Google - Google in Microsoft sta se spet zapletla v besedno vojno glede razkrivanja nezakrpanih ranljivosti. V Mountain Viewu že leta zagovarjajo pristop, da je treba javljene ranljivosti zakrpati takoj ali najpozneje v sedmih dneh, kadar se aktivno izrabljajo, medtem ko se Microsoftu ne mudi tako zelo.

Google je pred poldrugim tednom (21. oktobra) Microsoft in Adobe obvestil, da v Flashu in jedru Windows obstajata kritični ranljivosti. Adobe je hitro reagiral in 26. oktobra luknjo zakrpal v posodobitvi za Flash, Microsoft pa ne. Ker je ranljivost resna, saj omogoča eskalacijo privilegijev pri uporabi Chroma in s tem pobeg iz varnega peskovnika, je Google včeraj javno objavil podrobnosti o ranljivosti. S tem želi pritisniti na Microsoft, da ta čim hitreje izdela...

Reuters - NSA si prizadeva popraviti močno načet ugled, zato so razkrili nekaj podatkov, s katerimi želijo utišati govorice, da se molče sedijo na ranljivostih in jih izkoriščajo. Dejali so, da proizvajalcem posredujejo podatke o 91 odstotkih ranljivosti, za katere izvedo pri svojem delu. A v resnici to ne pomeni kaj dosti.

Reuters je že predlani pisal, da je NSA največji kupec informacij o nezakrpanih ranljivostih v programski opremi. Nekaj jih odkrijejo tudi sami, poleg tega pa uporabljajo tudi druge taktike neposrednega prisluškovanja, na primer neposredno z optičnih kablov ali vgrajevanje strojne ter nameščanje programske opreme za prestrezanje podatkov. Včasih tudi plačajo kakšnemu podjetju, da v svoje programe vgradi ranljivost,

ZDNet - Znano je, da Microsoft redno objavlja poročila in podatke o ranljivosti svoje programske opreme, manj ljudi pa ve, da to počno tudi za programe tretjih proizvajalcev. V programu MSVR (Microsoft Vulnerability Research), ki teče že od leta 2008, redno prijavljajo napake tretjim proizvajalcem, letos pa so spremenili tudi politiko MSRC-ja (Microsoft Security Response Center), tako da zanje občasno izdajajo tudi varnostna priporočila.

Pri tem so zelo produktivni. V zadnjem letu, torej od julija 2010, so odkrili 109 ranljivosti v programski opremi tretjih proizvajalcev in jim to diskretno javili. Samo avgusta letos so odkrili kritične ranljivosti v WordPressu in Safariju, pretekli mesec pa v Google Picasi in Facebooku. Skupno so v zadnjem...

Slashdot - Raziskovalci iz francoskega VUPEN-a so objavili, da so odkrili resno ranljivost v Googlovem brskalniku Chrome, ki omogoča zaobiti vse varnostne mehanizme (ASLR, DEP in Chromov peskovnik) ter tiho (to pomeni, da se brskalnik ne sesuje po izvršitvi) izrabiti neobjavljeno (0-day) ranljivost za izvedbo zlobne kode. Ranljivost učinkuje na vseh operacijskih sistemih Windows, ne glede na verzijo ali bitnost. Podrobnosti, razumljivo, javno niso razkrili.

Ranljivost obstoji tudi v najnovejši verziji brskalnika Chrome 11.0.696.65 na Windows 7 SP1. Njeno delovanje so prikazali v spodaj priloženem videoposnetku. Vidimo, da se po obisku posebej prilagojene spletne strani z oddaljene lokacije na računalnik prenese zunanja koda (konkretno Računalo)...

ComputerWorld - Microsoft je že pred časom napovedal spremembo politike v MSRC-ju (Microsoft Security Response Center), po kateri bodo objavljali tudi podatke o ranljivosti v programih tretjih proizvajalcev, ki tečejo pod Windows. Prva sta si to prislužila brskalnika Chrome in Opera, ko je Microsoft v varnostnem priporočilu (security advisory) opozoril na ranljivosti v nezakrpanih verzijah. Proizvajalca sta opisane ranljivosti sicer odpravila že lani oktobra oziroma decembra.

To je prvi primer, da je Microsoft izdal varnostno priporočilo zavoljo varnostne ranljivosti v programu kakšnega drugega proizvajalca. To bo odslej redna praksa, pojasnjujejo v MSRC-ju, pri čemer pa bodo vsakokrat pred objavo...

Schneier.com - Thai Duong in Jualiano Rizzo, varnostna raziskovalca, ki sta pred enim letom odkrila resno napako v storitvi Flickr sta na konferenci Ekoparty pred kratkim razkrila novo resno ranljivost, tokrat v šifriranju v ASP.NET.

Duong in Rizzo sta napad prikazala s programom POET, ki implementira tim. Padding Oracle Attack, ki je bil prvič predstavljen na konferenci Eurocrypt 2002.

