A Grsecurity-ról ismert Brad Spengler (spender) a minap egy, a 2.6.30+ kernelekhez (és a 2.6.18-hoz is) használható helyi root exploit-ot postázott a DailyDave levlistára. Az exploit érdekessége, hogy egy olyan sebezhetőséget használ ki, amely forráskód szinten nézve kihasználhatatlannak látszik. Azonban a gcc optimalizációinak köszönhetően kihasználhatóvá válik.

A Milw0rm egy olyan exploit-ot tett elérhetővé Mozilla Firefox 3.5-höz, amely a Windows számológép alkalmazásának elindításán keresztül mutatja be a sebezhetőséget. A Secunia a hibát "Highly Critical" kategóriába sorolta. A részletek itt olvashatók.

A napokban magát Anti-sec mozgalomnak hívó csoport feltörte az ImageShack-et, a weben található egyik legnagyobb képfájl hostoló oldalt. A támadás következtében egyes, az oldalon tárolt képek helyett a csoport kiáltványa volt olvasható.

A H Security egyik cikke szerint már egy évvel ezelőtt a Microsoft tudomására hozták a nemrég bejelentett DirectShow video ActiveX control sebezhetőséget. Számos antivírus gyártó visszajelzése szerint a sebezhetőséget jelenleg is több ezer speciálisan összeállított weboldal használja ki aktívan.

A napokban az a rémhír ütötte fel fejét, hogy a népszerű OpenSSH-hoz 0day exploit van szabadon. A spekulációk nyomán Damien Miller - az OpenSSH egyik fejlesztője - is megszólalt. Röviden: levelet váltott az egyik áldozattal, de a kapott információk alapján semmi sem utal arra, hogy 0day OpenSSH sebezhetőségről lenne szó. Inkább brute-force támadásnak látszik. Damien levele itt.

Az LWN.net - hivatkozva az Internet Storm Center-re - arról ír, hogy egy OpenSSH-val kapcsolatos (jelen stádiumban) rémhír ütötte fel a fejét. A rémhír szerint a hibát aktívan kihasználják. Amennyit eddig lehet tudni az az, hogy a feltételezett exploit a régebbi OpenSSH verziókat (talán a 4.3-ast?) érintheti. Hogy melyikeket, vagy hogy egyáltalán van-e alapja a rémhírnek, azt egyelőre nem lehet tudni. De jobb inkább óvatosnak lenni, mint meglepődni... A részletek itt és itt.

A H Security arról ír, hogy egy új, eddig még javítatlan DirectShow sebezhetőséget (buffer overflow) kihasználva rosszindulatú weboldalak aktívan fertőzik a Windows 2000-et, XP-t és Windows Server 2003-at futtató PC-ket. A preparált weboldal meglátogatása elég a fertőzés összeszedéséhez. Az exploit kód publikusan elérhető egyes kínai weboldalakon.

Lehet, hogy nem csak én járok pórul, hanem más is, illetve más talán mégsem fog, ha elolvassa az alábbiakat.

Egy kollégám felhívta a figyelmemet a mai munin grafikonokra. Kiderült, hogy ma éjjel az egyik webszerverünk elkezdett erősen tekerni, a load felment 1 fölé. Kiderült, hogy egy perl script fogja 100%-ban a processzort, ami a ps-ben

A Lighttpd 1.4.23-as verzióját megelőző kiadásaiban egy olyan biztonsági problémát fedeztek fel nemrég, amelyet FreeBSD-n, Mac OS X-en és Solaris < 10 kiadásokon lehet előidézni. A bug FreeBSD-n nem ismeretlen, hiszen a róla szóló PR-t még 2000 októberében nyitották. A probléma: ha a szokványos fájlra mutató symlink után egy '/' áll, akkor hozzá lehet férni a fájlhoz.

