В продуктах Adobe GoLive 9.0 и Illustrator CS3 обнаружена ошибка, которая возникает при обработке файлов изображений в форматах PNG или BMP. Ошибка позволяет вмешаться в работу динамической памяти и исполнить вредоносный код в системе. Производитель выпустил исправления для обоих продуктов, поэтому рекомендуется их установить.

Ссылки:
Adobe Illustrator PNG/BMP File Processing Vulnerabilities
Adobe GoLive PNG/BMP File Processing Vulnerabilities

В базах данных Firebird и Borland InterBase обнаружена ошибка, которая позволяет выполнить атаку на переполнение стека. Ошибка возникает в нескольких функциях "isc_attach_database()", "isc_create_database()" и некоторых других. Производитель выпустил исправления для найденной ошибки.

Ссылки:
Firebird 2 Multiple Buffer Overflow Vulnerabilities

Компания Sun выпустила обновления для среды исполнения Java, в которых исправлены три ошибки. Одна - позволяет апплету устанавливать соединение с любым сервером в обход ограничений безопасности, вторая - дает возможность читать и писать локальные файлы с помощью обращения к кешу программы Java Web Start, а третья - удалять и копировать файлы в системе, пользуясь возможность системы drag-and-drop. Для всех версий JRE выпущены соответствующие исправления.

Ссылки:
Sun Java JRE Multiple Vulnerabilities

Компания Fortify Software обнаружила новый тип атаки - внедрение во время разработки (Cross-Build Injection), при которой уязвимость в продукте появляется во время сборки программного обеспечения с открытым кодом. Впрочем, аналогичные проблемы могут возникнуть и в коммерческих продуктах, когда для их создания используются системы распределенной сборки, такие как Ant, Maven или Ivy. Они позволяют хакеру с помощью изменения DNS или внедрения в один из серверов сборки указать в качестве одной из необходимых библиотек свой вредоносный код. Когда программа сборки будет компилировать такое приложение она, в соответствии с указанными зависимостями, подсоединит и вредоносную библиотеку. В результате, приложение будет содержать вредоносный компонент изначально. Возможно, этой же атаке подвержены и другие системы распределенной разработки приложений. Специалисты Fortify Software обнаружили эту проблему, когда работали над проектом Java Open Review (JOR), в котором изучали безопасности технологии Java.

Ссылки:
Fortify открыла новый тип уязвимости
Fortify открыла новый тип уязвимости
Fortify identifies open-source software vulnerabilities
Fortify Software Identifies and Protects Against New Class of Vulnerabilities - Cross-Build Injection - Tied to Open Source Software
Fortify Software Identifies and Protects Against New Class of Vulnerabilities — Cross–Build Injection — Tied To Open Source Software

Компания Microsoft выпустила обновления для своих продуктов, которые устраняют шесть ошибок. Четыре ошибки являются критическими и позволяют удаленно исполнять вредоносный код, а два - важными. Одним из критических обновляемых компонент является Internet Explorer, в котором были исправлены три неизвестные ошибки и одна известная. Они позволяли с помощью специальной вредоносной страницы заставить IE исполнить вредоносный код. Причем критическим ясправление является даже для Internet Explorer 7.0 для Vista. Исправлена ошибка в почтовых приложениях Microsoft - Outlook Express и Windows Mail, которые позволяли с помощью специально сформированного указателя на сетевые новости NNTP исполнить вредоносный код. Для эксплуатации этой уязвимости также нужна специально сформированная Web-страница. Исправлена также ошибка в программе просмотра изображений Kodak Image Viewer, которая входит в состав Windows. Для нее можно было изготовить "ядовитую" картинку, которая могла исполнить вредоносный код. Исправлена также ошибка в Word, который можно было заставить исполнить вредоносный код при открытии специально сформированного doc-файла. К важным Microsoft отнесла ошибку в RPC, которую можно использовать для DoS-атаки, и уязвимость в SharePoint Services 3.0 и Office SharePoint Server 2007, которую можно использовать для повышения полномочий в системе.

