч долларов. Дополнительный приз в 75 тысяч долларов за побег из виртуальной машины VMware так и не был востребован.

Источник: Trend Micro теги: pwn2own  |  обсудить  |  все отзывы (0)

iOS-троян, распространяющийся через уязвимость в Apple DRM, успешно прорвался в App Store. Трижды.
dl // 16.03.16 20:43
Жесткие правила премодерирования App Store долгое время заставляли считать его едва ли не неприступной крепостью, особенно на фоне той помойки, в которую давно превратился Google Play Market.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2016/03/08.html]
Правда, в сентябре уже был неприятный звоночек, но в той атаке были задействованы уже существующие популярные приложения, что, видимо, ослабило бдительность цензоров.

Сейчас же сообщается сразу о трех попавших в App Store троянах семейства AceDeceiver, впервые использующих для своего распространения технику "FairPlay Man-In-The-Middle" (до сих пор она активно использовалась для установки пиратских приложений на iOS-устройства без jailbreak). Что любопытно, все трояны прикидывались сборниками обоев и неоднократно проходили модерацию. Причем сам факт их удаления из App Store уже никак не влияет на возможность проведения атаки - достаточно того, что они уже там побывали.

Идея атаки основана на перехвате запросов FairPlay, которые позволяют покупать приложения из AppStore в десктопном iTunes. Полученный код авторизации затем передается на устройство для подтверждения факта покупки. При проведении атаки полученный код используется дополнительным клиентским приложеним, имитирующим поведение iTunes, которое позволяет обмануть подключенное iOS-устройство и установить на него любое приложение без ведома пользователя.

В данном случае роль вспомогательного приложения играл Aisi Helper, популярный китайский клиент, обеспечивающий управление iOS-устройствами, джейлбрейк, бэкап, а также установку спираченных приложений и игр из левого магазина приложений даже на устройства без джейлбрейка. Установленный AceDeciver мог работать и действительно как сборник обоев, и как клиент того самого стороннего аппстора. В последнем случае он активно выманивал пользовательские AppleID с паролями и аккуратно складывал их на свой сервер - разумеется, искренне обещая пользователям, что никакие пароли никуда не уходят.

Слабым утешением может служить то, что в данном конкретном случае атакующий режим включался только для пользователей из континентального Китая.

Источник: The Register теги: apple, ios  |  обсудить  |  все отзывы (0)

Массовая атака на пользователей ведущих новостных сайтов
dl // 16.03.16 15:33
Реклама на сайтах BBC, The New York Times, AOL, MSN и answers.com использовалась для подсовывания пользователям трояна-вымогателя TeslaCrypt с помощью Angler exploit kit, ориентированного на использование уязвимостей в Flash и Silverlight.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2016/03/07.html]
Атакующим удалось захватить просроченный домен небольшой рекламной компании, после чего была запущена атака через несколько рекламных сетей. По мнению Trend Micro, речь может идти о десятках тысяч пострадавших.

И кого-то еще волнует неэтичность баннерорезок?

Источник: ZDNet теги: virus  |  обсудить  |  все отзывы (0)

««    «   41  |  42  |  43  |  44  |  45  |  46  |  47  |  48  |  49  |  50   »    »»

Предложить свою новость