Slo-Tech - Ta teden je na internetu odjeknila novica, da priljubljen program za prenos podatkov prek protokola torrent uTorrent na računalnike namesti programsko opremo, ki na skrivaj rudari kriptovalute. Izkazalo se je, da sicer ne gre za nameščanje na skrivaj, a lahko ob hitri namestitvi spregledamo kakšno nastavitev in tako manj vešči uporabniki res na disk dobijo nesnago, ki žre procesorske cikle.

Gre za program Epic Scale, katerega namestitev uTorrent ponudi ob instalaciji. Kdor klika le Naprej in ne bere besedila, si ga bo namestil, ker je privzeta možnost namestitev tega programa. Precej manj pa je jasno, kaj natančno Epic Scale počne, razen...

Slo-Tech - BitTorrent, ki skrbi za torrentnega odjemalca uTorrent, je ta teden razburil svoje uporabnike z napovedjo, da bo njihov zelo priljubljen klient odslej vključeval reklame. Uporabnikom se je uTorrent prikupil z majhnostjo in nezahtevnostjo, tako da ga danes uporablja okoli 125 milijonov uporabnikov. To pa je velika uporabniška baza, ki lahko prinese precej denarja.

Trenutno se uTorrent financira z reklamnimi prihodki, ki jih dobi v zameno za uporabnike, ki poleg osnovnega odjemalca namestijo tudi orodno vrstico (toolbar), kar letno prinese med 15 in 20 milijoni dolarjev. Ta znesek pa bi se...

Heise - Le nekaj mesecev po prevzemu Suna Oracle že lomasti. Te dni se je na spletu znašlo elektronsko sporočilo Solarisovim razvijalcem, v katerem jih obvešča o žalostnem koncu OpenSolarisa kot odprtega sistema. Oracle namreč želi iz Solarisa narediti velik poslovni operacijski sistem za svoje stranke, ki že uporabljajo njihove podatkovne baze. OpenSolaris tu zraven ne sodi.

Oracle trenutno zaposluje nove razvijalce Solarisa, medtem ko odprtokodni razvijalci OpenSolarisa ne bodo več prejemali izvorne kode med razvojem, marveč zgolj po večjih izdajah. Doslej je namreč skupnost imela dostop do tako imenovanih prekonočnih gradenj (night build), sedaj pa te prakse ne bo več. Še vedno bodo na voljo posodobitve pod CDDL (pod to licenco bo ostala...

Slashdot - Mnogokrat pišemo o tako imenovanih zero day ranljivostih programov, pri čemer se vedno obregamo na urnost proizvajalcev pri pripravi popravkov, redko pa se govori o ekonomski vrednosti teh ranljivosti. Kot so pokazali zadnji napadi, so zero day ranljivosti dragocene tako za napadalce kot tudi obrambo.

Kot pišejo v zanimivem članku na Net Security, je treba za odkritje kakšne kvalitetne luknje žrtvovati približno tri mesece trdega dela hekerjev. Ti zato na podzemnih trgih ranljivosti, ki so se razcveteli v zadnjem času, zanje zahtevajo več sto tisoč dolarjev. Na njih so poleg zlikovcev dejavne tudi vladne agencije, ki lahko cene navijejo tudi milijona dolarjev. Obstaja pa še beli trg, kjer sodelujejo podjetja, kot so VeriSign, TippingPoint in Google, ki kupujejo zero day ranljivosti z namenom pokrpati svoje izdelke,...

OSNews - Podjetje Nexenta Systems je pripravilo prvo uradno stabilno izdajo operacijskega sistema Nexenta Core Platform. Sistem temelji na Debianu/Ubuntuju, jedro pa je namesto Linuxovega OpenSolarisovo (build 82). Zadeva je trenutno namenjena predvsem bolj "posvečenim" uporabnikom, ki bodo pri strežniških rešitvah zagotovo znali izkoristiti katerega izmed bonbončkov: datotečni sistem ZFS, že v jedro vgrajena podpora CIFS (nadomestek Sambe), paketni sistem APT, virtualizacijski rešitvi zones in brandZ ter še marsikaj. Konec koncev ta operacijski sistem predstavlja temelj Nexentine komercialne rešitve NexentaStor za NAS (network-attached storage). Če ste radovedni in imate na voljo kakšen stroj z vsaj 256MiB RAMa, si lahko sliko ISO pretočite z nam najbližjega zrcala na Portugalskem.

