Slo-Tech - Microsoft je potrdil, da je v Windows 10 bizaren hrošč, na katerega je opozoril Jonas L, in napovedal, da ga bodo kmalu odpravili. Hrošč se je pojavil v posodobitvi aprila 2018 in je kljub opozarjanju, ki traja vsaj od avgusta lani, še vedno aktiven. Za izrabo ne potrebujemo administratorskih privilegijev, povzroči pa okvaro drevesne strukture na disku (ki jo chkdsk sicer običajno reši).

Če v ukazni vrstici vpišemo ukaz cd (vstop v imenik) in ime posebne mape, bo to povzročilo okvaro datotečnega sistema. Windows bo uporabnika obvestil, da je mapa okvarjena in neberljiva, nato pa bo pozval k ponovnemu zagonu sistemu, kjer se bo sprožil chkdsk. Hrošča pa je možno uporabiti tudi drugače. Če izdelamo bližnjico, ki vsebuje pot do te iste mape, bo škodo povzročila že, če je sploh ne zaženemo. Windows namreč skuša prikazati ikono, ki jo gre iskat na ciljno mesto. Na podoben način lahko v orožje spremenimo datoteke ZIP, spletne strani itd. Večinoma trajnih posledic ni, je pa možno napad...

Slo-Tech - Microsoft je začasno ustavil nadgradnjo operacijskega sistema Windows 10 na najnovejšo verzijo Windows 10 October 2018 Update (1809), ker se je izkazalo, da hrošč povzroči izgubo podatkov. Prav tako Microsoft svetuje vsem, ki so nadgradnjo že prenesli, a še ne namestili, da počakajo. Težava je predvsem nejasnost, saj trenutno še ni znano, v katerih okoliščinah se hrošč pojavi.

Številni uporabniki so poročali, da so pri nadgradnji našli prazni mapi Documents in Pictures, kar sta ravno mapi, kamor običajno odlagamo svoje dokumente in podatke. Microsoft se je sprva odzval s pojasnilom, da se pri nadgradnji vsebina map prenese v drugo mapo, a je kmalu postalo jasno, da se to ni zgodilo. Nekateri so...

The Verge - Hrošč, ki je v Twitterjevemu sistemu razgrajal vse od lanskega maja, je nekatera neposredna zasebna sporočila posredoval tudi zunanjim razvijalcem, seveda takim, ki za kaj takega niso imeli soglasja.

Twitter je uporabnike o tem te dni obveščal prek svoje aplikacije in spletne strani. Pri tem so poudarili, da verjamejo, da pri tem ni bil zlorabljen noben podatek, šlo pa naj bi predvsem za neposredna sporočila namenjena podjetjem, pretežno takim, ki ponujajo različne storitve. Kriva naj bi bila namreč napaka na AAAPIju oz. Acount Activity APIju, namenjenemu komunikaciji med stranko in podjetjem pri takih dejavnostih. Do njega imajo dostop tudi nekateri razvijalci, ki izboljšujejo orodja...

Slo-Tech - Španski matematiki so našli hrošča v zadnjih verzijah programskega paketa Mathematica, ki povzroči napačne rezultate nekaterih izračunov in celo različne rezultate ob več zagonih z istimi vhodnimi parametri. Hrošč se vleče že vsaj štiri leta, Wolfram pa ga kljub poročilu pred letom dni še vedno ni popravil.

Na napako so naleteli, ko so računali Casoratijeve determinante in želeli dokazati nekaj izrekov. Pri izračunih v Mathematici so odkrili nekaj protiprimerov, medtem ko so isti izračuni v Maplu kazali, da protiprimerov ni. Podrobna analiza je pokazala, da sta možna le dva scenarija - bodisi napak računa Mathematica bodisi Maple.

Iskanje hrošča je pokazalo, da je krivec Mathematica. Ne le da nekatere vrednosti determinant izračuna narobe, pri nekaterih primerih vrne...

ComputerWorld - Mislili bi si, da so Microsoftova svarila, naj ne uporabljamo piratskih verzij njihovega operacijskega sistema, ker lahko vsebujejo zlonamerno programsko opremo, nujno pretiravanje. Pa se je izkazalo, da to ni vedno tako. Kaj vse se skriva v različnih aktivatorjih, krekih in ostalih orodjih, ki za zaobitje zaščite krožijo po spletu, ne ve nihče. A prav enako škodljive so lahko nelegalne kopije na novih računalnikih, ugotavlja Microsoft v svoji preiskavi.

Microsoftov oddelek za boj proti kriminalu Digital Crimes Unit (DCU) je med operacijo b70 odkril, da so se na Kitajskem prodajali novi računalniki, ki so imeli naložene piratske različice Windows in so bili okuženi z zlonamerno programsko opremo. Šlo je za program Nitol, ki zlikovcem...