Gre za napad na CBC način bločnega šifriranja. S pomočjo padding napada, ki izkorišča dejstvo, da je začetke ali konce npr. uradnih sporočil oziroma podatke, ki so potrebni za zapolnitev zadnjega bloka v CBC šifriranem sporočilu pogosto mogoče uganiti. S pomočjo tovrstnega ugibanja in dešifriranja uganjenega koščka sporočila je nato mogoče po koščkih odkriti oziroma dešifrirati celotno sporočilo.

Podrobnosti o napadu in ranljivosti je na svoje blogu opisal tudi Scott Gu's (prvi prispevek, drugi prispevek in tretji prispevek), gre pa za težavo v implementaciji AES šifriranja, ki je namenjeno zaščiti sejnih...

CNet - Microsoft in Adobe sta na varnostni konferenci Black Hat, ki te dni teče v Las Vegasu, objavila, da bo Apple sprejel Microsoftov model informiranja o varnostnih ranljivostih v svoji programski opremi proizvajalcev programske zaščite pred izidom popravkov. Microsoft je program MAPP (Microsoft Active Protections Program) uvedel leta 2008 in od takrat proizvajalcem poroča o varnostnih luknjah pred uradno izdajo popravka, tako da lahko ti pripravijo ustrezno zaščito že prej. Microsoft ocenjuje, da so s tem zmanjšali okno ranljivosti do 75 odstotkov.

Adobe se je zato odločil, da bo ranljivosti v svojih programih istim proizvajalcem razkrival na enak način. Uporabljali bodo enak format, enak...

TG Daily - Secunia je objavila polletno poročilo (PDF-datoteka) o ranljivostih v izdelkih različnih proizvajalcev, ki so bile odkrite letos. Neslavno prvo mesto je pripadlo Applu, a to ni edina plat medalje.

Deset proizvajalcev z največ ranljivostmi je odgovornih za 30 odstotkov vseh odkritih ranljivosti. Da bi dobili zgodovinski pregled, so pri Secunii teh deset preučili za nazaj do leta 2005 in narisali graf. Ugotovili so, da so bili na prvih treh mestih ves čas Oracle, Apple in Microsoft, le nekoliko so se izmenjevali v vodstvo. Letos vodečemu Applu sledi Oracle, tretji je Microsoft. Zanimivo je, da povečanemu vlaganju v varnost navkljub nobeno izmed teh podjetij ni uspelo zmanjšati števila odkritih ranljivosti - nasprotno, krepko je raslo.

Druga plat medalje pa pravi, da je večina Applovih ranljivosti bolj teoretične...

Slashdot - Mnogokrat pišemo o tako imenovanih zero day ranljivostih programov, pri čemer se vedno obregamo na urnost proizvajalcev pri pripravi popravkov, redko pa se govori o ekonomski vrednosti teh ranljivosti. Kot so pokazali zadnji napadi, so zero day ranljivosti dragocene tako za napadalce kot tudi obrambo.

Kot pišejo v zanimivem članku na Net Security, je treba za odkritje kakšne kvalitetne luknje žrtvovati približno tri mesece trdega dela hekerjev. Ti zato na podzemnih trgih ranljivosti, ki so se razcveteli v zadnjem času, zanje zahtevajo več sto tisoč dolarjev. Na njih so poleg zlikovcev dejavne tudi vladne agencije, ki lahko cene navijejo tudi milijona dolarjev. Obstaja pa še beli trg, kjer sodelujejo podjetja, kot so VeriSign, TippingPoint in Google, ki kupujejo zero day ranljivosti z namenom pokrpati svoje izdelke,...

Slashdot - Pri Internet Security Systems so objavili novo ranljivost v Sendmail strežniku. Zloraba ranljivosti omogoča pridobitev nadzora nad računalnikom, na katerem teče Sendmail. Uradni popravek pa je že na voljo. Odzvale so se tudi nekatere distribucije Linuxa in izdale svoje interne popravke. Čeprav exploit uradno še ni "v divjini", proizvajalec svetuje čimprejšnjo namestitev popravka oz. nadgradnjo.

Na Microsoftovi strani pa spet nič novega. Odkritih je bilo namreč nekaj novih ranljivosti v brskalniku Internet Explorer:
- ranljivost "grasshopper"
- zloraba klica "createTextRange()" methode
- zloraba objavljena na Full-disclosure poštnem seznamu

Microsoft je preko Microsoft Security Response Center Blog že podal uradno izjavo.
US-CERT kot začasno rešitev priporoča izklop Active Scripting-a.

H. D. Moore pa je objavil skripto za testiranje in iskanje novih ranljivosti v brskalnikih. Kot pravi sam: "Preiskusilo jo je samo nekaj uporabnikov z brskalniki Firefox, Opera, Safari,...