Ссылки:
Microsoft Security Bulletin Summary for October 2007

Компания "Казахтелеком" совместно с российской компанией "Информзащита" завершил второй этап реализации проекта по модернизации и развитию корпоративной системы обеспечения информационной безопасности. Первым этапом, выполненным в 2006 году, стало проведение обследования корпоративной системы с целью оценки текущего состояния и выявления направлений развития. На этом этапе были разработаны все требуемые в соответствии с ISO 27001 документы и регламенты, проведено проектирование типовых решений для защиты объектов компании, а также спланированы дальнейшие работы. Вторым этапом стала реализация целого ряда проектов по совершенствованию системы менеджмента информационной безопасности, включающих совершенствование корпоративной системы предотвращения вторжений, создание системы защиты электронной почты, внедрение рекомендованной методики оценки и управления рисками, а также внутрикорпоративной программы повышения осведомленности персонала в области информационной безопасности.
Служба информации OSP

Ссылки:
"Казахтелеком" обезопасил себя

Компания SecureIT объявила выпуск новой версии своего серверного продукта ZServer Suite 5.0. Среди новинок можно отметить многопоточное шифрование, аппаратное генерирование ключа шифрования, ограничение приложений в доступе к зашифрованной информации и улучшение по настройке и управления. В частности, в качестве аппаратного генератора ключа может использоваться звуковая плата или специальное устройство. Новый продукт также можно интегрировать с Active Directory для управления и распространения продукта. Компания также объявила о выпуске новой версии средства контроля периферийных устройств ZLock 1.3. Новая версия поддерживает операционную систему Windows Vista. В нем также реализован контроль беспроводных устройств WiFi, Bluetooth и передачи данных с помощью инфракрасного порта. В новой версии также реализована поддержка Active Directory.

Ссылки:
Zserver Suite 5.0: новая версия известного продукта

ОАО "Силовые машины" внедрила у себя средство контроля периферийных устройств DeviceLock компании SmartLine, которое было установлено более чем на 900 рабочих станций. Внедрение проходило с использованием групповых политик - новой функциональности, появившейся в версии 6.2. Компания "Силовые машины" занимается проектированием и производством оборудования для тепловых, атомных, гидравлических и газотурбинных электростанций. Компания имеет собственные инженерные разработки, которые могут представлять немалую ценность, которую и решено было защищать. В компании регулярно проводится внешний аудит системы информационной безопасности с помощью специализированной фирмы. Внедрение DeviceLock позволило сотрудникам компании использовать различные сменные носители, которые до недавнего времени были просто запрещены.

Ссылки:
ОАО "Силовые машины" повышает уровень защиты информации с помощью DeviceLock

Компания Dr. Web ввела в строй бесплатный сервис под названием «Мой Dr.Web». Воспользоваться им могут пользователи Dr. Web 4.44, причем в том числе и демонстрационных версий. Сервис представляет собой личный кабинет пользователя, где он может посмотреть и откорректировать данные о себе, о номерах лицензий на антивирус, сроке их действия и другие параметры. Там же можно посмотреть какие формы технической поддержки доступны для пользователя, где можно купить новую лицензию или продлить старую, какие еще бесплатные сервисы доступны пользователю. В отдельной вкладке кабинета можно проверить подозрительный файл на вирусы, а также отослать экземпляр вируса разработчику. Также с помощью этого сайта можно посмотреть последние новости индустрии, а также получить небольшие цифровые подарки: обои для компьютера, хранители экрана и другие - компания обещает пополнять их ассортимент.

Ссылки:
Удобство и комфорт с антивирусом Dr.Web - начал действовать проект «Мой Dr.Web»

Компания "Концептуальные системы" объявила о выпуске своего нового продукта для шифрования пользовательских данных под названием Atlansys Bastion Pro. В нем, как и в Atlansys Bastion, реализованы защищенные паролем контейнеры для данных, которые могут быть созданы с помощью широкого спектра алгоритмов шифрования. Также в продукте реализована система надежного уничтожения данных по одному из шести международных стандартов. Новым в версии Pro является возможность шифрования логических разделов дисков, съемной флеш-памяти и других сменных носителей информации. К тому же данные, помещенные в защищенный контейнер, могут быть проверены специальным антивирусным модулем от "Лаборатории Касперского".

Ссылки:
Atlansys Bastion Pro – надежное решение для профессионалов!

Компании Symantec, Panda Software, Trend Micro, "Лаборатория Касперского" и F-Secure, а также германская организация AV-Test.org готовят предложение по усовершенствованию процедуры тестирования антивирусных программных продуктов. Оно будет представлено в ноябре на конференции Association of AntiVirus Asia Researchers 2007 в Сеуле.

