Компании Apple и Red Hat практически одновременно обновили свои операционные системы. Apple выпустила кумулятивное исправление для своих операционных систем, которое устраняет 15 дефектов защиты. Среди них уязвимости в службах Kerberos, OpenLDAP, OpenSSH и др., а также исправления браузера Safari, библиотеки libpng и стека протоколов TCP/IP. Red Hat представила Red Hat Enterprise Linux 3 Update 3, в котором появилась поддержка защитных технологий Exec-shield, PIE (Position Independent Executable) и неисполнимых страниц памяти NX (No-eXecute), которые препятствуют организации атак на переполнение буфера. Фактически это можно расценивать как ответ сообщества Open Source на выпущенное недавно обновление Windows XP Service Pack 2, в котором интегрированы аналогичные технологии.

Оригинал на OSP: www.osp.ru/news/soft/2004/09/09_02.htm

Ссылки по теме:
docs.info.apple.com: Apple Security Updates
rhd.ru: Выпущен пакет обновлений Red Hat Enterprise Linux 3 Update 3
linuxcenter.ru: Apple закрыла 15 "дыр" в Mac OS X
securitylab.ru: Открытое хранение криптованного пароля в OpenLDAP в Apple Mac OS X
securitylab.ru: Локальное выполнение произвольного кода в Mac OS X в CoreFoundation
securitylab.ru: Поднятие локальных привилегий в PPPDialer на Mac OS X
securitylab.ru: Удаленный отказ в обслуживании в QuickTime Streaming Server
securitylab.ru: Выполнение HTMl кода в произвольном домене в Apple Safari
linuxcenter.ru: Red Hat Enterprise 3 Update 3
linux.org.ru: Выпущен Red Hat Enterprise Linux 3 Update 3

Пресса по теме:
gazeta.ru: Apple исправила ошибки в Mac OS X
nixp.ru: Apple устраняет 15 уязвимостей в Mac OS X
compulenta.ru: Выпущен третий пакет обновлений для Red Hat Enterprise Linux 3

Френк Денис сообщил об обнаружении ошибки в контроллерах систем хранения производства LSI Logic. Контроллер Engenio этой фирмы можно вывести из строя специально подготовленной последовательностью TCP-пакетов. Атака не требует авторизации и не фиксируется в системных журналах устройства. Ошибка связана с использованием в этих контроллерах операционной системы VxWorks, поэтому, возможно, другие аналогичные устройства также могут быть ей подвержены. Указанные контроллеры используются в хранилищах данных StorageTek D280 и IBM FAStT 100. Возможно, эта же ошибка проявится и в других аналогичных продуктах компаний StorageTek, IBM, SGI и Teradata. Производители оборудования и операционной системы пока не выпустили соответствующих исправлений.

Оригинал на OSP: www.osp.ru/news/soft/2004/09/08_01.htm

Ссылки по теме:
securityfocus.org: Engenio/LSI Logic controllers denial of service/data corruption
securitylab.ru: Удаленный отказ в обслуживании в IBM Disk Systems FAStT
securitylab.ru: Удаленный отказ в обслуживании в StorageTek Disk Systems

NGSSoftware проводит целенаправленный аудит безопасности серверов управления базами данных. В июле компания уже объявила о 34 ошибках, найденных в СУБД и сервере приложений Oracle, а недавно этот список был дополнен двумя ошибками, найденными компанией в IBM DB2. Более подробной информации по ошибкам компания пока не сообщает, но планирует сделать это 1 декабря текущего года, давая таким способом производителям исправить найденные ошибки. Однако компания Application Security объявила о 44 найденных ею в Oracle Database Server ошибках переполнения буфера с указанием модулей, в которых они располагаются. Видимо, это было сделано, чтобы ускорить развитие событий. Компания Oracle уже выпустила соответствующие исправления для Oracle Application Server, а IBM подготовила исправления для своей СУБД.

