TheNextWeb - Ko je januarja z velikim pompom izšla stran Mega, so bili odzivi precej mešani. Nekateri so nov digital locker, kjer je vsebina šifrirana in zato nedosegljiva vsem razen lastniku, pohvalili, drugi so tarnali nad številnimi ranljivostmi. Ustanovitelj Kim Dotcom je svojo stvaritev vzel v bran in dejal, da njihova implementacija ostaja nezlomljiva in razpisal nagrado 10.000 evrov za vsako večjo ranljivost, ki jo odkrijemo.

Te so razdelili v šest razredov od najresnejših do zgolj teoretično uporabnih. Do danes je bilo odkritih že sedem ranljivosti, ki so jih medtem že popravili in izplačali prve nagrade. Od tega je ena ranljivost četrtega razreda, tri tretjega, ena drugega in dve prvega. Dotcom je resno mislil z najavo nagrajevanja odkritih ranljivosti, saj so prve izplačila že...

ZDNet - Znano je, da Microsoft redno objavlja poročila in podatke o ranljivosti svoje programske opreme, manj ljudi pa ve, da to počno tudi za programe tretjih proizvajalcev. V programu MSVR (Microsoft Vulnerability Research), ki teče že od leta 2008, redno prijavljajo napake tretjim proizvajalcem, letos pa so spremenili tudi politiko MSRC-ja (Microsoft Security Response Center), tako da zanje občasno izdajajo tudi varnostna priporočila.

Pri tem so zelo produktivni. V zadnjem letu, torej od julija 2010, so odkrili 109 ranljivosti v programski opremi tretjih proizvajalcev in jim to diskretno javili. Samo avgusta letos so odkrili kritične ranljivosti v WordPressu in Safariju, pretekli mesec pa v Google Picasi in Facebooku. Skupno so v zadnjem...

Slashdot - Od sobote do četrtka je v Dallasu potekala konferenca TakeDownCon 2011, kjer raziskovalci predstavljajo odkrite ranljivosti v sistemih ter razpravljajo o izboljšavah in pristopu k večji varnosti. Za sredo je bila napovedana tudi predstavitev varnostnih pomanjkljivosti v Siemensovih industrijskih kontrolnih procesih SCADA (ki se uporabljajo za nadzor in krmiljenje industrijskih procesov, recimo zloglasnih centrifug, ki jih je prizadel Stuxnet). Pripravljala sta jo Brian Meixell in Dillon Beresford iz NSS Labs, pa sta se v zadnjem trenutku odločila, da jo zaradi prevelike nevarnosti odpovesta.

Meixell in Beresford poudarjata, da jima ni nihče grozil ali na vrata pošiljal odvetnikov. O odkritih ranljivostih sta razpravljala s Siemensom in ameriško Službo za domovinsko varnost...

ComputerWorld - Microsoft je že pred časom napovedal spremembo politike v MSRC-ju (Microsoft Security Response Center), po kateri bodo objavljali tudi podatke o ranljivosti v programih tretjih proizvajalcev, ki tečejo pod Windows. Prva sta si to prislužila brskalnika Chrome in Opera, ko je Microsoft v varnostnem priporočilu (security advisory) opozoril na ranljivosti v nezakrpanih verzijah. Proizvajalca sta opisane ranljivosti sicer odpravila že lani oktobra oziroma decembra.

To je prvi primer, da je Microsoft izdal varnostno priporočilo zavoljo varnostne ranljivosti v programu kakšnega drugega proizvajalca. To bo odslej redna praksa, pojasnjujejo v MSRC-ju, pri čemer pa bodo vsakokrat pred objavo...

Heise - Francoski VUPEN je odkril ranljivost v norveškem brskalniku Opera, ki omogoča prilagojenim spletnim stranem okužiti računalnike s sistemom Windows. Prizadeti sta zadnja verzija 11.00 kakor tudi prejšnje različice od 10.63 navzdol na Windows 7 in XP SP3.

Problem tiči v datoteki opera.dll, ki ima v delu za procesiranje datotek HTML z velikim številom podrejenih elementov (child elements) hrošča. Prvikrat je nanj opozoril Jordi Chancel v začetku januarja, a je uspel le zrušiti brskalnik. VUPEN pa je uspel hrošč zlorabiti tako, da vrine in izvede zlobno kodo na računalniku. Zato se ranljivost klasificira kot kritična. Popravka še ni.

