В клиенте Skype обнаружена опасная особенность - он использует компоненты Internet Explorer со слабыми настройками защиты. Это, в частности, позволяет исполнить с помощью специально сформированного сообщения Skype вредоносного сценария JavaScript. То есть клиенты Skype подвержены классическим XSS-атакам, например, с помощью видеосервиса DailyMotion и функции "Add video to chat" клиентской программы Skype. Защиты пока нет - рекомендуется не пользоваться видео из клиента Skype.

Ссылки:
В Skype найдена серьезная уязвимость

Компания Palamida опубликовала список уязвимостей, которые присутствуют в базовых продуктах класса OpenSource и наследуются всеми разработками, построенными на их основе. Одна ошибка по одной ошибке найдено в серверах приложений Geronimo 2.0 от Apache Software Foundation и JBoss Application Server. По одной ошибке есть также в продуктах обработки графических файлов формата Tagged Image File Format (TIFF), архивов, открываемых с помощью библиотеки zlib 1.2, и в пакете Net-SNMP версий 1.0, 2с и 3.0.

Ссылки:
Palamida: Пять наиболее часто встречающихся уязвимостей в открытом ПО

В СУБД Firebird обнаружена ошибка, которая позволяет базу данных, правда при наличии прав доступа к ней. Для исправления ошибки рекомендуется обновить СУБД до версий 2.1 RC1 или 2.0.4.

Ссылки:
Уязвимость в СУБД Firebird

Программист под псевдонимом Джон Уэйн, называющий себя российским специалистом по информационной безопасности, заявил о взломе системы защиты от автоматической регистрации почтовых ящиков на Yahoo, работающей по принципу ввода буквенно-цифрового кода, который может разобрать человек, но который является нераспознаваемым для автоматизированных средств, - CAPTCHA. Используемая на Yahoo реализация CAPTCHA считалась одной из самых надежных среди разработанных на сегодня. Как утверждает Уйэн, созданная им программа обеспечивает точное распознавание кода CAPTCHA на Yahoo в 35% случаев - по его словам, это очень высокая точность, поскольку для подобных систем достаточно и 15%: даже при таком уровне за день можно автоматически зарегистрировать большое количество спамерских ящиков, вновь и вновь повторяя попытку. В Yahoo сообщают, что в курсе проблемы и работают над усовершенствованием генератора антиспамерских кодов.
Служба информации OSP

Ссылки:
Взломана самая надежная система защиты от спамеров

Компания Apple выпустила исправления для своего медиаплеера Quicktime. В них исправлено три ошибки, которые допускали переполнение буфера с помощью специально подготовленных мультимедийных файлов, что создавало опасность исполнения с помощью этих файлов вредоносных кодов, полученных по электронной почте или из Web. Для одной из исправленных ошибок был опубликован эксплойт.

Ссылки:
Apple выпустила исправления к медиаплееру Quicktime

В популярном медиаплеере Winamp обнаружена ошибка переполнения буфера, которая возникает при обработке метаданных Ultravox. С помощью слишком длинных полей "" и "" злоумышленник может добиться исполнения вредоносного кода. Ошибка исправлена в версии 5.52.

Ссылки:
Переполнение буфера в Winamp

Комапния Oracle выпустила январский набор исправлений для своих продуктов Database, Application Server, Collaboration Suite, E-Business Suite and Applications, Enterprise Manager и PeopleSoft Enterprise и JD Edwards EnterpriseOne. Среди ошибок для Application Server, E-Business Suite and Applications и PeopleSoft Enterprise есть те, которые можно эксплуатировать удаленно без предварительной авторизации.

Ссылки:
Oracle Critical Patch Update Advisory - January 2008

Специалисты Microsoft предупреждают о присутствии в ряде версий Excel уязвимости, позволяющей злоумышленнику с помощью специально подготовленного файла электронной таблицы запустить на компьютере жертвы посторонний код. В Microsoft сообщают, что хакеры в курсе наличия данной дыры и уже начали ее использовать. Брешь присутствует в Excel 2003 Service Pack 2, Excel Viewer 2003, Excel 2002 и Excel 2000, а также в Excel 2004 для компьютеров Apple.