Предложение разрабатывается в качестве необязательного руководства для устроителей тестирований, которые сами смогут решать, следовать ему или нет. До сих пор наиболее распространенным способом тестирования антивирусов было сканирование с их помощью большого количества образцов вредоносного ПО. Если какой-то из них не распознается, рейтинг продукта снижается.

Однако за последние несколько лет многие поставщики антивирусов реализовали в них технологию, способную распознавать вредоносные программы по их поведению. В сигнатурных тестах такие технологии не учитываются, из-за чего их объективность снижается.

Поставщики антивирусов предлагают тестировать их продукты в условиях, приближенных к реальным: использовать настоящие образцы вредоносов из Internet и вводить их в компьютер "естественным" образом - через прикрепленные к сообщениям файлы и Web-страницы, подготовленные в расчете на использование уязвимостей браузеров. Перед тестом антивирусные пакеты предлагается "замораживать" на несколько недель - не обновлять сигнатуры, чтобы гарантированно протестировать поведенческие технологии.
Служба информации OSP

Ссылки:
Готовится новый стандарт на тестирование антивирусов

Компании производители антивирусов, выпустили обзоры вредоносной активности за сентябрь. Была отмечена чрезвычайно большая активность червя NetSky.q, которая тем не менее не привела к заметному ухудшению эпидемиологической обстановки, поскольку он был остановлен шлюзовыми антивируснами даже со старыми базами. Компании также отмечают спад активности так называемого "штормового червя", рассылки которого стали менее масштабными, чем в начале его распространения, да к тому же, по утверждению аналитиков "Лаборатории Касперского", не произошло активации связанной с червем зомби-сети. Эксперты считают, что владельцы этой сети чего-то ждут, либо они не так могущественный, как о том предполагалось ранее. По результатам сканирования отмечено увеличение числа компьютеров, зараженных VBS-вирусом VBS.Small.a. Также увеличил свою активность троянец Trojan-Downloader.Win32.Small.ddp, который нацелен на создание зомби-сети. Компания Dr. Web отметила активность червя Win32.HLLW.Crazy, который распространяется через Win32.HLLW.Crazy и с помощью USB-носителей.

Ссылки:
PandaLabs сообщает: наибольшее количество атак в сентябре было вызвано троянами
Обзор вирусной активности - сентябрь 2007
Обзор вирусной активности - Top 20 Online - сентябрь 2007
Обзор вирусной обстановки за сентябрь 2007 года от компании «Доктор Веб»
BitDefender Lab’s Top 10 Malware Chart for September Reveals a Flatter Curve
Top 10 malware reported to Sophos in September 2007

Компания "Академия АйТи" заключила партнерское соглашение с британской компанией ClearSwift. Продукты последней предназначены для контроля и фильтрации Web и почтового трафика. "Академия АйТи" предлагает специалистам серию курсов по продуктам MIMESweeper for Web и MIMESweeper for SMTP, разрабатанных компанией ClearSwift.

Ссылки:
Курсы по защите и анализу контента – теперь в Академии АйТи

Компания "АМИ" подписала контракт с «TUV NORD» о сотрудничестве при подготовке систем управления информационной безопасности предприятий к сертификации по стандарту ISO 27001:2005. "АМИ" будет проводить аудит системы безопасности и выдавать рекомендации по ее корректировке, а «TUV NORD» займется собственно процедурой сертификации.

Ссылки:
Компания «АМИ» займется подготовкой информационных систем для сертификации по стандарту ISO 27001:2005

Компания Aladdin получила первое место как "Продукт года - 2007" в номинации "защита информации" на выставке Softool за продукт Secret Disk 4. Также дипломом "Продукт года - 2007" в номинации "защита информации" был отмечен продукт "Концептуальных систем" под названием Atlansys Bastion. Конкурс был учрежден ФАИТ совместно с РАН для стимулирования разработки новых продуктов в сфере информацонной безопасности.

Ссылки:
Secret Disk 4 – продукт года по версии Softool-2007!
Atlansys Bastion - “Продукт года 2007”

Компания ROY International провела успешное тестирование смарт-карт ActivIdentity на терминалах Sun Microsystems Sun Ray 2. Тестирование проводилось в течении двух месяцев на пользователях-добровольцах. Тестовый стенд был организован на серверах SunFire X4100 и SunFire X2100 под управлением операционных систем Solaris 10 и Microsoft Windows 2003 Server.

