Shellshock успешно использовали в атаке на Yahoo
dl // 06.10.14 23:38
Недавно обнародованная уязвимость в bash была использована для взлома по крайней мере двух серверов Yahoo Games.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2014/10/04.html]
Представитель компании признал факт взлома нескольких серверов, использовавших старую версию bash. Пользовательские данные предположительно не пострадали.

Обнаруживший уязвимые серверы Джонатан Холл (Jonathan Hall) также заметил, что пока все в основном бросились искать уязвимые web-скрипты, он успешно взломал несколько OpenSSH и ftp-серверов, а заодно и сервер, обслуживающий биткойновый пул.

Источник: SecurityWeek теги: yahoo  |  обсудить  |  все отзывы (0)

Баг в Багзилле раскрывает массу уязвимостей
dl // 06.10.14 19:56
Уявимость в популярном багтрекере Bugzilla (используется многими производителями, заводящими там отдельные проекты) сделала возможным просмотр детальных отчетов о найденных уязвимостях.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2014/10/03.html]
Как выяснилось, при регистрации нового пользователя вполне можно указать любой почтовый адрес, и если он счастливо совпадает с адресом администратора проекта, у вас окажется полный доступ к закрытой для посторонних информации. Например, admin@mozilla.org дает полный доступ к отчетам по уязвимостям в Firefox и других продуктах Mozilla.

Поиск zero-day уязвимостей еще никогда не был столь простым. Исправление ожидается уже сегодня.

Источник: Krebs on Security теги: leak  |  обсудить  |  все отзывы (0)

BadUSB ушел в массы
dl // 03.10.14 16:46
Атака, основанная на использовании контроллеров usb-устройств, теперь может быть использована кем угодно.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2014/10/02.html]
По следам августовской демонстрации аналогичный анализ прошивок usb-контроллеров Phison провели Адам Кодилл (Adam Caudill) и Брэндон Уилсон (Brandon Wilson), но на этот раз они еще и выложили свой код на GitHub.

Целью обнародования традиционно названо желание привлечь внимание производителей. Проблема в том, что пока не вполне ясно, как вообще с этим бороться. Практически это означает возврат во времена незапрещенного автозапуска с флешек (и даже хуже, поскольку отлавливать это еще никто не научился, а для кучи уже выпущенных устройств вряд ли и научится).

Чуть успокаивает лишь то, что пока речь идет строго об одном контроллере для USB 3.0 одного производителя (хоть и весьма популярного).

Источник: Wired теги: usb  |  обсудить  |  все отзывы (0)

Проблемы с GitHub
dl // 02.10.14 21:16
Пользователи ряда провайдеров жалуются на проблемы с доступом к популярному сервису хостинга git-репозиториев GitHub.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2014/10/01.html]
Судя по всему, его адрес был внесен в печально знаменитый реестр сайтов, содержащих информацию, запрещенную для распространения в РФ - в одном из репозиториев обнаружился текстовый файл с описанием различных добрых способов самоубийства (включая использование для этого ядерной бомбы).

С учетом популярности GitHub, этот текстовый файл может оказаться крайне эффективным способом блокировки огромного числа Open Source проектов отечественных программистов. Некую надежду пока внушает доступность GitHub из сетей Ростелекома, который обычно находится в первых рядах блокирующих доступ к ресурсам из реестра.

Update: оперативно исключили, выдыхаем.

Источник: Хабрахабр обсудить  |  все отзывы (0)

Двадцатилетняя уязвимость в bash
dl // 25.09.14 02:45
Вышли срочные патчи для RHEL, Fedora, CentOS, Ubuntu, Debian (другие производители на подходе), устраняющие существующую десятки лет уязвимость в популярнейшей командной оболочке bash.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2014/09/05.html]
Уязвимость позволяет выполнить любую команду путем внедрения bash-кода в специально сформированные переменные окружения (фактически туда просто кладется код функции, которая выполняется сразу при запуске интерпретатора).

Эту уязвимость, уже получившую название Shellshock, по возможным последствиям сравнивают с Heartbleed - с учетом того, сколько времени она существует и какое количество софта затрагивает. Затронуты версии GNU Bash с 1.14 (июль 1994) по 4.3, под раздачу попал практически любой юникс, от RedHat и FreeBSD до Mac OS и линуксов, встроенных в домашние роутеры.

Потенциально уязвима любая система, позволяющая в том или ином виде запустить снаружи нечто, работающее с командной оболочкой. Например, любой существующий bash-скрипт, запускающийся из-под апача, или простой вызов system/popen в C, некоторые варианты развертывания Git и Subversion, предоставляющие пользователям возможность выполнения команд, любые веб-оболочки (в тех же роутерах, например), использующие шелл для выполнения команд и т.п. Рвануть может практически где угодно.

Источник: NVD, RedHat Security Blog теги: unix, retro  |  обсудить  |  все отзывы (1)

««    «   71  |  72  |  73  |  74  |  75  |  76  |  77  |  78  |  79  |  80   »    »»

Предложить свою новость