Ars Technica - Pred manj kot dvema tednoma je bila javnosti predstavljena precejšna ranljivost v Microsoftovih operacijskih sistemih Windows, ki izkorišča luknjo v sistemu bližnjic (datotek .lnk) do map oz. datotek. Uradno so prizadeti le Windows 7, Vista in XP SP3, a sta nedvomno med njimi tudi XP SP2 ter Windows 2000. Na uradnem seznamu se nista znašla iz preprostega razloga - Microsoft zanju ne nudi več podpore, zaradi česar ne bosta deležna popravka. Le-tega bomo dobili že v ponedeljek, namesto na bolj običajni 2. torek v mesecu (najbližji je 10. avgusta), ko Microsoft ponavadi svoje uporabnike obdari s popravki. To odločitev so v Redmondu sprejeli, ker so dognali, da je ta varnostna luknja izkoriščena precej pogosto, med drugim v vrsti virusa...

The Register - Če so običajna sporočila o napakah (error messages) dolgočasna, nezanimiva in ne povedo veliko, so na The Registerju našli doslej najizvirnejše sporočilo o napaki. Angleška spletna stran Fish4.co.uk je zbirka malih oglasov za hiše, zaposlitve in avtomobile, ki je bila včeraj zaradi okvare Sunovega Fire E6900 Serverja nedosegljiva. V sporočilu na spletni strani je pisalo: Na žalost je spletna stran fish4 zaradi odpovedi zelo drage komponente Sunove strojne opreme nedosegljiva. Sunov inženir je že v podatkovnem centru, a je pozabil s seboj prinesti nadomestni del. Upamo, da bo Sunov inženir napako uspel popraviti do dvanajste ure. Časovno oceno bomo po potrebi popravili, kakor bo pač napredovalo delo. Ja, še so ljudje s smislom za britanski humor.

The Register - Kot pove že naslov novice, je bila v vstavku za Sunovo Javo za spletne brskalnike odkrita varnostna luknja, ki omogoči izklop varnostnih nastavitev in tako dovoli "pobeg" zlobni kodi iz Javinega peskovnika. Tako prirejena zla koda lahko poškoduje sistemske datoteke, bere poljubne datoteke, jih izvaja, razpošilja ali pa naloži še več škodljvih programov na napaden računalnik in jih izvede.

In ker je izvajalno okolje Java na voljo za različne platforme, ta varnostna luknja ogroža tako sisteme Windows kot tudi Linux, prav tako pa ne izbira spletnih brskalnikov - ogroženi so vsi brskalniki, ki uporabljajo Javanski vstavek, od IE do Firefoxa in Opere. Varnostna luknja je bila odkrita v različicah Jave Runtime 1.4.2_05 ali starejših. Še povezava na izvirno novico, za radovednejše pa še poročilo osebe, ki je varnostno luknjo odkrila. Seveda toplo priporočamo nadgradnjo vstavka, da se boste kar najelegantneje izognili morebitnim težavam.

Arnes - Arnesov center za razreševanje varnostnih incidentov SI-CERT sporoča, da je bila v požarnem zidu ZoneAlarm in drugih produktih podjetja Zone Labs Inc. odkrita varnostna luknja, ki se nanaša na obdelavo SMTP sporočil. Varnostna luknja napadalcu omogoča izklop zaščitnih funkcij, ki jih nudi ZoneAlarm in zagon poljubne programske kode.
Popravki so že na voljo, namestite pa jih tako, da v "Overview -> Preferences" v razdelku "Check for updates" kliknite na "Check for Update". Mimogrede pa lahko nastavite tudi samodejno nameščanje popravkov.
Več informacij:
- SI-CERT 2004-01 / ZoneAlarm SMTP ranljivost
- Zone Labs SMTP Processing Vulnerability

Nauk zgodbe: nalaganje varnostnih popravkov je potrebno za vso programsko opremo.

Slashdot - Včeraj črv, danes luknja. In sicer varnostna luknja v Internet Explorerju. Razmeroma katastrofalna, saj omogoča, da nekomu preko spletne strani ponudite neko datoteko, ki izgleda povsem prijazna, npr. kak PDF dokument, v resnici pa gre za izvedljivo datoteko, ki lahko na uporabnikovem disku počne skoraj vse, torej tudi HudeTraparije™. In seveda je kot ustvarjena za sodelovanje z luknjo, ki omogoča prikazovanje lažnega naslova spletnih strani. Seveda ni odveč, če omenimo, da je Microsoft po šestih tednih še ni uspel popraviti. Za Tomaže je na voljo tudi demonstracija delovanja luknje.

Uporabniki Internet Explorerja, si zdaj sploh še upate namestiti Mozillo, Mozilla Firebird ali Opero?