Heise - Rafal Wojtczuk je odkril ranljivost v Linuxovem jedru, ki omogoča lokalnemu napadalcu izvesti kodo z administratorskimi (root) privilegiji. V svojem članku (PDF) je opisal primer napada na X Server, kjer je razdalja med mejami kopice (heap) in sklada (stack) pri alokaciji pomnilnika lahko zelo majhna, če pomnilnik napolnimo z ustreznimi podatki, denimo pixmap. Nadaljnja zahteva za segment deljenega pomnilnika povzroči, da se ta doda na koncu kopice. Če napadalcu uspe poskrbeti, da X Server pokliče rekurzivno funkcijo, se bo sklad povečal v segment deljenega pomnilnika. S hkratnim pisanjem v zahtevani del deljenega pomnilnika lahko napadalec spremeni vsebino sklada, da vrne naslove, in tako izvede poljubno kodo s polnimi privilegiji.

Joanna Rutkowska pojasnjuje, da je luknja v jedru prisotna vse od izida verzije 2.6, ki je izšla decembra 2003. Rešitev problem je preprosta in sicer uvedba najmanj ene varovalne strani pomnilnika (guard page) med skladom in drugimi področji...

CNet - Microsoft in Adobe sta na varnostni konferenci Black Hat, ki te dni teče v Las Vegasu, objavila, da bo Apple sprejel Microsoftov model informiranja o varnostnih ranljivostih v svoji programski opremi proizvajalcev programske zaščite pred izidom popravkov. Microsoft je program MAPP (Microsoft Active Protections Program) uvedel leta 2008 in od takrat proizvajalcem poroča o varnostnih luknjah pred uradno izdajo popravka, tako da lahko ti pripravijo ustrezno zaščito že prej. Microsoft ocenjuje, da so s tem zmanjšali okno ranljivosti do 75 odstotkov.

Adobe se je zato odločil, da bo ranljivosti v svojih programih istim proizvajalcem razkrival na enak način. Uporabljali bodo enak format, enak...

Slo-Tech - Raziskovalec Mohammad Sohail Ahmad iz podjetja AirTight je odkril ranljivost v protokolu WPA2, ki jo je poimenoval Luknja 196. Ime je dobila po zaporedni številki strani v standardu IEEE 802.11 (revizija iz leta 2007), kjer se skriva ozadje zanjo. Napaka omogoča avtoriziranemu uporabniku omrežja prestrezanje in dešifriranje podatkov drugih uporabnikov na istem omrežju z MITM-napadom. Podrobnosti bodo predstavljene na konferencah Black Hat Arsenal in DEF CON 18, ki bosta potekali prihodnji teden v Las Vegasu.

Zlomljen ni šifrirni algoritem AES, iz katerega je izpeljan WPA2, marveč je zlorabljena pomanjkljivost v implementaciji, ki omogoča prejem prometa z dostopne točke (AP) s skupnim deljenim ključem vsem odjemalcem. WPA2 namreč uporablja dve vrsti ključev: PTK (pairwise transient key), ki je unikaten za vsakega odjemalca, in GTK (group temporal key) za zaščito poslanih podatkov več odjemalcem v omrežju. S PTK je moč zaznati ponarejanje (spoofing) in poneverbo podatkov (data...

Mozilla.org - Mozilla je doslej odkrite ranljivosti v Firefoxu nagrajevala s 500 dolarji, sedaj pa so razpisano nagrado povišali na 3000 dolarjev. Poleg že prej vključenega brskalnika Firefox Web, so odslej zajeti tudi Firefox Mobile in še nekaj novih izdelkov. Odkrivanje neznanih ranljivosti je bilo že prej in še ostaja donosen posel, vreden dosti več od piškavih 500 dolarjev. Četudi vnemar pustimo nelegalne možnosti, ko je prodaja ranljivosti zainteresiranim kupcem, ki bodo za dobro odšteli mnogo več, ostane mnogo legalnih potov, kako iz njih iztržiti čim več. Poleg publicitete, ki so jo prijavitelji deležni od medijev, mnogi na varnostnih luknjah sedijo do raznih tekmovanj v vdiranju, kjer so na voljo lepe nagrade (npr. Pwn2Own). Mozilla upa, da bo z novo politiko prepričala odkritelje ranljivosti, da jih kmalu javijo.

TG Daily - Secunia je objavila polletno poročilo (PDF-datoteka) o ranljivostih v izdelkih različnih proizvajalcev, ki so bile odkrite letos. Neslavno prvo mesto je pripadlo Applu, a to ni edina plat medalje.

Deset proizvajalcev z največ ranljivostmi je odgovornih za 30 odstotkov vseh odkritih ranljivosti. Da bi dobili zgodovinski pregled, so pri Secunii teh deset preučili za nazaj do leta 2005 in narisali graf. Ugotovili so, da so bili na prvih treh mestih ves čas Oracle, Apple in Microsoft, le nekoliko so se izmenjevali v vodstvo. Letos vodečemu Applu sledi Oracle, tretji je Microsoft. Zanimivo je, da povečanemu vlaganju v varnost navkljub nobeno izmed teh podjetij ni uspelo zmanjšati števila odkritih ranljivosti - nasprotno, krepko je raslo.