Ker je (Open)Solaris tudi na teh straneh vse preveč v senci Oken in Linuxa, si dovolimo še hiter pregled ostalega dogajanja na tej sceni. Še dve distribuciji, ki ju lahko preizkusite kot "živa" ploščka...

Ars Technica - Kot poroča Ars Technica, je imela na nedavni konferenci SyScan Conference, direktorica podjetja Immunity, Justine Aitel predstavitev z naslovom "The IPO of the 0day".

V predstavitvi je predstavila nekaj zanimivih statistik o tim. 0-day izrabah varnostnih ranljivosti, ki so objavljene na internetu. Izkazalo se je namreč, da od objave 0-day izrabe varnostne ranljivosti do izdaje popravka zanj v povprečju mine 348 dni. Najdaljši odzivni čas je bil po njegovih ugotovitvah 1080 dni (več kot tri leta), najhitrejši pa 99 dni.

Aitelova tudi ugotavlja, da se 0-day izrabe varnostne ranljivosti čedalje bolj usmerjajo v finančni sektor, podjetjem pa priporoča, da zaposlijo ali najamejo hekerje, ki se bodo ukvarjali z varnostjo njihovih sistemov.

Morda pa bi podjetja kakšno izrabo varnostne ranljivosti lahko tudi odkupila?

Slo-Tech - 21.4.1994:
rlogin [hostname] -l -froot
IBM AIX rlogin bypass vulnerability

12.2.2007
telnet -l -froot [hostname]
Sun Solaris 10/11 telnet bypass 0-day

Res je telnet že precej arhaičen in večina uporablja SSH ali telnet over SSL. Fascinantno pa je, da se še vedno lahko odkrije tako trivialne ranljivosti... Pomankljivost je bila odkrita s pomočjo OpenSolaris izvorne kode. Le koliko časa je bila znana le posvečenim krogom?

Več informacij:
SANS DShield

In ko smo že pri 0-day ranljivostih, v javnosti se je pojavil tudi remote exploit, ki izkorišča ranljivost v priljubljenem Torrent klientu uTorrent v1.6 (zadnja različica). Gre pa za prekoračitev na kopici (heap overflow). Uporabniki Windows XP SP2/Vista niso ranljivi.

Slo-Tech - Uporabniki Windows okolij, ki se povezujejo tudi v Linux sisteme, verjetno dobro poznajo odprtokodni SSH in telnet odjemalec Putty. Čeprav gre za zmogljiv program, pa je ena njegovih pomankljivosti v tem, da podatke (tudi o SSH šifrirnih ključih) zapisuje v okenski register.

Ta pomankljivost pa je sedaj odpravljena. Bryan L. Fordham je namreč pripravil mobilno različico Puttya, ki vse podatke zapisuje v datoteke. Putty je sedaj mogoče zagnati iz USB ključa brez strahu, da bi v registru gostujočega Windows sistema ostali kakršnikoli podatki.

Program sicer lahko vsebuje še kakšnega hrošča (kakšen podatek, ki se vseeno zapiše v register), vendar je avtor zaenkrat precej hiter pri odpravi tovrstnih napak. Prilagojeni Putty je na voljo na avtorjevi spletni strani, prav tako pa tudi izvorna koda. Mimogrede, tako predelan Putty je mogoče tudi enostavno povezati v omrežje Tor.

Slo-Tech - Microsoft je v zadnjih dneh izdal nov popravek, ki odpravlja kar nekaj kritičnih pomanjkljivosti. Prav tako se splača nadgraditi vašo namestitev Microsoftove Pisarne (vse verzije), saj zadnji popravki onemogočijo precej zlobnih stvari.

Probleme s samim seboj in z različnimi DNS naslovi pa ima tudi Squid, z malomarnim preverjanjem vhodnih podatkov pa Outlook in Outlook Express.

Namestitev popravkov vsekakor priporočena.

OSNews - Zgodilo se je, kar se je obljubljalo že nekaj mesecev. Sun je namreč objavil izvorno kodo svojega paradnega konja, operacijskega sistema Solaris. Odprtokodna različica (večina izmed 20.000 datotek je pod licenco CDDL) se bo pod imenom OpenSolaris razvijala ločeno od "pravega" Solarisa.

Tisti, ki vas že srbijo prsti, najprej pazljivo preberite opombe ob izdaji, nato pa navalite.