Оригинал на OSP: www.osp.ru/news/soft/2004/09/07_03.htm

Ссылки по теме:
NGSSoftware: vulnerabilities in IBM's DB2 Universal Database
NGSSoftware: vulnerabilities in Oracle Database Server and Oracle Application Server
oracle.com: Alert #68: Oracle Security Update
appsecinc.com: Multiple vulnerabilities in Oracle Database Server
ibm.com: DB2 UDB Version 8 FixPaks and clients
securitylab.ru: Удаленное выполнение произвольного кода в IBM DB2 Universal Database
securitylab.ru: Множественные уязвимости в Oracle Database Server

Пресса по теме:
uinc.ru: Множественные уязвимости в DB2
compulenta.ru: Критические уязвимости в IBM DB2 Universal Database

В центре распределения ключей (Key Distribution Center) системы аутентификации Kerberos 5 обнаружено несколько ошибок двойного освобождения памяти. Некоторые функции центра, получая ошибку из библиотеки ASN.1, могут попытаться освободить незанятую память и тем самым нарушить работу системы распределения памяти. Аналогичная ошибка есть и в функции krb5_rd_cred(), которая второй раз освобождает буфер, уже освобожденный функцией decode_krb5_enc_cred_part(). К тому же аналогичная ошибка есть в исправлении для версии 1.2.8, которое выключает cross-realm-аутентификацию. Кроме того, с помощью ошибки в библиотеке ASN.1, используемой KDC и сервером приложений Kerberos 5, можно заставить сервер войти в бесконечный цикл, если тип SEQUENCE закодирован с неопределенной длинной. Для всех найденных ошибок подготовлены и выпущены исправления.

Оринигал на OSP: www.osp.ru/news/soft/2004/09/07_01.htm

Ссылки по теме:
web.mit.edu: MIT krb5 Security Advisory 2004-002
web.mit.edu: MIT krb5 Security Advisory 2004-003
securitylab.ru: Удаленное выполнение произвольного кода в Kerberos 5
securitylab.ru: Удаленный отказ в обслуживании в Kerberos 5

Пресса о событии:
uinc.ru: Уязвимость в MIT Kerberos
linuxcenter.ru: В Kerberos обнаружены серьезные уязвимости
compulenta.ru: В протоколе Kerberos 5 обнаружена опасная дыра
nixp.ru: Apple устраняет 15 уязвимостей в Mac OS X

Начинающая фирма Orion Multisystems выпустила 12-узловой Linux-кластер DT-12, по габаритам сравнимый с обычным настольным компьютером: 46,7х6х9,7 см. Несмотря на скромные размеры системы, ее усредненная производительность составляет 18 GFLOPS, а пиковая - 36 GFLOPS. Системная плата кластера, на которой выполнены 12 узлов и 12-портовый коммутатор Gigabit Ethernet, спроектирована специалистами Orion. Каждый узел состоит из процессора Transmeta Efficeon с тактовой частотой 1,5 ГГц, изготовленного в соответствии с нормой проектирования 90 нм, порта Ethernet и слота DIMM (рассматривалась идея использования процессоров AMD Athlon 64, но Efficeon оказался в большей степени соответствующим требованиям к энергопотреблению). В базовой конфигурации DT-12 снабжен по 512 Мбайт оперативной памяти на каждый узел и 160-гигабайтным жестким диском. Энергопотребление DT-12 составляет около 200 Вт. Стоить такая система будет 9-10 тыс. долл. Готовится к выпуску и напольная модель, содержащая от 48 до 96 узлов. В Orion свой кластер называют "новой рабочей станцией" и "промежуточным звеном между ПК и суперкомпьютером". В компании считают, что система сможет найти применение в научных приложениях и как тестовая платформа при разработке программ для "больших" кластеров. Orion заключила договоры с компаниями The BioTeam и Wolfram Research на поставку с настольными кластерами выпускаемых ими соответственно инструментария биоинформатики и системы распараллеливания вычислений.

