Февральские обновления от MS
dl // 11.02.15 00:59
Всего 9 обновлений, из которых 3 критичных, закрывают аж 55 уязвимостей, основная часть которых традиционно приходится на кумулятивное обновление IE.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2015/02/03.html]
Еще два критичных обновления закрывают опять же традиционную уязвимость, связанную с обработкой TrueType-шрифтов и с обработкой групповых политик. Еще в комплекте удаленное исполнение кода и обход средств безопасности Office, эскалация привилегий при создании процесса и в менджере виртуальных машин, утечка информации в компоненте Microsoft Graphics при обработке изображений в формате TIFF.

Источник: Microsoft Security Bulletin Summary теги: microsoft, patch  |  обсудить  |  все отзывы (0)

Двухфакторную аутентификацию Яндекса взломали на следующий день после запуска
dl // 05.02.15 00:40
3 февраля Яндекс и Mail.Ru синхронно запустили двухфакторную аутентификацию, призванную повысить безопасность своих пользователей.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2015/02/02.html]
И если в случае Mail.Ru все было более-менее традиционно, с отправкой кода через sms, то в Яндексе посчитали эту схему ненадежной и предпочли ей свой велосипед, предусматривающий вывод на экран QR-кода и его сканирование подтверждающим смартфоном. При невозможности считывания кода используется схема, основанная на TOTP (периодически обновляющиеся временные пароли), хотя и несовместимая с популярными реализациями ("ура, мы тоже написали свой Google Authenticator").

На следующий день на Хабрахабре уже появилась заметка, описывающая процедуру взлома этой схемы. Для ее реализации оказалось достаточно отсканировать тот же QR-код (например, из-за спины пользователя), извлечь из него идентификатор сессии и успеть отправить запрос авторизации раньше жертвы.

К чести Яндекса, довольно очевидную ошибку (браузеру все-таки не стоило использовать один в один идентификатор из QR-кода) оперативно залатали (насколько я понимаю, лечится это добавлением еще одного уникального хэша/id, соответствующего каждому отданному QR), но старт получился несколько смазанным.

И, конечно, очень отдельные вопросы вызывает "двухфакторность", целиком унесенная на одно устройство. С учетом того, что при использовании TouchID можно вообще обойтись без ввода пароля, достаточно иметь сам смартфон в сочетании с бесчувственным телом отпечатком владельца, чтобы спокойно зайти в его аккаунт.

Источник: habrahabr теги: yandex  |  обсудить  |  все отзывы (0)

Свежий патч от BMW
dl // 03.02.15 11:55
BMW (та самая, да) выпустила патч, исправляющий уязвимость в 2,2 миллионах выпущенных Rolls-Royce, Mini и собственно BMW, оборудованных ConnectedDrive.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2015/02/01.html]
ConnectedDrive обеспечивает выход в интернет, доступ к средствам навигации и т.п., используя sim-карту, встроенную в машину. Подсовывание системе поддельной базовой станции позволяло перехватить трафик от ConnectedDrive и использовать полученную информацию, например, отдавая команды открытия окон и дверей. Исправление заключается в принудительном переводе служебного трафика на https и заливается в машину автоматически при ее подключении к серверам BMW.

Источник: Reuters теги: уязвимости  |  обсудить  |  все отзывы (0)

Уязвимость нулевого дня в Flash активно используется в атаках
dl // 22.01.15 15:21
Популярный атакующий инструмент Angler включил в свой состав свежую уязвимость в Adobe Flash, которой подвержены все версии вплоть до 15.0.0.223 и 16.0.0.257.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2015/01/08.html]
Уязвимость используется для загрузки на систему жертвы трояна Bedep.

Пользователи Chrome и Windows 8.1 могут спать спокойно, в остальных системах наиболее уязвимы пользователи всех верий IE и некоторых версий Firefox.

Источник: The Register теги: adobe, flash  |  обсудить  |  все отзывы (0)

Windows 10 будет бесплатной для пользователей Windows 7 и 8.1
dl // 21.01.15 22:32
На прошедшей сегодня презентации было объявлено, что пользователи Windows 7, Windows 8.1 и Windows Phone 8.1 смогут бесплатно перейти на Windows 10 в течение первого года после ее запуска.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2015/01/07.html]

Помимо Windows 10, были продемонстрированы новый браузер Spartan, очки дополненной реальности, голосовой помощник Cortana, перенесенный под Windows 10.

Источник: The Verge теги: microsoft, windows  |  обсудить  |  все отзывы (4)

««    «   61  |  62  |  63  |  64  |  65  |  66  |  67  |  68  |  69  |  70   »    »»

Предложить свою новость