Ссылки:
Успешное тестирование на совместимость решений ActiveIdentity с продуктами Sun Microsystems

Компания "Анкад" аккредитована в ФСБ как испытательная лаборатория. Теперь компания может проводить исследования функциональных свойств программного обеспечения информационных и телекоммуникационных систем на соответствие требованиям информационной безопасности для информации, не содержащей сведения, составляющие государственную тайну.

Ссылки:
Лицензии и аттестаты Фирмы АНКАД

Страховая компания "РЕСО-Гарантия" и системный интегратор BCC Company объявили о внедрении системы безопасного удаленного доступа к централизованной базе данных и бизнес-приложениям для страховых агентов "РЕСО". В качестве платформы для такого доступа используется технология Citrix Presentation Server 4.0, а для защиты работы от вмешательства посторонних внедрено решение класса SSL-VPN, где в качестве шлюза выступает устройство Citrix Secure Gateway, а защищенным клиентом выступает Citrix Web Interface. В результате, весь сеанс передачи данных между шлюзом и удаленным клиентом шифруется по протоколу SSL. Работа удаленных сотрудников с корпоративными приложениями выполняется с помощью Web-интерфейса.

Ссылки:
BCC COMPANY СООБЩАЕТ О ЗАВЕРШЕНИИ ПРОЕКТА В ОСАО «РЕСО-ГАРАНТИЯ» ПО СОЗДАНИЮ СИСТЕМЫ УНИВЕРСАЛЬНОГО ДОСТУПА

На неделе с 8 по 12 октября два мероприятия:

Семинар Softline
9 октября в 10:00
Защита корпоративной сети с помощью решений "Лаборатории Касперского": Нестандартные задачи. Инновационные решения. Наилучший результат!
Москва, ул. Губкина, д.8, 9-ый этаж, Конференц-зал
Подробнее

Семинар "ДиалогНауки"
11 октября в 10:00
«Современные решения по безопасности на основе технологий Sophos»
г. Москва, ул. Нагатинская, д. 1, офис 810 (8 этаж)
Подробнее

В британской компании EISST разработан Web-браузер e-Capsule, занимающий мало места на диске и, как утверждается, свободный от проблем с безопасностью, свойственным распространенным браузерам. Cookie, пароли, закладки, журнал просмотренных сайтов и другие данные в e-Capsule шифруются по 256-разрядному алгоритму AES, а IP-адрес пользователя маскируется за счет подключения к сайтам через специализированные прокси-серверы. Браузер не оставляет следов своей деятельности на ПК, в том числе в реестре. Его можно запускать с портативного USB-накопителя. Программа является платной, ее цена составляет около 20 фунтов.
Служба информации OSP

Ссылки:
Выпущен браузер с абсолютной защитой

По словам посетителей хакерской конференции Microsoft BlueHat, проведенной на прошлой неделе, у них сложилось впечатление, что с последними из программных продуктов Microsoft исследователям уязвимостей больше "делать нечего".

Дело в том, что специалисты самой Microsoft для поиска брешей в ее собственных продуктах применяют те же самые технологии, что и независимые исследователи. Например, Office ранее поддавался сбоям в результате "фаззинга" - автоматизированного случайного ввода информации в приложения, однако в самой Microsoft в последнее время тестируют Office таким же способом, так что сторонние инструменты фаззинга для этого программного продукта уже не нужны.

Исследователь Халвар Флейк в дневниковом сообщении, посвященном Blue Hat, назвал Vista "едва ли не самой защищенной из операционных систем с закрытым кодом на рынке", вследствие чего, по его мнению, исследователям стоит "переходить на более плодородные территории". Как говорит Флейк, зачем бессильно пытаться вызвать переполнение в Vista, когда в системе обычно еще есть Acrobat Reader, антивирус и последняя версия iTunes.
Служба информации OSP

Ссылки:
Vista хакеров не интересует?