Атака может быть организована различными способами: путем отправки потенциальной жертве сообщения электронной почты с прикрепленным файлом или посредством размещения файла Excel на сайте. Сроки выпуска заплаты в Microsoft пока не называют.

Пользователям Office 2003 для защиты рекомендуется обрабатывать подозрительные файлы с помощью MOICE (Microsoft Office Isolated Conversion Environment), бесплатной утилиты, преобразующей документы формата Office 2003 в более защищенный формат Office 2007. Администраторам также предлагается возможность включить блокировку всех файлов Office 2003 и более ранних форматов с помощью функции File Block, активизация которой возможна посредством модификации реестра или настроек политик пользовательских групп.
Служба информации OSP

Ссылки:
Брешь в Excel позволяет брать под контроль чужие компьютеры

Фирма Digital Armaments, специализирующаяся на исследованиях в области информационной безопасности, предлагает приз в размере 20 тыс. долл. за сведения о не опубликованных уязвимостях в Windows. Конкурс действует до 29 февраля. Претендентам необходимо представить на суд специалистов компании работоспособный эксплойт с документацией. Компания также принимает сведения о дырах в приложениях для Windows. На сайте Digital Armaments нет ни номера телефона, ни адреса компании, а сам сайт содержит немало орфографических ошибок. Победителям конкурса фирма обещает заплатить "либо деньгами, либо акциями или "кредитами", которые можно обменять на акции".
Служба информации OSP

Ссылки:
20 тыс. долл. за уязвимости Windows

В компоненте Oracle Siebel SimBuilder 7.x обнаружена ошибка, которая позволяет с помощью вредоносного сайта исполнить код в системе пользователя. Это возможно благодаря ActiveX-компоненту, который называется NCTAudioFile2.dll и является уязвимым для атаки на переполнение буфера. Исправлений от производителя пока не опубликовано.

Ссылки:
Oracle Siebel SimBuilder NCTAudioFile2 ActiveX Control Buffer Overflow

В Apple QuickTime обнаружена ошибка, которая позволяет вызвать переполнение буфера и исполнение вредоносного кода с помощью специально составленного QTL-файла. В связи с найденной ошибкой не рекомендуется посещать недоверенные сайты, а также загружать QTL-файлы из подозрительных источников.

Ссылки:
Apple QuickTime RTSP Reply Reason-Phrase Buffer Overflow

В MySQL обнаружена ошибка, которая позволяет зарегистрированному пользователю вызвать отказ в обслуживании СУБД или исполнить вредоносный код. Уязвимость базы возникла из-за использования компонента yaSSL, который используется для организации защищенного SSL-соединения. Рекомендуется разрешить доступ к SSL только для доверенных пользователей.

Ссылки:
MySQL yaSSL Multiple Vulnerabilities

Исследователи безопасности из хакерской группы GNUCitizen обнаружили возможность атаковать домашние маршрутизаторы с помощью системы Universal Plug and Play. Для проведения такой атаки достаточно, чтобы пользователь компьютера, к которому подключен маршрутизатор скачал и запустил специальный Flash-ролик. Именно возможности Adobe Flash и позволяют вмешаться в работу маршрутизаторов и модифицировать их настройки так, как это выгодно для хакеров. Наличие уязвимости подтверждено в маршрутизаторах фирм Linksys, D-link и SpeedTouch.

С помощью подобной атаки можно организовать фишинговое нападение или прослушивать в том числе и защищенные соединения. Пока защиты для этого типа атак не разработано, во всяком случае изменение пароля доступа к маршрутизатору не защищает от этой атаки. Наиболее радикальным способом защиты является деинсталляция модуля Adobe Flash.