Оригинал на OSP: www.osp.ru/news/hard/2004/09/02_02.htm
CW: Кластер на столе

Ссылки по теме:
orionmulti.com: Orion Multisystems: Product Overview
linux.org.ru: 12-процессорный настольный компьютер

Мои статьи

ЭАР — ERP для государства
Компания "Форс" проводила для московских чиновников презентацию своей системы для автоматизации электронных административных регламентов ЭЛАД-ЭР, ну за одно пригласила и журналистов. Вот что из этого получилось.

Страж приложений
Собственно, это статья является дополнением Экран памяти. Просто взял документацию по описанному в ней решении и перевёл в сильно сокращенном переводе.

Не мои статьи, но про безопасность

Такая разная Европа
Статья Павла Куприянова про европейские проблемы Symantec.

Безопасность «по-техасски»
Статья Мэттью Броэрсма о инструментах защиты, интегрированных в ARM-процессоры TI.

Экран памяти
Статья Джайкумара Виджаяна, которая посвящена новой технологии защиты SecureCore. Её технические подробности описаны в моей статье Страж приложений.

Microsoft ревизует NGSCB
Статья Йорис Эверса, посвященная пересмотру Microsoft своей инициативы по созданию безопасной программно-аппаратной платформы NGSCB после годичного обсуждения её с партнёрами компании.

Компании Mandrakesoft и LaCie (Франция) выпустили LiveHD - дистрибутив Mandrakelinux 10, предустановленный на жесткий диск с интерфейсом USB 2.0. Диск имеет объем 40 Гбайт, из которых 12 занимает операционная система, а остальное пространство пользователь может использовать по своему усмотрению. Для использования этого продукта необходимо, чтобы компьютер имел возможность загрузиться с USB. Если BIOS не поддерживает такой возможности, в комплект поставки входит загрузочный MiniCD. Как и LiveCD, новый продукт предназначен для мобильных пользователей Linux, которым часто приходится пользоваться чужими компьютерами, сохраняя при этом привычную для себя среду окружения. Купить такой продукт можно в системе Mandrakestore за 219 долл.

Оригинал на OSP: www.osp.ru/news/hard/2004/09/01_04.htm
CW: «Живой» винчестер

Ссылки по теме:
store.mandrakesoft.com: Mandrakelinux GlobeTrotter, powered by LaCie Mobile Hard Drive
www.mandrakesoft.com: Mandrakelinux GlobeTrotter, powered by LaCie Mobile Hard Drive
linux.org.ru: Мобильный жесткий диск - носитель Linux

Компания CheckPoint объявила об открытии представительства в России. Его возглавила Юлия Грекова, а численность сотрудников пока равна двум. Представительство будет заниматься построением партнерской сети, популяризацией продуктов CheckPoint на российском рынке и организацией локальной технической поддержки. Изменилась сама партнерская программа - введены статусы Platinum, Gold, Silver и Distributor для партнеров с разделением по спецификациям. Также компания представила три новых продукта: устройство внутренней защиты сети InterSpect, устройство для защиты внешних соединений Connectra и приложение для защиты Web-серверов Web Intelligence. Кроме того, CheckPoint приобрела фирму Zone Labs и уже выпустила под своим именем один из ее продуктов - персональный межсетевой экран Integrity SecureClient.

Оригинал на OSP: www.osp.ru/news/events/2004/08/31_01.htm

Мои статьи

С X.25 на MPLS
Статья о переводе банковской системы SWIFT на технологию IP, который провёл оператор Equant.

Через финско-китайскую границу
Статья про создание наземного транзитного канала передачи данных между Финляндией и Китаем, через Россию ("ТрансТелеком") и Монголию.

Symbian как символ планов на будущее
Презентация новых мобильных телефонов SonyEricsson, из которой я рассказал только о смартфоне на Symbian и про мобильники с поддержкой EDGE.

Не мои, но про безопасность

Сертификат CISSP получил поддержку из Женевы
Статья про сертификацию CISSP и её одобрение со стороны ISO.

Европейский ответ «Эшелону»
Статья как с помощью квантовой криптографии защититься от "Большого брата".

