CNET News - Mozilla je že pred časom razpisala program, po katerem so lahko posamezniki zaslužili 500 ameriških zelencev za najdeno varnostno ranljivost, vendar kljub času recesije in krčenju proračunov tudi v IT sektorju to ni spodbudilo resnejšega interesa po iskanju varnostnih ranljivosti. Ko pa so se odločili skladno z izboljšanim stanjem na trgu dela in splošnim stanjem gospodarstva to cifro pomnožiti za šest, torej na tri tisoč dolarjev, so vpodbudili nekoliko resnejši interes.



Ker so trije tisočaki precejšen znesek za dvanajstletnika, je Alex Miller še bolj zastrigel z ušesi kot večina odraslih in se vrgel na delo (nenazadnje, le zakaj bi pomival avtomobile za borih dvajset dolarjev?)....

Slashdot - Mnogokrat pišemo o tako imenovanih zero day ranljivostih programov, pri čemer se vedno obregamo na urnost proizvajalcev pri pripravi popravkov, redko pa se govori o ekonomski vrednosti teh ranljivosti. Kot so pokazali zadnji napadi, so zero day ranljivosti dragocene tako za napadalce kot tudi obrambo.

Kot pišejo v zanimivem članku na Net Security, je treba za odkritje kakšne kvalitetne luknje žrtvovati približno tri mesece trdega dela hekerjev. Ti zato na podzemnih trgih ranljivosti, ki so se razcveteli v zadnjem času, zanje zahtevajo več sto tisoč dolarjev. Na njih so poleg zlikovcev dejavne tudi vladne agencije, ki lahko cene navijejo tudi milijona dolarjev. Obstaja pa še beli trg, kjer sodelujejo podjetja, kot so VeriSign, TippingPoint in Google, ki kupujejo zero day ranljivosti z namenom pokrpati svoje izdelke,...

Ubuntu.si - Statistike kažejo, da v Linux jedru v povprečju vsakih 6 dni odkrijejo potencialne varnostne ranljivosti. Ko je ranljivost v jedru odpravljena, uporabniki prejmejo posodobitveni paketek jedra in ga namestijo, nato pa je potreben ponovni zagon sistema. Ponovni zagon sistema pri posodabljanju ostalih delov sistema pod Linuxom praviloma ni potreben, je pa posodabljanje jedra ravno zaradi potrebe po ponovnem zagonu računalnika za marsikoga precej nadležno.

Težavo pa so sedaj v veliki meri rešili pri podjetju Ksplice, kjer so razvili odprtokodno rešitev Ksplice, ki omogoča posodobitve Linux jedra brez potrebe po ponovnem zagonu sistema.

Ksplice omogoča neopazno posodobitev Linux jedra med samim delovanjem sistema (in med tem, ko tečejo aplikacije), vendar pa sistem deluje le za posodobitve ki ne zahtevajo semantičnih sprememb v podatkovnih strukturah Linux jedra. Kljub temu je takih posodobitev večina, saj je analiza varnostnih posodobitev jedra v obdobju od maja 2005 do maja 2008...

Mozilla.org - Kmalu po izidu Firefox 3 so na TippingPoint objavili informacijo (ranljivost ZDI-CAN-349), da so preko programa Zero Day Initiative nekaj ur po uradnem izidu Firefoxa dobili informacijo o visoko kritični ranljivosti tega spletnega brskalnika.

Ranljivost v Firefox 3.0 in 2.x omogoča zagon poljubne programske kode, potrebno pa je minimalno "sodelovanje" uporabnika (klik na povezavo ali obisk okužene spletne strani). Pri TippingPoint so o ranljivosti nemudoma obvestili razvijalce Firefoxa, ti pa pravijo, da na odpravi napake že intenzivno delajo ter poudarjajo da izraba varnostne ranljivosti še ni javno dostopna.

Še ni. Prav tako pa tudi popravek še ni na voljo.

Na novico nas je opozoril InExtremis.

Slashdot - Kot poročajo Slashdot in številni drugi mediji, so v Adobe Flash predvajalniku odkrili varnostno ranljivost, ki jo zlonamerni napadalci izkoriščajo v velikem obsegu. Zloraba (exploit) naj bi bila že vključena v kitajsko različico zbirke napadalskih orodij MPack exploit kit, zlonamerna koda pa je okužila že preko 20.000 spletnih strani.

Ob obisku okužene strani zlonamerna koda izrabi ranljivost predvajalnika Flash in prevzame popoln nadzor nad računalnikom.

Analiza Marka Dowda je pokazala, da gre za izkoriščanje ranljivosti CVE-2007-0071 v Flash predvajalniku 9.0.124.0, zato je priporočena čimprejšnja nadgradnja oz. posodobitev vašega predvajalnika.

Schneier.com - Ko zaposleni v Microsoftu odkrijejo ali izvedo za varnostne ranljivosti v Microsoftovi programski opremi, razvijejo varnostne posodobitve, ki jih preko storitve Windows Update pošljejo svojim uporabnikom.