Ссылки:
Большинство домашних маршрутизаторов уязвимо для атак
Большинство домашних маршрутизаторов уязвимо для атак

Исследователи Университета штата Индиана считают, что в том случае, если криминальные элементы получат доступ к слабо защищенным маршрутизаторам беспроводных сетей, они смогут атаковать тысячи подобных сетей в таких крупных городах, как Чикаго или Нью-Йорк. Причем в Нью-Йорке, по их мнению, может быть поражено более 20 тыс. маршрутизаторов за двухнедельный период, большая часть из которых подвергнется атаке в течение первого дня. Они считают возможным определение паролей администраторов и установку в маршрутизаторы "червеобразного" ПО, посредством которого может быть осуществлено заражение других устройств такого же ранга. Ученые университета обращают внимание на проблемы с безопасностью, присущие многим устройствам, предназначенным для локальных беспроводных сетей.
Служба информации OSP

Ссылки:
"Черви" для Wi-Fi

Специалист по информационной безопасности Аарон Уивер нашел способ вывода спама на принтеры через Web. Атака срабатывает только в случае с сетевыми принтерами; устройства, подключенные к компьютеру локально, для нее не уязвимы.

Стать жертвой принтерного спама можно, посетив вредоносный сайт, содержащий специальный код на JavaScript, который заставит браузер вывести задание на печать. По словам Уивера, атака срабатывает как с Internet Explorer, так и с Firefox. Теоретически на принтер можно отправлять не только текст, но и команды PostScript и PCL. Найденный им метод Уивер назвал "межсайтовой печатью", поскольку он полагается на стандартные практики межсайтового скриптинга.

Подобная атака возможна, поскольку в большинстве браузеров открыта возможность подключения к порту локальной сети 9100, который используется принтерами для ожидания заданий. Таким образом, используя браузер в роли посредника, атакующие получают через Internet доступ к принтерам в локальных сетях.

Разработчики браузеров уже в курсе данной проблемы. Так, по словам создателей Firefox, браузер блокирует доступ ко многим, но не ко всем портам, но если масштаб и уровень опасности атаки окажется серьезным, добавить порт 9100 к "черному списку" труда не составит.
Служба информации OSP

Ссылки:
Спам скоро начнет "приходить" прямо на принтеры

Компания Microsoft опубликовала январский набор исправлений для своих продуктов. В него вошли всего два исправления: для критических ошибок в стеке протоколов TCP/IP и важной уязвимости в сервисе Windows Local Security Authority Subsystem Service (LSASS). Причем ошибки в протоколе TCP/IP позволяют исполнить вредоносный код и полностью захватить контроль над компьютером пользователя. Ошибка существует в том числе и в операционной системе Vista, причем даже в ее 64-битной версии - в обоих случаях она позволяет исполнить вредоносный код. Собственно, обновление исправляет две ошибки: более опасную в протоколе IGMP версии 3 и MLD версии 2 (CVE-2007-0069) и практически безобидную в протоколе ICMP (CVE-2007-0066). И если с помощью специально подготовленной последовательности сообщений ICMP можно лишь вызвать отказ в обслуживании, то с помощью вмешательство в работу IGMP и MLD позволяет удаленно исполнить вредоносный код. Ошибка позволяет реализовать очень опасный вариант вредоносного кода - сетевого червя, который не требует создания файлов на диске компьютера и может быть активирован без реакции пользователя. Возможно, именно эта ошибка позволит хакерам написать вредоноса, нацеленного на ОС Windows Vista.

Ссылки:
Microsoft Security Bulletin Summary for January 2008
Microsoft Security Bulletin MS08-001 – Critical

В Microsoft официально подтвердили наличие ошибки в вышедшем недавно обновлении безопасности MS07-069, из-за которой у многих пользователей перестал работать Internet Explorer. Однако вместо исправления самой ошибки в корпорации пока предложили обходное решение. Упомянутое обновление, одно из семи, вышедших 11 декабря, должно было устранить четыре критических уязвимости в IE 5.01, IE6 и IE7. Как сообщают в Microsoft, из-за присутствующей в нем ошибки Internet Explorer 6 в Windows XP Service Pack 2 может начать отказываться открывать Web-сайты. Предложенное специалистами корпорации обходное решение состоит во внесении изменений в один из ключей реестра Windows.
Служба информации OSP