A Microsoft tegnap bejelentette, hogy publikus bejelentés nyomán egy új, DirectX-et érintő sebezhetőséget vizsgál. A DirectShow komponensben található sebezhetőséget a támadó egy speciálisan összeállított QuickTime fájl segítségével tudja kihasználni. A redmondi vállalat szerint jelenleg ugyan korlátozott mértékben, de már kihasználják a hibát. A vizsgálat jelen szakaszában úgy tűnik, hogy a Windows 2000 Service Pack 4, Windows XP és Windows Server 2003 operációs rendszerek sebezhetőek, a Windows Vista összes verziója és a Windows Server 2008 nem sebezhető. Javítás egyelőre nincs. A bejelentés itt olvasható.

Vasárnap írtunk arról, hogy 0day biztonsági hibát találtak biztonsági szakemberek az Microsoft Internet Information Services 6-ban. A redmondi cég hétfőn megerősítette, hogy vizsgálják a problémát.

A Full Disclosure listán bukkant fel egy PDF fájl, amely egy olyan, eddig még javítatlan, az Microsoft Internet Information Server (IIS) 6.0-val kapcsolatos biztonsági sebezhetőségre hívja fel a figyelmet, amelynek sikeres kihasználása tetszőleges fájl le- és feltöltését, illetve könyvtárlistázást tesz lehetővé jelszóval védett WebDAV folder-eken.

Az Invisible Things Lab-os Joanna Rutkowska és csapata által korábban leírt Intel CPU gyorsítótár-mérgezés problémára kiadott proof-of-concept exploit kódot - amely lehetővé teheti sikeres támadás esetén a kivitelezőnek rootkit telepítését - elemezte egy független biztonsági szakértő és arra jutott, hogy azon kívül, hogy támadás rendkívül egyszerű és rejtőző, Linux operációs rendszer, Intel DQ35-ös alaplap és 2GB memória megléte esetén működik jelenleg a legjobban.

Sebastian Krahmer, a SUSE Security Team tagja két udev sebezhetőséget fedezett fel. Az egyik sebezhetőség sikeres kihasználása root joghoz juttathatja a helyi támadót, míg a másik szintén a helyi támadónak ad lehetőséget szolgáltatás-megtagadás (Denial of Service, DoS) típusú támadás kivitelezésére.

Frissítve: újabb disztribúciók hibajegyei

A VMware frissítette termékeinek széles skáláját annak érdekében, hogy orvosolja azt a kritikus sebezhetőséget, amelyet sikeresen kihasználva a guest-en futó operációs rendszerről kódot lehet futtatni a host rendszeren. A VMware nem adott pontos információkat a sebezhetőségről, azonban feltételezhető, hogy egy a videó megjelenítéssel és framebuffer-rel összefüggő, virtuális eszközmeghajtó-program hiba a ludas. A hibára az Immunity mutatott be egy "Cloudburst" névre hallgató exploitot működés közben. A demó itt tekinthető meg.

Az érintett VMware termékek a következők:

A Sun Microsystems arra figyelmeztet, hogy biztonsági sebezhetőség található a Sun Java Runtime Environment-ben (JRE). A bug az unpack200 névre hallgató JAR Upacking Tool-t érinti. A rosszindulatú támadó speciálisan összeállított Java archive segítségével a hibát kihasználva tetszőleges kódot injektálhat illetve hajthat végre a felhasználó számítógépén, annak jogosultságaival. Bizonyos esetekben a hiba kihasználására akár egy speciálisan preparált weboldal meglátogatásakor is sor kerülhet.

Új biztonsági sérülékenységet találtak a Mozilla Firefox webböngészőben. A biztonsági problémát Guido Landi találta és felfedezését több weboldalon is közzétette tegnap. A rosszindulatú támadó a hibát kihasználva távolról tetszőleges kódot futtathat az áldozat számítógépén annak nevében.

Ahogy azt korábban Charlie Miller megjósolta, a Safari pillanatok alatt elvérzett az idei PWN 2 OWN biztonsági vetélkedőn. Másodikként az Internet Explorer 8 esett áldozatul, de a Firefox sem marad ki a sorból.