Slo-Tech - Prejšnji mesec smo poročali o hrošču v PHP, ki povzroči neodzivnost programa pri pretvarjanju zelo velikih ali zelo malih števil med različnimi tipi zapisa. Podoben hrošč je bil odkrit tudi v Javi (v izvajalnem okolju in v prevajalniku), ki prav tako obvisi pri pretvorbi vrednosti 2.2250738585072011e-308 v binarni zapis dvojne natančnosti s plavajočo vejico (to ni edini primer, saj...

Heise - Na Redditu so odkrili bizaren hrošč v Amazonovem sistemu za prijavo, ki omogoča prijavo tudi z variantami gesla. Hrošč se pojavi le v primeru, da uporabnik svojega gesla v zadnjih letih ni spremenil. Takrat se upošteva le prvih osem črk gesla, ostanek pa je lahko povsem naključen, pa bo Amazon še vedno pustil prijavo. Hrošč tudi pokvari razlikovanje med velikimi in malimi črkami, tako da je prijava mogoča s poljubno kombinacijo. Testi na Heise so pokazali, da so ranljiva gesla, ki so bila starejša od enega leta, čeprav nekateri problema niso mogli ponoviti niti s starejšimi gesli. Rešitev je zelo enostavna: ob zamenjavi gesla, četudi ga zamenjate z istim, hrošč izgine.

PC World - V skriptnem jeziku PHP je bil odkrit nov hrošč, ki lahko povzroči neodzivnost strežnikov. Če mora program pretvoriti zelo veliko ali majhno število, ki je zapisano kot niz, v zapis s plavajočo vejico (recimo vrednost 2.2250738585072011e-308), zaide v neskončno zanko. Na ta način bi napadalec lahko onesposobil strežnik, saj postane neodziven, če bi mu posredoval ustrezne podatke. Prizadeti sta verziji PHP 5.2 in 5.3, če tečeta na Intelovi arhitekturi x86-32 s FPU. Napaka je bila odpravljena v 24 urah. Uporabniki lahko namestijo popravke ali pa ponovno prevedejo PHP z dodatnimi zastavicami.

Slashdot - Pred točno desetimi leti smo se tresli v pričakovanju strašnega tisočletnega hrošča, pa se ni zgodilo praktično nič. Desetletni hrošč je prizadel orodje za boj proti nezaželeni elektronski pošti SpamAssassin, ki pošto poslano v letu 2010 označi kot spam. Eno izmed pravil za označevanje spama je namreč po mnenju avtorjev programa tudi datum sporočila, ki leži preveč v prihodnosti. V pravila so namreč vpisali vrstico header FH_DATE_PAST_20XX Date =~ /20[1-9][0-9]/ [if-unset: 2006], ki povzroči omenjeno obnašanje. Rešitev je sprememba datuma v pravilih na leto 2020.

Slashdot - Na Slashdotu poročajo o zanimivem hrošču v Excelu 2007, ki so ga odkrili na Googlovih skupinah. Težav tokrat ne povzroča neka obskurna operacija, temveč množenje.

Opaziti je, da operacija 850 * 77.1 vrne rezultat 100.000 namesto pravilnega 65.535 (0xFFFF v šestnajstiškem sestavu). To pravzaprav ni osamljen primer, saj so našteli cel kup primerov, ki bi morali dati enak rezultat, a namesto tega vrnejo enako napako. Hrošč se v prejšnjih verzijah ne pojavlja. Dodatek: Microsoft je hrošča uradno priznal in pokomentiral.

ElHacker.net - Spletna stran ElHacker.net je objavila poročilo o hrošču, s pomočjo katerega lahko napadalec enostavno pridobi dostop do vsakega GMail računa.

Hrošč je bil odkrit 14. oktobra letos, štiri dni kasneje pa že popravljen. Ker je hrošč omogočal dostop do kateregakoli GMail računa, so pri ElHackerju z objavo počakali dokler napaka ni bila popolnoma odpravljena.

Na spletni strani se nahaja podroben opis zlorabe, za katero je napadalec potreboval le spletni brskalnik (npr. Internet Explorer). Za razliko od zlorabe, ki je bila odkrita lansko leto, pa pri tej ni potrebna kraja piškotka, zato je hrošč še bolj nevaren.

Pri ElHacker.net so mnenja, da je hrošč posledica napake v zasnovi GMaila. Če to drži, se v GMailu morda skriva še več napak in verjetno je le vprašanje časa, kdaj bodo odkrite.

Pustimo se presenetiti.

The inquirer -

To, da se v Internet Explorerju skriva takšna in drugačna golazen, je znano dejstvo. Večinoma gre za razne buffer overflow situacije in varnostne luknje, ki pa jih Microsoft kaj hitro pokrpa. Torkrat pa so na spletu odkrili hrošč, ki pravzaprav to ni, temveč je bolj kot ne zanimivost. Ena sama vrstica <input type crash> namreč povzroči, da se Internet Explorer sesuje. Prav tako se vam utegne sesuti tudi Outlook Express, če boste prebirali HTML pošto z dotično vrstico. Besedica crash pravzaprav niti ni odločujočega pomena, saj se celotna stvar ponovi tudi če vpišete karkoli drugega. Klik!

Dodatek: Nadobudni forumaši so zadevo odkrili že nekaj dni nazaj. ;)

Vnunet - Pri vsesplošnem ljubljenkču javnosti (ter delničarjev), Microsoftu, so potrdili, da 'poštni strežnik' (zelo zelo skromno rečeno) Exchange 2000 ne bo deloval na prihajajoči platformi operacijskih sistemov .Net.

.Net pač ne predstavlja zgolj melodičnega 'web services', vendar korenito spremenjeno zasnovo, zatorej je nekompatibilnost nekako razumljiva. Kakorkoli, .Net verzija izMenjalnice bo delovala na Luknju™ 2000 SP3. Klik!

Vnunet - 'Varnostniki' so opozorili na varnostno luknjo, ki nastane ob sprotnem poganjanju omenjenih programov na istem računalniku.

Namreč, Exchange 2000 prejme sporočilo in ga posreduje protivirusniku v pregled - če je katerakoli priponka 'sumljiva', se sporočilo vrne ('bounca'), skupaj s sporočilom o napaki, iz katerega pa je razvidna tudi pot do naslovljenčevega inbox-a.

Ker popravek še ni na voljo, je priporočeno onemogočenje obveščanja o napakah. Klik!

Linux Today - Hehe, odkrili so novega hrošča v Linux jedru. Gre za to, da se uptime števec (ki kaže koliko časa je minilo od zadnjega reseta) obrne po 497 dneh spet na ničlo.
Če obstaja pod Windowsi podoben bug, ga seveda nikoli ne bomo mogli opaziti, ker se bodo sesuli mnogo prej :). Če me spomin ne vara je trajalo skoraj dve leti, preden so ugotovili, da se Windows95 avtomatično sesujejo po 47 dneh.

več strani - Pojavil se je že prvi hrošček v novi verziji Microsoftovega spletnega brkljalnika, Internet Explorerja 6 beta. Ta hrošč lahko povzroči praznino v prejetih e-poštah, tako da e-pošta nima zadeve (Subject) ali teksta v e-pošti.
Uporabniki so imeli težave predvsem pri sprejemanju e-pošte preko programov Outlook 2000 in Outlook 98 in v manjši meri preko Outlook Express. Problem pa se očitno pojavi takrat, ko dobijo uporabniki, ki imajo instaliran IE 6 na njihovih računalnikih, e-pošto z drugih e-poštnih programov, kot je Netscape 4.
In kako popraviti to napako? Uradnih (se pravi od Microsofta) navodil še ni, pojavila pa se je neuradna stran, in sicer tukaj, ki vsebuje navodila, kako se rešiti tega hrošča.

več strani - Samo en dan po enem odkritem hroščku, o katerem smo poročali že včeraj, so danes odkrili še eno varnostno luknjo v Microsoftovem spletnem brkljalniku Internet Explorerju.
Varnostna luknja obstaja v verzijah Internet Explorerja 5.01 in 5.5. Ker so HTML e-pošte pravzaprav spletne strani, jih lahko IE pretvori in odpira binarne priponke na takšen način, ki je primeren za določen MIME tip. Vendar pa obstaja luknja v načinu procesiranja, ki je značilen za nekatere nenavadne MIME tipe. Posledica tega je, da Internet Explorer potem avtomatično odpre HTML e-poštno priponko, ki lahko vsebuje kakšno zlonamerno programsko kodo.
Za tiste, ki ne vedo; MIME je Internet standard za kodiranje binarnih datotek kot e-poštnih priponk.
Več informacij si poglejte na Microsoftovem Security Bulletin tukaj. Microsoft je že razvil popravek, ki ga lahko dol-povlečete z njihove spletne strani, in sicer tukaj. Microsoft je tudi opozoril, da je priporočljivo, da uporabniki Internet Explorerja dol-povlečejo in...

MSNBC - Odkrili so nov hrošč v Microsoftovem brkljalniku Internet Explorerju, ki omogoča hekerjem, da lahko preberejo e-pošto in datoteke na prizadetem računalniku.
Hrošč se lahko samo aktivira, če uporabnik pri surfanju na Internet Explorerju 5 naloži spletno stran, ki vsebuje posebno zlonamerno kodo. Prav tako mora uporabnik uporabljati Microsoft Exchange 2000 server, da se hrošč pojavi.
Rizik hrošča je ocenjen kot visok, vendar pa lahko rizik omilimo, če onesposobimo Active Scripting v brkljalniku.

ActiveWin - Microsoft je končno objavil uradno stran, na kateri si lahko dol-povlečete beta verzijo Microsoftovega brkljalnika Internet Explorerja 6, in sicer tukaj. Ta link je povezava do strani, kjer so vse informacije o novi verziji Internet Explorerja, vključno z povezavami do datotek za dol-vleko.