Ссылки:
Исправить "сломанный" IE6 можно модификацией реестра

В Microsoft проводят проверку по многочисленным жалобам пользователей на нарушение работы браузера Internet Explorer после установки вышедшего на прошлой неделе обновления безопасности, зарегистрированного в бюллетене MS07-069. У некоторых из пользователей IE перестал запускаться, у других после захода на многие сайты начал выдавать сообщение об ошибке и прекращать работу. Исправление в Microsoft пока не разработали, но восстановить нормальную работу IE можно путем деинсталляции обновления.
Служба информации OSP

Ссылки:
Обновление "испортило" Internet Explorer

В mp4-кодеке, разработанном компанией 3ivx Technologies, обнаружена уязвимость, которая позволяет добиться исполнения вредоносного кода. Ошибка может проявиться в Windows Media Player от Microsoft и в Winamp от AOL, а также в любом другом плеере, который использует указанный кодек. Эксплойт уязвимости есть, а исправлений нет, поэтому рекомендуется удалить кодек и отключить плееры, которые исполняют файлы в mp4.

Ссылки:
Обнаружены уязвимости в Windows Media Player и Winamp

Обнаружена уязвимость в Microsoft Access, которая позволяет с помощью специально сформированного MDB-файла вызвать переполнение буфера и исполнение вредоносного кода. Скорее всего, речь идет о недавно обнаруженной ошибке в движке Microsoft Jet DataBase, который используется в СУБД Access. Хакеры уже эксплуатируют эту уязвимость, хотя исправлений для нее нет. Поэтому рекомендуется не открывать файлы формата MDB, полученные из недостоверных источников или предварительно проверять их антивирусами.

Ссылки:
Хакеры эксплуатируют дыру в СУБД Microsoft Access

Исправлены три ошибки в базе данных MySQL, которые позволяли манипулировать информацией в системной таблице базы, вывести СУБД из строя с помощью специально сформированной федеративной базы и манипулировать правами пользователей с помощью команды ALTER VIEW. Все уязвимости устранены в версиях MySQL Enterprise 5.0.52, MySQL Community Server 5.0.51, MySQL 5.1.23 и MySQL 6.0.4.

Ссылки:
Устранены три уязвимости MySQL

Аукцион по продаже информации об уязвимостях Wabisabilabi выставил лот в виде бреши в СУБД SAP MaxDB, его начальная стоимость - 3 тыс. евро. Согласно описанию, уязвимость позволяет атакующему несложным образом получить доступ ко всему содержимому базы данных. Подробности и образец кода эксплойта предлагаются для приобретения.

Швейцарская компания Wabisabilabi создала свой электронный аукцион летом этого года, заявив, что он поможет исследователям уязвимостей легально получать деньги за свои находки вместо того чтобы продавать их на "черном рынке". Как заявляют в Wabisabilabi, продать брешь через аукцион можно только квалифицированным специалистам по безопасности, которые заведомо не будут использовать ее во вред.
Служба информации OSP

Ссылки:
Эксплойт для ПО SAP выставлен на аукционе

В клиенте Skype была обнаружена уязвимость, которая позволяла вызвать переполнение буфера и исполнение вредоносного кода. Ошибка существовала в обработчике протокола skype4com. Компания Skype оперативно исправила ошибку, не сообщив об этом пользователям - новая версия клиента должна установиться автоматически. Поэтому пользователям Skype рекомендуется как можно скорее инициировать обновление своих клиентов.

Ссылки:
В Skype устранена критическая уязвимость

В антивирусном продукте компании Avast обнаружена уязвимость, которая позволяет с помощью специальной установки полей файла вызвать нарушение в работе динамической памяти с возможным исполнением вредоносного кода. Ошибка существует в обоих вариантах поставки Home и Professional. Она исправлена в новой версии продукта с индексом 4.7.1098.

Ссылки:
Уязвимость в Avast

Компания Microsoft опубликовала последние в этом году исправления для своих продуктов. Самих бюллетеней оказалось семь - три критические и четыре важных. Критические бюллетени описывают две ошибки в DirectX, одну - в WMF и четыре в Internet Explorer. Все они позволяют удаленно запускать вредоносные коды. Четыре важных бюллетеня описывают ошибки в протоколах SMBv2 и MSMQ, а также в ядре операционной системы и драйвере Macrovision. Первые две позволяет добиться удаленного исполнения кода, а две последние - повышения привилегий зарегистрированных пользователей. Причем ошибка в параметрах драйвера Macrovision является публично известной.