Az InfoWorld egyik cikke szerint "zero day" sebezhetőséget tartalmaz a Microsoft irodai programcsomagjának táblázatkezelő komponense, a Microsoft Excel. A hibát aktívan ki is használják. A Microsoft kedden jelezte, hogy tervezi a hiba foltozását, de azt nem mondta, hogy mikor. A hiba érinti a Microsoft Office 2007, Microsoft Office 2003, Microsoft Office 2002 és Microsoft Office 2000 termékeket. Szintén érintettek a következő Microsoft Mac-re készített termékei: Microsoft Office 2008, Microsoft Office 2004 és a Mac Open XML File Format Converter. A részletek bejelentésben és a IW cikkében.

A Microsoft kiadta februári biztonsági közlönyét. Benne kumulatív biztonsági frissítés az Internet Explorer-hez (távoli kódfuttatás - critical), a Microsoft SQL Server egyes verzióihoz (távoli kódfuttatás - important), de ami talán a legfontosabb, hogy javítás érkezett egy olyan távoli kódfuttatásra potenciálisan alkalmat adó, az Exchange 2000, 2003, 2007 összes támogatott verzióját érintő hibára, amelyet a támadó kihasználva képes lehet "Exchange Server service account" privilégiummal átvenni az irányítást az érintett rendszer felett. A javítás emellett javít egy DoS sebezhetőséget is. A részletek itt.

A VMware pénteken egy marék patchet adott ki a VMware ESX és ESXi termékeihez. A 2009-es év első biztonsági bejelentésében megtalálható az érintett termékek verzió szerinti listája. A javított hibák közt megtalálható a rendszerösszeomlás, szolgáltatásmegtagadás, potenciális tetszőleges kódfuttatás, stb. A bejelentés itt olvasható.

Tobias Klein kritikus sebezhetőséget talált a számos projekt - köztük a VLC, MPlayer, Perian, Xine - által használt népszerű FFmpeg library-ban. A sebezhetőséget kihasználva a távoli támadó tetszőleges kódot futtathat az FFmpeg vagy az FFmpeg lib-et használó alkalmazás kontextusában. Az FFmpeg 16846-os SVN revíziót megelőző verziói érintettek. A projekt javítást adott ki sebezhetőségre. A részletek itt olvashatók.

Január elején számoltunk be arról, hogy a Nokia S60 készülékek SMS fogadó képessége megbénítható egy speciálisan összeállított rövid szöveges üzenettel. A Nokia most "javítást" adott ki a problémára.

Feltűnően sok reklamáció érkezett a vásárlóktól a Seagate nagy kapacitású Barracuda 7200.11 jelű merevlemezeivel kapcsolatban. A panaszok szerint a diszkek vagy "megállnak" az adatátvitel közben, vagy egyszerűen csak meghibásoknak. A gyártó elismerte, hogy hibás firmware okozza a problémát.

Több mint 30 nemzetközi vállalat és szervezet egyetértésével született meg az a lista, amely a 25 legveszélyesebbnek ítélt programozási hibát tartalmazza. Azokét a hibákét, amelyek olyan biztonsági problémákhoz vezethetnek, amelyeket a rosszindulatú támadók kihasználhatnak.

A Heise Security cikke szerint a listán szereplő hibák közül kettő is elég volt ahhoz, hogy több mint 1,5 millió betörést írjanak a számlájára 2008-ban. A hibák közül számos olyan van, amelyet a fejlesztők nem értenek elég jól, ezért a lista elkészítésének célja, hogy oktassa a fejlesztőket arra, hogy hogyan óvakodhatnak ezen hibáktól.

A kezdeményezés mögött a Mitre és a SANS intézet áll. A támogatást a US Homeland Security National Cyber Security Division-től és az NSA-tól kapták, amelyek részt vettek a lista összeállításában. A közreműködő vállalatok, szervezetek közt van a CERT, a Microsoft, az Oracle, a Red Hat, az Apple és Symantec.

A projekt hosszútávú céljai: