Bug

Tavaly januárban már volt szó a 25 legveszélyesebbnek nyilvánított programozási hibát tartalmazó listáról, amelyet több mint 30 cég és biztonsági szervezet állított össze. Most frissítették a listát, amelynek elkészítését az vezérelte, hogy oktassa a fejlesztőket arra, hogy hogyan óvakodhatnak ezen hibáktól. A frissített lista - amelyet a Cross-site Scripting (XSS) vezet és amelyet a versenyhelyzet (race condition) zár - megtalálható itt.

A hírek szerint az openSUSE 11.2 által szállított GNOME képernyőkímélő-zár nem tölti be maradéktalanul a funkcióját, mert illetéktelenek egyszerűen áthághatják az általa biztosított "védelmet". Olvasói jelzés után a H Security által végzett tesztek igazolták, hogy a képernyőzárral védett desktop munkamenet feloldható jelszó nélkül az < Enter > billentyű lenyomva tartásával. Az < Enter > lenyomva tartása a GNOME képernyőkímélő összeomlását okozza, majd az összeomlás után a desktop néhány másodperc múlva elérhetővé válik.

Egy önmagukat internetes trollokként definiáló csoport - a GNAA - egy régi támadási metódust felhasználva zaklatta a napokban az IRC hálózatok csatornáit. Speciálisan összeállított weboldalak látogatóit vették rá arra, hogy tudtukon kívül IRC parancsokat hajtsanak végre. A támadásban felhasznált sebezhetőség - amely számos gyártó böngésző termékét érintette - 2001-ben bukkant fel. A Cross Protocol Scripting sebezhetőség sikeres kihasználásával a támadók különböző szolgáltatásoknak (például SMTP, NNTP, POP3, IMAP és IRC) küldhettek adatokat azon felhasználók nevében, akik a speciálisan összeállított weboldal(aka)t böngészőjükben megnyitották.

A Kaspersky Lab Security News Service egyik cikke szerint a Microsoft bevallotta, hogy szeptember óta tudott a nemrég befoltozott, a Google és az Adobe ellen indított támadásokban kihasznált Internet Explorer biztonsági sebezhetőségről. A sebezhetőségről Meron Sellen, a BugSec névre hallgató biztonsági vállalat white hat hackere értesítette a Microsoft-ot. Az MSRC-s Jerry Bryant elmondta, hogy a Microsoft tavaly szeptemberben megerősítette, valóban súlyos a sebezhetőség.

A Google alkalmazásában álló Tavis Ormandy egy olyan Windows sebezhetőségről számolt be tegnap a full-disclosure levlistán, amely feltehetően az összes 32 bites x86-os Windows kernel verziót érinti a Windows NT-től kezdve egészen a Windows 7-ig. A sebezhetőség potenciálisan lehetőséget nyújt a privilégiumok nélküli felhasználónak arra, hogy az tetszőleges kódot injektáljon a Windows kernelbe. Ormandy azt állítja, hogy a sebezhetőségről tavaly júniusban értesítette a Microsoft-ot, aki meg is erősítette a biztonsági szakember által megállapítottakat még abban a hónapban. Sajnálatos módon javítás azonban azóta sincs.

Tegnapelőtt a Microsoft elismerte, hogy egy 0day Internet Explorer sebezhetőség volt az egyik vektor, amely mentén támadást indítottak a Google és feltehetően több másik nagyvállalat ellen. A támadássorozatnak már neve is van: Operation Aurora. A szoftvergyártó egy biztonsági figyelmeztetőt is publikált, illetve azt ígérte, hogy a megfelelő minőség-ellenőrzés után a javítást terjeszteni fogja az ügyfelei számára. A vállalat közlésében az szerepelt, hogy csak korlátozott és célzott támadásokról tudnak. Ez most megváltozhat, hiszen az exploit most már szabadon kering az interneten.

A Jörg Schilling - a cdrecord hírhedt szerzője, Linux-ból kiábrándult OpenSolaris szószóló - által adminisztrált, BerliOS néve hallgató, nyílt forrású projekteket hostoló site weboldalát feltörték és deface-elték. A lecserélt weboldalon az volt olvasható, hogy az oldal 2005 óta volt feltörve.

A Google a napokban jelentette be, hogy kifinomult és célzott támadást indítottak ellene, illetve körülbelül két tucat amerikai nagyvállalat ellen Kínából. Ezért a keresőóriás átértékelte Kínával kapcsolatos hozzáállását és bejelentette, hogy kész kivonulni az országból. A bejelentés nagy port kavart fel, még az Egyesült Államok külügyminisztere is megszólalt az ügyben, választ várva a kínai kormányzattól.

A bejelentés után megindult a találgatás arról, hogy milyen hibákat használhattak ki a támadók. Felröppent a hír, hogy 0day Internet Explorer sebezhetőség lehetett a támadás egyik segítője. A Microsoft tegnap elismerte, hogy ez így van.

Úgy tűnik, hogy az ausztrál (és új-zélandi) EFTPOS rendszer és a mobiltelefonok/szolgáltatók mellett másoknak is problémája akadt a 2010-re váltással. A H-Security egyik cikke szerint a német Postbank ügyfelei nem tudtak a hétvégén pénzt felvenni az EC és más EMV chip-es kártyákat elfogadó ATM-ekből. Az ATM-ek hibátlanul működtek, de mégis elutasítottak egyes kártyákat. A vizsgálat során kiderült, hogy a problémás kártyákon alkalmazott chip hibája miatt okozott gondot a 2010-es év feldolgozása. Az ATM-ek átkonfigurálásával oldották meg a gondot. A Postbank mellett a Symantec és a Cisco sem vette akadálymentesen a 2010-es év elejét. Az egyiknél a Symantec Endpoint Protection termék, a másiknál Content Switching Module (CSM) köhögött az újév beköszöntével. A SAP ügyfelek pedig könnyen 2100-ban találhatták magukat. További részletek itt (hozzászólások).

Úgy tűnik, hogy idén sem maradnak el az évváltással járó problémák. 2009 elején a Y2K9 bug döntötte halomra a Microsoft Zune egyes példányait. Most arról jöttek hírek, hogy az ausztrál EFTPOS gépek közül jelentős számú az újév beköszöntével 2016-ra váltott. Emellett fórumokban arról számoltak be egyes felhasználók, hogy a Windows Mobile-t futtató készülékeiken (más készülékek is érintettek lehetnek) az újévi SMS-ek 2016-ból jönnek.