Marsikateri potencialni napadalec se sprašuje, ali bi bilo mogoče iz teh varnostnih posodobitev z reverznim inženiringom samodejno razviti zlonamerno kodo, ki bi omogočila izrabo varnostne ranljivosti?

Vprašanje so si zastavili tudi varnostni strokovnjaki David Brumley, Dawn Song in Jiang Zheng ter odkrili, da to vsekakor je mogoče.

V članku Automatic Patch-Based Exploit Generation is Possible: Techniques and Implications so opisali nekaj tehnik, s katerimi je mogoče iz varnostne posodobitve, posredovane preko Microsoftove storitve Windows Update, samodejno zgenerirati zlonamerno kodo (tim. exploit).

Odkritje kaže na to, da bo napadalec z ustreznim orodjem lahko samo počakal na novo varnostno posodobitev, nekaj sekund nato pa bo že imel zlonamerni program, ki ga bo lahko...

Ars Technica - Kot poroča Ars Technica, je imela na nedavni konferenci SyScan Conference, direktorica podjetja Immunity, Justine Aitel predstavitev z naslovom "The IPO of the 0day".

V predstavitvi je predstavila nekaj zanimivih statistik o tim. 0-day izrabah varnostnih ranljivosti, ki so objavljene na internetu. Izkazalo se je namreč, da od objave 0-day izrabe varnostne ranljivosti do izdaje popravka zanj v povprečju mine 348 dni. Najdaljši odzivni čas je bil po njegovih ugotovitvah 1080 dni (več kot tri leta), najhitrejši pa 99 dni.

Aitelova tudi ugotavlja, da se 0-day izrabe varnostne ranljivosti čedalje bolj usmerjajo v finančni sektor, podjetjem pa priporoča, da zaposlijo ali najamejo hekerje, ki se bodo ukvarjali z varnostjo njihovih sistemov.

Morda pa bi podjetja kakšno izrabo varnostne ranljivosti lahko tudi odkupila?

Ars Technica - Vsi, ki sledite svetovnemu dogajanju, najbrž veste, da je pri letošnjem prestavljanju ure na poletni čas v ZDA prišlo do sprememb. Oblastniki so namreč dognali, da bi se bolj izplačalo uro prestaviti naprej 3 tedne prej*, kot je to v navadi, saj naj bi s tem prihranili še več energije. Očitno so se nekje v svojih izračunih rahlo ušteli, saj energetska podjetja poročajo, da niso opazili nikakršnih sprememb, je pa bilo zato povzročeno toliko več zmede -- precej naprav z urami, ki bi naj bile pripravljene na drugačen toletni prehod, se je kljub vsemu trudu narobe odzvalo, poroča Ars Technica.

* Namesto 1. nedelje v aprilu, po novem prestavljajo uro že drugo nedeljo v marcu. V jeseni bodo namesto zadnje nedelje v oktobru uro prestavili šele prvo nedeljo v novembru. - več...

Slo-Tech - 21.4.1994:
rlogin [hostname] -l -froot
IBM AIX rlogin bypass vulnerability

12.2.2007
telnet -l -froot [hostname]
Sun Solaris 10/11 telnet bypass 0-day

Res je telnet že precej arhaičen in večina uporablja SSH ali telnet over SSL. Fascinantno pa je, da se še vedno lahko odkrije tako trivialne ranljivosti... Pomankljivost je bila odkrita s pomočjo OpenSolaris izvorne kode. Le koliko časa je bila znana le posvečenim krogom?

Več informacij:
SANS DShield

In ko smo že pri 0-day ranljivostih, v javnosti se je pojavil tudi remote exploit, ki izkorišča ranljivost v priljubljenem Torrent klientu uTorrent v1.6 (zadnja različica). Gre pa za prekoračitev na kopici (heap overflow). Uporabniki Windows XP SP2/Vista niso ranljivi.

Schneier.com - Ameriški študent Christopher Soghoian je na svoji spletni strani objavil The Northwest Airlines Boarding Pass Generator. Gre za spletno stran, ki zgenerira kontrolni kupon za vstop na letalo (boarding pass), s pomočjo katerega se potnik lahko izogne obsežnejšemu varnostnemu preverjanju. Da, celo zloglasnemu seznamu nezaželjenih letalskih potnikov (tim. no-fly list).

Podobno varnostno ranljivost v letalskem prometu so lansko leto odkrili pri Slate magazine.

Toliko o visokotehnološki varnosti v letalskem prometu...

Security Focus Online - Na Immunity, Inc. so objavili članek z naslovom Microsoft Windows: A lower Total Cost of 0wnership*, ki se poglablja v zahtevnost vdiranja v računalnike z različnimi operacijskimi sistemi in ugotavlja, da je še vedno daleč najcenejše vdiranje v Windows, vendar tudi ugotavljajo, da se stanje počasi izboljšuje.

* 0wnership izhaja iz besede 0wned, ki označuje računalniške sisteme, nad katerimi ima nadzor nekdo, ki ni legitimno prišel do takega nadzora.