Компания ISS обнаружила ошибку в реализации библиотеки Netscape Network Security Services (NSS) при реализации процедуры установления SSL-соединения. При использовании второй версии SSL с библиотекой NSS возникает ошибка переполнения буфера. Уязвимыми для нее являются приложения Netscape Enterprise Server, Netscape Personalization Engine, Netscape Directory Server, Netscape Certificate Management Server, Sun One/iPlanet и другие, использующие эту библиотеку. Впрочем, у Netscape Enterprise Server и Sun One/iPlanet по умолчанию выключена поддержка SSLv2. Исправление для этой ошибки уже выпущено Mozilla Foundation.

Оригинал на OSP: www.osp.ru/news/soft/2004/08/27_02.htm
CW: Netscape ошибается

Ссылки по теме:
xforce.iss.net: Netscape NSS Library Remote Compromise
securitylab.ru: Удаленное выполнение произвольного кода в Netscape Network Security Services (NSS)

Мои статьи

Встречают по дизайну
Компания 3M выпустила проекторы и хочет выделиться среди остальных. Вот и пригласила известного итальянского дизайнера. Даже в Москву его привезла.

С приставкой Wi
Отчет о конференции "Беседа", организованной CompTek. В основном на ней говорили про активно разрабатываемый Intel'ом WiMAX.

Intel: не x86 единым
Отчет о партнёрской конференции Intel, где они рассказывали о процессорах для встроенных устройств. С меня даже взяли подписку о неразглашении - результаты этого "неразглашения" можно почитать.

На прошлой неделе было зафиксировано появление двух новых разновидностей червя MyDoom (R и S), которые распространяются в письмах с темой Photos и текстом "LOL!;))))". К письму прикреплен исполнимый файл photos_arc.exe, который и является телом червя. После установки червь пытается загрузить с нескольких сайтов программу для удаленного администрирования Surila. Распространение червя уже остановилось, но установленная с его помощью на компьютеры программа могла остаться.

Оригинал на OSP:
www.osp.ru/news/comm/2004/08/24_01.htm

Ссылки по теме:
viruslab.ru: Недельный отчет о вирусах и вторжениях
kaspersky.ru: I-Worm.Mydoom.q
trendmicro.com: WORM_RATOS.A

Пресса о событии:
compulenta.ru: Найдена новая версия червя Mydoom
utro.ru: Обнаружена новая версия интернет-вируса Mydoom
nestor.minsk.by: Panda Software предупреждает о появлении Mydoom.R
webplanet.ru: В интернете появился Mydoom.R
softkey.info: Mydoom.q вышел на тропу войны
isra.com: Новая версия нашумевшего вируса MyDoom
cnews.ru: MydoomR начал распространяться по электронной почте
utro.ru: Обнаружена новая версия интернет-вируса Mydoom
km.ru: ЗАРАЗА ПО ПОЧТЕ. КТО СТУЧИТСЯ В ДВЕРЬ К ТЕБЕ?
vostokmedia.com: MydoomR начал распространяться по электронной почте
nestor.minsk.by: Недельный отчет о вирусах и вторжениях

В популярной библиотеке Qt обнаружено несколько ошибок, которые позволяют организовать переполнение буфера с помощью специально подготовленных изображений. Есть точные сведения о том, что добиться этого можно с помощью картинок формата BMP с восьмиразрядной кодировкой RLE, однако есть подозрения, что аналогичные ошибки возникают в Qt и при обработке форматов XPM, GIF и JPEG. Пикантность ситуации придает то, что библиотека Qt существует в вариантах для нескольких операционных систем, в том числе для Linux, Windows, MacOS, и используется в некоторых популярных продуктах, например в Opera и Acrobat Reader. Для уязвимости уже написан эксплойт, но есть и исправления - версия Qt 3.3.3 уже не имеет этой ошибки.

