Slo-Tech - V novi verziji Mozillinega brskalnika Firefox, ki nosi že oznako 95, so uvedli nov peskovnik za boljšo zaščito računalnika med brskanjem po spletu. Novi peskovnik (sandboxing) se imenuje RLBox in je odslej na voljo na vseh platformah. Prve delujoče verzije RLBoxa so uporabniki macOS in Linuxa preizkusili že lani.

V blogu na Mozillinih spletnih straneh je Bobby Holley pojasnil, kako RLBox, ki so ga razvili v sodelovanju z Univerzo v Kaliforniji San Diego in Univerzo v Teksasu, ločuje posamezne komponente brskalnika: Graphite (izris), Hunspell (črkovalnik), Ogg (večpredstavnost), Expat (XML) in Woff2 (spletne pisave). Sistem sedaj obravnava navedene module kot ne-varno kodo, zato tudi nove ranljivosti (zero-day) v sami kodi komponent ne bi smele okrniti varnosti Firefoxa. Mozilla je tako prepričana o tem, da so v shemo nagrajevanja odkritih ranljivosti (big bounty) dodali postavko pobega iz peskovnika, četudi sploh ne gre za globljo ranljivost. Peskovniki (sandboxes) v brskalnikih...

Trend Micro - V Vancouvru se je končalo vsakoletno hekersko tekmovanje Pwn2Own, na katerem so največji svetovni strokovnjaki tri dni iskali ranljivosti v moderni programski opremi: od navideznih strojev do brskalnikov in poslovnih okolij. Letošnji nagradi sklad je bil rekorden, podobno pa so bili rekordni tudi rezultati tekmovalcev.

Že prvi dan so organizatorji razdelili 233.000 dolarjev za pet uspešnih vdorov in enega deloma uspešnega. Ekipa 360 Security je uporabila prekoračitev kopice v jpeg2000, da je v Windows prek Adobe Readerja izvedla oddaljeno kodo. Samuel Groß in Niklas Baumstark sta na macu v Safariju uspela izkoristiti nekaj hroščev in dobiti višje privilegije v macOS. Deloma je bila luknja že zakrpana, a sta vseeno uspelo na touch bar zapisati sporočilo. Ekipa...

Google - Google in Microsoft sta se spet zapletla v besedno vojno glede razkrivanja nezakrpanih ranljivosti. V Mountain Viewu že leta zagovarjajo pristop, da je treba javljene ranljivosti zakrpati takoj ali najpozneje v sedmih dneh, kadar se aktivno izrabljajo, medtem ko se Microsoftu ne mudi tako zelo.

Google je pred poldrugim tednom (21. oktobra) Microsoft in Adobe obvestil, da v Flashu in jedru Windows obstajata kritični ranljivosti. Adobe je hitro reagiral in 26. oktobra luknjo zakrpal v posodobitvi za Flash, Microsoft pa ne. Ker je ranljivost resna, saj omogoča eskalacijo privilegijev pri uporabi Chroma in s tem pobeg iz varnega peskovnika, je Google včeraj javno objavil podrobnosti o ranljivosti. S tem želi pritisniti na Microsoft, da ta čim hitreje izdela...

ComputerWorld - V Vancouvru poteka že sedmi Pwn2Own, kakor se imenuje vsakoletno tekmovanje v iskanju ranljivosti in njihovi uporabi za vdor v priljubljene operacijske sisteme, brskalnike in mobilne naprave. Letos se ponovno vrača Google, ki je lani sponzorstvo odpovedal, ker spremenjena pravila niso zahtevala razkritja uporabljenih ranljivosti proizvajalcu. Letos je spet vse po starem, saj morajo tekmovalci razkriti vse detajle o ranljivosti, da si prislužijo nagrado (tehnično gledano jim ZDI ranljivost odkupi). Nagradni sklad ni skromen in znaša dobrega pol milijona dolarjev.

Prvi dan tekmovanja so že padle največje zvezde. Francosko podjetje VUPEN, ki je vodilno v iskanju in žal tudi trgovanju...

Krebs On Security - V četrtek pozno zvečer so mednarodni centri za posredovanje pri omrežni incidentih (CERT) na spletu objavili opozorilo, da Java vsebuje nerazkrito in nezakrpano ranljivost (0-day). Na spletu že obstajajo orodja, ki omenjeno ranljivost izkoriščajo, zato so do razrešitve situacije priporočili odstranitev ali onemogočitev Jave v brskalnikih. Ameriški CERT redno objavlja podobna opozorila, a je redko tako neposreden, da priporoči odstranitev programa.

V Javi 7 Update 10 in vseh prejšnjih verzijah je namreč luknja, ki napadalcu omogoča izvedbo poljubne kode na oddaljenem računalniku, s čimer lahko prevzame nadzor nad njim. Ranljivost je prisotna v Oraclovem Java Runtime...

Forbes - Podjetje Accuvant je konec tedna objavilo rezultate obsežne študije, v kateri so raziskovali varnost treh najpriljubljenejših spletnih brskalnikov: Firefoxa, Internet Explorerja in Chroma. Rezultat je 140 strani dolgo poročilo, v katerem je podrobno predstavljena metodologija testiranja in izsledki. Ugotovili so, da je najvarnejši Chrome, tik za petami pa mu sledi Internet Explorer. Firefox je daleč zadaj.

Najprej povejmo, da je raziskavo financiral Google. Accuvant in Gogole poudarjata, da je bila izvedena neodvisno in brez pritiskov, ne glede na ta vir denarja. Kljub temu je rezultat zelo prikladen, zato je Google javno izpostavil rezultate. Toda ko se med seboj pomerita IE in Firefox, je rezultat brez vsakršnega dvoma objektiven. In IE je s Firefoxom pometel.

Accuvant je pojasnil, da