Druga plat medalje pa pravi, da je večina Applovih ranljivosti bolj teoretične...

Ars Technica - Omenjeni napotek je skorajda že stara lajna računalnikarjev, a kaj ko se ga uporabniki ne držijo. Za poganjanje sistema z administratorskimi pravicami ni pametnih razlogov (še zlasti po uvedbi funkcije Run as), saj se tako morebitna nesnaga bolj neovirano razširi po sistemu. Na BeyondTrust so opravili analizo (PDF), ki te nasvete podkrepi s številkami. Ugotovili so, da pri poganjanju sistema brez administratorskih privilegijev izzveni:

• 90 odstotkov odkritih kritičnih ranljivosti Windows 7
• 100 odstotkov ranljivosti v Microsoft Office iz leta 2009
• 94 odstotkov ranljivosti v vseh verzijah IE in 100 odstotkov ranljivosti v Internet Explorerju 8, oboje iz leta 2009
• 64 odstotkov vseh lani odkritih ranljivosti v Microsoftovih izdelkih.

To pomeni, da si lahko življenje zelo...

CNet - Veliko se govori o varnosti operacijski sistemov, malo manj pa o varnosti programske opreme, ki na na njih teče. Ameriški nacionalni inštitut standardov in tehnologij (NVD) je v okviru podatkovne zbirke ranljivosti objavil študijo, ki kot najbolj ranljivo aplikacijo z odkritima 102 različnima varnostnima luknjama označi Mozillin Firefox (in njegove vtičnike), sledi Adobeov Reader s 45 ranljivostmi in Microsoft Office z 41. Slednji je tudi edini, ki mu je število odkritih varnostnih lukenj uspelo zmanjšati (skoraj za 10%) v primerjavi z letom 2008.

Slashdot - Predvčerajšnjim in včeraj so splet preplavile informacije o novo odkriti ranljivosti v šifrirnih protokolih SSL 3.0+ in TLS 1.0+. Gre za varnostno ranljivost, ki izkorišča napako v "pogajalskem procesu" protokola (tim. renegotiation phase), omogoča pa napade s posrednikom (tim. MITM napade) oziroma napade na HTTPS seje podpisane s certifikatom odjemalca.

Kot poročajo na SSL Shopper (analizo napada je na svojem blogu objavil Ivan Ristić) je težava v tem, da lahko nekdo nadzoruje en del šifrirane povezave pred ponovnim pogajanjem, nekdo drug pa po ponovnem pogajanju oz. izmenjavi sejnega ključa nadzoruje drugi del šifrirane povezave. Napadalec tako lahko odpre povezavo do SSL strežnika, pošlje nekaj podatkov, zahteva ponovno pogajanje in SSL strežniku prične pošiljati podatke, ki prihajajo od žrtve. Spletni strežniki (IIS in Apache) podatke, ki so prišli od napadalca in podatke, ki so prišli od žrtve nato povežejo, posledica česar je, da napadalec lahko SSL strežniku pošlje poljuben...

Slo-Tech - Pri FortConsult so objavili raziskovalni članek z naslovom Practical Onion Hacking: finding the real address of Tor clients. V njem do pokazali, kako je v HTML kodo mogoče vriniti "spletnega hrošča", ki razkrije pravo identiteto obiskovalca (pravi IP naslov). To so storili s pomočjo JavaScripta in Flasha, zaključujejo pa, da je uporaba teh tehnik razmeroma enostavna.

Pri odkriti ranljivosti pa ne gre za ranljivost Tor omrežja, pač pa za ranljivost podpornih programov in programov, ki uporabljajo Tor. Avtorji članka upajo, da bo na podlagi njihove raziskave popravljen podporni program privoxy (ki bo tako zlonamerno kodo sposoben odstranjevati), kot najhitrejšo rešitev pa svetujejo izklop Flasha, Active X, Jave in JavaScripta, uporabo SSL povezav, uporabo tujih DNS strežnikov ...

Samo za paranoike.

Washingtonpost - Microsoft namerava jutri izdati Internet Explorer 7 kot popravek z visoko prioriteto. To pomeni, da bo vse, ki imajo nastavljeno avtomatsko nameščanje popravkov jutri po restartu pričakal svež IE7™.

Ob tem velja omeniti da se je od julija malce povečal odstotek uporabnikov Internet Explorerja kljub veliko na novo odkritih ranljivosti v njem.

Le kako je Microsoftu uspelo v petih letih narediti tako malo.