Оригинал на OSP: www.osp.ru/news/soft/2004/08/24_01.htm

Ссылки по теме:
cve.mitre.org: CAN-2004-0691
cve.mitre.org: CAN-2004-0692
cve.mitre.org: CAN-2004-0693
suse.de: SUSE Security Announcement
rhn.redhat.com: Updated qt packages fix security issues
gentoo.org: Qt: Image loader overflows
mandrakesoft.com: Mandrakesoft Security Advisories
securitylab.ru: Несколько уязвимостей в Qt

Разработчики популярного браузера Netscape Navigator подготовили следующую версию своего продукта, который базируется на исходных текстах Mozilla. В новой версии браузера лучше стал контроль за всплывающими окнами, которые часто используют для рекламы, поддержаны более современные стандарты Web-технологий, реализован механизм обработки vCard в Netscape Mail, упрощено открытие новых вкладок, реализован механизм приостановления загрузки больших файлов, исправлены дефекты безопасности. Кроме того, блаузер стал запускаться быстрее и занимать меньше места в памяти.

На OSP не опубликовано

Ссылки по теме:
channels.netscape.com: Why Upgrade?
linux.org.ru: Netscape Navigator 7.2
linuxcenter.ru: Netscape 7.2
ixbt.com: Веб-бразуеры: Netscape v.7.2
compulenta.ru: AOL выпустила новую версию Netscape
utro.ru: Компания AOL выпустила новую версию Netscape
cnews.ru: AOL выпустила новую версию Netscape
izcity.com: Netscape 7.2 Full Installer
uinc.ru: Выход Netscape Navigator 7.2

Моя статья.

Цели и средства атак
В статье я попытался классифицировать атаки по разным атрибутам: цели и методе нападения и по используемому дефекту. Даже специалисты иногда при описании дефекта употребляют слово DoS, хотя это возможная цель, но не описание ошибки. Я попытался привести некоторую непротиворечивую классификацию.

Не мои статьи, но по безопасности.

Когда экономить нельзя, но хочется
Статья Юлии Кольдичевой о том, как сделать оптимальную систему информационной безопасности.

Оптимизация затрат для среднего бизнеса
Статья Максима Эмма, в которой рассказывается о информациононой безопасности российского среднего бизнеса.

3Com строит безопасные сети
Статья Алексея Есауленко о продуктах 3Com, связанных с информационной безопасностью.

Поэтапный план растягивается
Статья Фила Хочмута о внедрении в комутаторах Cisco технологии сетевой безопасности NAC.

Компания iDEFENSE обнаружила ошибку переполнения буфера в ActiveX-компоненте Acrobat и Acrobat Reader. Переполнение буфера, которое возникает в функции RTLHeapFree(), позволяет злоумышленнику с помощью специальной ссылки, встроенной в PDF-файл, исполнить произвольный код. Аналогичная ошибка была найдена этой же компанией в Acrobat Reader для UNIX. Она возникает при декодировании потока данных, встроенных в PDF-файл. В результате, злоумышленник может составить такой документ, который исполнит определенные команды в оболочке UNIX от имени пользователя, запустившего Acrobat Reader. Adobe - производитель перечисленных продуктов без огласки обновил эти продукты, так что лучше пользоваться новыми их версиями.

На OSP не опубликовано

Ссылки по теме:
cve.mitre.org: CAN-2004-0630
cve.mitre.org: CAN-2004-0631
idefense.com: Adobe Acrobat Reader (Unix) Shell Metacharacter Code Execution Vulnerability
idefense.com: Adobe Acrobat Reader (Unix) 5.0 Uudecode Filename Buffer Overflow Vulnerability
idefense.com: Adobe Acrobat/Acrobat Reader ActiveX Control Buffer Overflow Vulnerability
securitylab.ru: Переполнение буфера в ActiveX компоненте в Adobe Acrobat
securitylab.ru: Две уязвимости в Adobe Acrobat Reader для UNIX/Linux
compulenta.ru: Обнаружены две дыры в Adobe Acrobat Reader
utro.ru: Обнаружены уязвимости в программе Adobe Acrobat Reader
compulenta.ru: Критическая уязвимость в Adobe Acrobat Reader