Сервисы безопасности Audit Logging и Role-Based Access реализованы в системах хранения Hitachi AMS и WMS. Audit Logging позволяет сохранить всю историю обращений к системе пользователей, включая информацию о самих пользователях, время и название операции, параметры операции и ее результат (нормальное завершение или сообщение об ошибке). Audit Log может использоваться для отслеживания обращений к системе, для мониторинга системы безопасности, выявления причин ошибок и предотвращения потенциальных сбоев. Функция Hitachi Audit Logging совместима с протоколом BSD Syslog Protocol (RFC3164), за счет чего обеспечивается легкая интеграция с существующей структурой журналов регистрации событий. Функция Hitachi Role-Based Access Service обеспечивает строгую аутентификацию пользователей и контроль доступа для безопасного управления конфигурациями СХД. Управление системой AMS или WMS может контролироваться на основе назначения каждому отдельному пользователю профиля доступа.
Служба информации OSP

Ссылки:
Hitachi представила новые сервисы безопасности

Microsoft уже во второй раз за последние два месяца выпустила набор исправлений для Windows Vista, повышающий быстродействие и улучшающий стабильность работы операционной системы. Эти исправления выпущены независимо от Service Pack 1 для Vista, находящегося сейчас в стадии ограниченного бета-тестирования.

Обновления в виде четырех раздельных комплектов доступны для загрузки на сайте Microsoft, а в дальнейшем будут разосланы через сервис Windows Update. Самое крупное из них, имеющее размер 5,4 Мбайт, устраняет множество проблем с аппаратным обеспечением и самой ОС: продлевает время работы ноутбуков от батареи, улучшает стабильность соединений с беспроводными сетями и избавляет от несовместимости с некоторыми из антивирусов. Как сообщают в Microsoft, данное обновление также сокращает время загрузки Vista и выхода из ждущего режима, хотя эти же проблемы уже были исправлены в прошлый раз.

Еще одно обновление устраняют дефекты поддержки USB-устройств. Есть также заплата для Windows Media Player 11, она исправляет ошибку, из-за которой в некоторых случаях портились база данных мультимедиа-проигрывателя и воспроизводимый им поток.
Служба информации OSP

Ссылки:
Vista стала работать еще стабильнее и быстрее

Директор по информационным системам и безопасности eBay Дэйв Каллинейн рассказал о результатах проведенного недавно анализа защищенности систем компании от хакерских угроз. Неожиданной находкой, обнаруженной специалистами eBay в ходе проверки, оказалось большое количество зараженных "руткитами" Linux-систем, которые участвовали в сетях рассылки фишерских сообщений.

По словам Каллинейна, ни один из операторов инфицированных Linux-машин не знал о заражении. Хотя Linux считается более защищенной операционной системой, чем Windows, многие программы для Linux имеют известные уязвимости, позволяющие постороннему взять систему под контроль. Кроме того, фишеры часто создают фальшивые сайты именно на Linux-серверах.
Служба информации OSP

Ссылки:
"Боты" начали заражать системы с Linux

Сотрудники исследовательского подразделения Microsoft на недавней конференции, проведенной организацией Anti-Phishing Work Group, рассказали, что в течение трех месяцев собирали данные об уязвимости пользователей защитного сервиса Windows Live OneCare Advisor для фишинга. Это делалось с помощью имеющегося в сервисе компонента Phish Detective, который отправлял на серверы Microsoft адрес посещенного пользователем сайта всякий раз, когда на нем вводились имя и пароль, аналогичные уже использовавшимся на другом сайте.

По словам сотрудников Microsoft, такая ситуация может свидетельствовать о том, что пользователь "попался на удочку" фишеров за исключением тех случаев, когда одни и те же верительные данные используются на легитимных сайтах (эти случаи не учитывались).

Как подсчитали исследователи по полученным данным, примерно 0,4% всех пользователей Web ежегодно выдают свою информацию фишерам.

В Microsoft подчеркивают, что никоим образом не нарушали конфиденциальность данных пользователей: компания не собирала информацию по их именам и паролям, а перед вводом Phish Detective в эксплуатацию данный модуль даже прошел независимую проверку на соответствие стандартам защиты личных данных.
Служба информации OSP

Ссылки:
Microsoft поэкспериментировала на пользователях

В предстоящий вторник выйдет очередной плановый набор обновлений безопасности для программных продуктов Microsoft. На этот раз заплаты будут выпущены для дыр в Windows, Internet Explorer, Outlook Express, Word и SharePoint. Один из семи запланированных к выходу бюллетеней будет обозначен в качестве "критического", остальные - "важными". Три обновления предназначены для Windows; в их число входит "критическое", касающееся Windows 2000, XP Home SP2 и Server 2003. Остальные критические исправляют ошибки в Outlook Express, Windows Mail (почтовом клиенте Vista), MS Word и IE, причем последний потребует исправления во всех своих версиях, включая IE7 для Vista.
Служба информации OSP

Ссылки:
Microsoft нашла критическую брешь во всех версиях IE