Slashdot - V prejšnji teden izdani novi verziji skriptnega jezika PHP 5.3.7 so odkrili resno ranljivost, zaradi katere avtorji priporočajo, da z nadgradnjo počakamo. Čeprav je bila inačica 5.3.7 izdana prav z namenom počistiti zalego hroščev, kar ji je dobro uspelo, je prinesla novega.

Odkrili so namreč napako v kriptografski funkciji crypt(). Kadar ta uporablja kodirni algoritem MD5, potem vrača enostavno le vrednost uporabljenega salta. Pri uporabi drugih algoritmov, recimo Blowfish ali DES, težav ni. Napaka je bila odkrita in javljena v sredo, dan pred izidom nove verzije. Razvijalci so problem že diagnosticirali in izdelali popravek, ki bo vključen v PHP 5.3.8, ki bo izšel kmalu. Do takrat pa uporabnikom priporočajo uporabo PHP 5.3.6.

PHP-Nuke - Kratko in jedrnato: izšla je nova verzija najbolj popularnega odprtokodnega stvarka za forume na spletnih portalih, PHP Nuke, ki se sedaj kiti že z oznako 6.7. Dostopen je vsem članom PHP-Nuke Cluba, vsi ostali pa lahko prosti prenos pričakujemo v naslednjih dneh. Klik!

Microsoft - Kot vsi ostali operacijski sistemi, ima tudi Windows svoje jedro, njegove fukncije pa so na splošno upravljanje s spominom ter strojno opremo, določanje procesorskega časa posameznim procesom ter prestrezanje napak. Varnostna luknja se nahaja v načinu, kako jedro pošlje sporočilo o napaki razhroščevalniku (debuggerju). Zlovešči napadalec bi z izkoristkom te luknje lahko pognal poljubno programsko kodo. Da pa bi lahko to luknjo izkoristil, bi moral biti lokalno (ali preko terminalske veze) prijavljen na sistem, zatorej ta varnostna luknja ni kritična, razen če imate nameščen IIS [:D]. Popravek je na voljo na Windows Update. Več o tem.

Vnunet - Bom kratek. Ljudstvo je odkrilo luknjo v YIM-u, tudi tokrat gre za dokaj splošno "buffer overflow" težavo, kjer ZlobniOsebek™ "piše" kodo v žrtvin računalnik ter nad njim prevzame nadzor. Popravljena verzija programčka je že na voljo -- okrnjena sicer, da bodo inežnirji lahko odpravili napako :]. Klik!

ZDNet - Hkrati z rastjo uporabe open source programske opreme očitno raste tudi število napak in varnostnih lukenj v njej. Pred kratkim so objavili spisek lukenj v Linuxu, ki bo kmalu tako dolg kot podoben spisek za Windows sisteme, sedaj pa so odkrili luknjo v procesorju za skriptni jezik PHP. Težava je po nevarnosti primerljiva celo z napako, ki je omogočila širjenje črva Code Red na Windows strežnikih, čeprav naj bi bilo napako v PHP precej težje izkoristiti v slabe namene. Zdi pa se, da naj bi v raznih internetnih underground krogih že razvijali črva, ki bi izkoristil to luknjo. Popravek je na voljo z novo verzijo PHP-ja, ogroženih pa je okoli 8 milijonov spletnih strani.

The Register - Microsoft je podjetje, ki ne ustvarja samo programskih paketov, ampak tudi malce čudne komentarje. Če smo nekateri pogojno še prenesli Balmerjevo tuljenje, kakšna rakasta rana je Linux, je najbolj svež Microsoftov komentar popolna bedarija. In kako izgleda ta komentar? Kot gotovo že veste, obstajajo na internetu razna zbirališča, kjer ljudje razpravljajo o varnostnih luknjah v M$-jevih programih ali operacijskih sistemih. Problem nastane, ker se na teh zbirališčih ne zadržujejo samo uporabniki, ki hočejo izvedeti, katere luknje je treba zakrpati, ampak tudi taki modeli, ki hočejo izvedeti, katere luknje se lahko najbolje izkoristi za razne exploite, podtikanje trojancev, črvov ali še česa hujšega. Po Microsoftovo, bi morali vsa taka zbirališča zapreti. In kje bodo potem razni uporabniki izvedeli, katere varnostne luknje zakrpati? Namesto, da Microsoft tuli čez ta zbirališča, naj raje že enkrat začnejo pisati programe/operacijske sisteme, ki ne bodo spominjali na (močno naluknjan)...

The Register - Po napadu na Belo hišo, se je Code Red usmeril tudi na strani ameriške vojske. US Department of Defense je bil tako prisiljen (zaradi strahu ali zaradi sramu, da bi tako mogočni vojski kljuboval en sam nepomemben internetni črv? ), da ugasne nekatere strežnike, na katerih so nastanjene različne strani ameriške vojske. Črv izrablja že poznano varnostno luknjo, ki pa je admini niso zakrpali, čeprav je popravek na voljo že vsaj mesec dni. Odgovorni pravijo, da bodo spletne strani nedostopne vsaj toliko časa, dokler leni admini ne bodo zakrpali vseh varnostnih lukenj, ki bi jih Code Red utegnil izkoristiti. Mimogrede: kot vsak virus/črv, ki je dolgo časa na "sceni" je tudi Code Red doživel mutacijo, ki mu je izboljšala nekaj stvari, med drugim tudi sistem razmnoževanja.

CNet - Ker danes ni kakih posebnih Linuxaških novic, sem prisiljen, da se potrudim še na kakem drugem področju. No kljub temu sem našel še eno precej zanimivo novico:
Pojavili so se ponovni varnostni problemi na Yahoo in Hotmailu. Yahoo in Hotmail sta pustila odprto varnostno luknjo, ki se jo lahko izkoristi za precej umazane stvari. To varnostno luknjo se da izkoristiti za izdelavo internet črva. Ta črv sicer ne more povzročiti nobene škode, lahko pa dobesedno zamaši internetne poštne strežnike. Celoten črv deluje na podlagi HTML povezave. Napadalec pošlje žrtvi e-mail, ki vsebuje povezavo (link), ki je v bistvu črv. Če žrtev klikne povezavo, se izvrši HTML koda in črv se pošlje na vse pošiljatelje e-mailov, ki jih imate shranjene v in-boxu. posledica tega je poplava raznih e-mailov in seveda počasnejši internet. Seveda pa stvari niso nikoli tako črne. Ta črv je grožnja bolj na kratek, kot pa na dolgi rok. Če pa se hoče črv aktivirati, pa mora luknja obstajati na strežniku, ki istočasno...

CNet - Pojavil se je nov črv, ki napada Linux sisteme, že tretji v zadnjih nekaj mesecih. Ta črv, znan kot Adore črv, je namenjen kreiranju varnostne luknje na Linux sistemih in pošiljanju informacije o prizadetih sistemih na štiri različne e-mail naslove iz Kitajske in ZDA.
Ko se naseli na sistem, Adore črv nadomesti aplikacijo, znano kot PS (uporabljajo jo administratorji za nadzor nad programi, ki trenutno delujejo na sistemu), s kopijo te aplikacije, ki bo v seznamu trenutno delujočih programov na sistemu prikazala vse programe razen črva. Nato bo črv poslal kopijo nekaterih sistemskih datotek na štiri e-poštne naslove: dva v ZDA in dva na Kitajskem.
SANS (Systems Administration Networking and Security Institute) je izdal program, imenovan "adorefind", ki lahko odkrije, ali je bil sistem okužen z črvom ali ne.