Разработчики программы фильтрации спама SpamAssassin признали наличие в своем продукте дефекта, который позволял с помощью специально подготовленного заголовка письма вывести из строя фильтр. Новая версия 2.64 этой свободно распространяемой программы была выпущена специально для исправления этой ошибки. Аналогичная ошибка была найдена и в другом фильтре почты - MAILsweeper от компании Clearswift. Если в сеть, защищенную этим фильтром, переслать специально подготовленный документ в формате PowerPoint, то при его обработке защитная программа полностью оттянет на себя все доступные ресурсы процессора и блокирует работу операционной системы. Впрочем, не на высоте и другой продукт этой компании - MIMEsweeper, который предназначен для контроля за передачей конфиденциальной информации. В результате допущенной ошибки с его помощью удаленный пользователь может просматривать любые файлы на той системе, на которой работает MIMEsweeper. Для обоих своих продуктов Clearswift выпустила соответствующие исправления.

Оригинал на OSP: www.osp.ru/news/soft/2004/08/17_02.htm

Ссылки по теме:
mimesweeper.com: ReadMe for MAILsweeper for SMTP 4.3.15
securitylab.ru: Удаленный отказ в обслуживании в MAILsweeper for SMTP
securitylab.ru: Просмотр произвольных файлов в Clearswift MIMEsweeper
securitylab.ru: Удаленный отказ в обслуживании при обработке почтовых заголовков в SpamAssassin

Компания "ТрансТелеком" реализовала пилотный проект транзитного канала из Европы в Китай через Монголию. Оптоволоконная трасса объединяет сети компаний скандинавской Song Networks, российской "ТрансТелеком", монгольской "Рэйлком" и китайской China Unicom, проложенные вдоль железных дорог. Общая протяженность канала ERMC (Europe - Russia - Mongolia - China) составляет около 15 тыс. км, а задержка сигнала в нем в два раза меньше, чем у существующих ранее морских оптоволоконных каналов. На сегодняшний момент закончен пилотный проект, в рамках которого было задействовано 2 канала STM-1 (около 310 Мбит/с), но на текущий момент они уже используются на 90%. До конца 2005 года планируется расширить магистраль до нескольких десятков Гбит/с с помощью использования технологии DWDM с двойным резервированием.

Пока на OSP не опубликована

Моя статья.

Четвертый по значению
Написана по пресс-ланчу с Джузеппе Веррини, вице-президентом Symantec по продажам, маркетингу и сервису в регионе EMEA. Он состоит в комисси по борьбе с пиратством и про это очень компетентно говорил.

Не мои статьи, но про безопасность.

Microsoft Windows XP SP1 сертифицируют в России
О сертификации Windows XP в России на предмет ее информационной защищенности.

Путешествие конкурентов
О серии региональных семинаров по безопасности, организованных компанией Mont - дистрибьютором программного обеспечения. В них приняли участие «Лаборатория Касперского», Check Point, Computer Associates, IBM, Microsoft и Symantec.

Две группы исследователей iDEFENSE и Secunia независимо друг от друга обнаружили ошибку в клиенте мгновенных сообщений AOL Instant Messenger (AIM). Ошибка располагается в обработчике URI-запроса на временное отключение от системы - aim:goaway. Если владелец Web-сайта сможет с помощью JavaScript подсунуть AIM-клиенту этот запрос с параметром определенной длинны, то он сможет исполнить произвольный код от имени хозяина этого клиента. Ошибка была обнаружена iDEFENSE 16 июня, после чего информация была передана разработчикам AIM. А 9 августа аналогичную информацию обнародовала Secunia, но к этому времени защита уже появилась в последней бета-версии AIM-клиента.

Оригинал на OSP: www.osp.ru/news/comm/2004/08/11_02.htm

Ссылки по теме:
secunia.com: secunia.com/advisories/12198/AOL Instant Messenger "Away" Message Buffer Overflow Vulnerability
idefense.com: AOL Instant Messenger aim:goaway URI Handler Buffer Overflow Vulnerability
securitylab.ru: Удаленное переполнение буфера в AOL Instant Messenger (AIM)
compulenta.ru: Критическая уязвимость в AOL Instant Messenger