Microsoft - Microsoft Windows Media Player ponuja možnost uporabe raznih kondomčkov, ki spremenijo vizualni izgled programa. "Kože" sestavlja ponavadi več datotek z grafiko ter XML datoteka v kateri piše, kako naj dotične datoteke razporedi. WMP že vsebuje nekaj takih oblekic, a je zelo lahko sestaviti in distribuirati lastne. Luknja pa se nahaja v tem, kako WMP uporablja te datoteke.

Zlobnež bi za izkoristek te luknje moral sestaviti izvršno datoteko ter jo na sistem "pretihotapiti" v obliki preoblekice za WMP. Da bi se ta datoteka pognala, bi moral Zlobnež sestaviti spletno stran, ki bi to luknjo izkoristila ter jo nič hudega slutečemu uporabniku poslati na e-mail ali pa jo gostovati na strežniku. Popravek se nahaja na Windows Update. WMP9 te luknje nima. Več informacij.

Microsoft - Kot vsi ostali operacijski sistemi, ima tudi Windows svoje jedro, njegove fukncije pa so na splošno upravljanje s spominom ter strojno opremo, določanje procesorskega časa posameznim procesom ter prestrezanje napak. Varnostna luknja se nahaja v načinu, kako jedro pošlje sporočilo o napaki razhroščevalniku (debuggerju). Zlovešči napadalec bi z izkoristkom te luknje lahko pognal poljubno programsko kodo. Da pa bi lahko to luknjo izkoristil, bi moral biti lokalno (ali preko terminalske veze) prijavljen na sistem, zatorej ta varnostna luknja ni kritična, razen če imate nameščen IIS [:D]. Popravek je na voljo na Windows Update. Več o tem.

Microsoft - Microsoft je 9. aprila objavil najdeno napako v svojem VM. VM je Virtual Machine, ki deluje v Win32 okolju. Vključen je v večino različic operacijskih sistemov Windows ter v večini verzij Internet Explorerja. Novo odkrita varnostna luknja se nahaja v modulu ByteCode Verifier, ki preverja če Java applet vsebuje ZlobnoKodo™. Napadalec bi lahko Java applet z ZlobnoKodo™ postavil na spletno stran ali pa nič hudega slutečemu uporabniku poslal po elektronski pošti. Ko pa bi ta dotično stran odprl, bi se pognala koda, ki si jo je napadalec izbral. Popravek je že na voljo na Windows Update.

Windows Update;
Več informacij!

Microsoft - Microsoft je objavil novico o novi varnostni luknji, ki se nahaja v Microsoftovemu Skriptnem Stroju™, ki operacijskemu sistemu omogoča izvajanje skriptne kode napisane v raznih jezikih, kot sta na primer Visual Basic Script in JScript. Napadalec lahko izvede poljubno kodo z uporabnikovimi privilegiji, če uporabnik obišče primerno ustvarjeno spletno stran. Taka stran je lahko gostovana na web strežniku ali celo direktno poslana nič hudega slutečemu uporabniku po elektronski pošti.

Luknja se nahaja v vseh Microsoftovih operacijskih sistemih od vključno Windows 98 naprej.

Popravek se že nahaja na Windows Update. Več informacij.

Microsoft - Microsoft je izdal novo varnostno posodobitev za vse Windows 2000 mašine, na katerih teče njihov IIS strežnik. Zlovešči (Zlobni™) napadalec lahko izkoristi luknjo v dotičnem serverju s pošiljanjem ustrezno formiranega HTML zahtevka in s tem požene kodo po lastni izbiri [>:D]. Natančneje: napaka se nahaja v WebDAV (World Wide Web Distributed Authoring and Versioning protocol), ki je razširitev HTTP protokola, ki omogoča urejanje in upravljanje z datotekami med odjemalci po Netu™. Fix za exploit se že nahaja na Windows Update, več informacij pa na spodnjem naslovu.

Be fast

Več informacij
Windows Update

ZDNet - Hkrati z rastjo uporabe open source programske opreme očitno raste tudi število napak in varnostnih lukenj v njej. Pred kratkim so objavili spisek lukenj v Linuxu, ki bo kmalu tako dolg kot podoben spisek za Windows sisteme, sedaj pa so odkrili luknjo v procesorju za skriptni jezik PHP. Težava je po nevarnosti primerljiva celo z napako, ki je omogočila širjenje črva Code Red na Windows strežnikih, čeprav naj bi bilo napako v PHP precej težje izkoristiti v slabe namene. Zdi pa se, da naj bi v raznih internetnih underground krogih že razvijali črva, ki bi izkoristil to luknjo. Popravek je na voljo z novo verzijo PHP-ja, ogroženih pa je okoli 8 milijonov spletnih strani.