Ссылки:
Microsoft Security Bulletin Summary for December 2007

Свой последний в этом году "исправительный вторник" Microsoft отметит выпуском семи заплат безопасности, пять из которых предназначены для Windows Vista. Три из семи бюллетеней будут "критическими", остальные - "важными". Подробностей заранее в Microsoft, как обычно, не раскрывают, но эксперты полагают, что одна из важных заплат закроет, наконец, уязвимость в драйвере системы защиты от копирования Macrovision SafeDisc. Это исправление планировалось еще месяц тому назад, но Microsoft понадобилось дополнительное время на тестирование. Кроме заплат для уязвимостей будет выпущено шесть высокоприоритетных исправлений, не относящихся к безопасности. Итого, всего за этот год Microsoft опубликовала 69 бюллетеней безопасности, что на девять меньше, чем в 2006-м, но на 14 больше, чем в 2005-м.
Служба информации OSP

Ссылки:
Заплаты от Microsoft: финальный аккорд

Воспользовавшись слабостью алгоритма, используемого для шифрования передачи символов с беспроводных клавиатур Microsoft на компьютер, швейцарские исследователи Макс Мозер и Филип Шродел с легкостью научились перехватывать нажатия на клавиши на расстоянии. Длина ключа шифрования на клавиатурах Microsoft Optical Desktop 1000 и 2000 составляет 1 байт. По словам исследователей, чтобы подобрать ключ, достаточно перехватить всего 30 символов. С помощью недорогого приемника это можно делать с расстояния до 10 м, а то и больше, если увеличить длину антенны. Подбор ключа, количество вариантов которого, учитывая длину, не так уж и велико, выполняется с помощью словаря. После определения ключа все набираемые на "взломанной" радиоклавиатуре символы отображаются в отдельном окне программой, написанной исследователями. Она даже дает возможность одновременно перехватывать тексты с нескольких клавиатур. Добившись "успеха" с устройствами Microsoft, Мозер и Шродел взялись за изучение клавиатур других производителей.
Служба информации OSP

Ссылки:
Клавиатуры Microsoft - находка для шпиона

Разработчики Firefox выпустили версию 2.0.0.10, в которой исправлены опасные ошибки. В частности, устранена уязвимость в Java-архивах .jar, которая позволяла упаковать в архив вредоносный код и исполнить его на браузере.

Ссылки:
В Firefox 2.0.0.10 устранены новые и старые уязвимости

Компания Core Security Technologies обнаружила критическую уязвимость для IBM Lotus Notes, которая позволяет исполнить вредоносный код с помощью специально подготовленного листа Lotus 1-2-3. Для версий Lotus Notes 7 и 8 компания уже выпустила исправления, но для более ранних - пока нет. Ошибка позволяет написать вирус, который распространяется по электронной почте.\

Ссылки:
Уязвимость открывает Lotus Notes для почтовых атак

Компания Symantec выпустила обновления для своего продукта Backup Exec for Windows Servers, в модуле которого обнаружена ошибка целочисленного переполнения буфера. Она может привести к DoS-атаке на сервер.

Ссылки:
Symantec устранила уязвимость в Backup Exec for Windows Servers

В видеоплеере Apple QuickTime 7.3 обнаружена ошибка, которая позволяет с помощью специально сформированного видеопотока, передаваемого по протоколу RTSP (Real-Time Streaming Protocol), добиться переполнения буфера и исполнения вредоносного кода на стороне жертвы. Для уязвимости уже опубликован эксплойт, однако производитель пока не выпустил соответствующих исправлений. Поэтому до установки соответствующих исправлений пользователям QuickTime не рекомендуется подключаться к сомнительным видеосерверам.

Ссылки:
В QuickTime обнаружена критическая уязвимость

Разработчики Python готовят в августе следующего года выпуск языка Python 3.0, который будет существенно усовершенствован, но при этом не вполне совместим с линейкой 2.х. По словам создателей Python, за те 15 с лишним лет, что прошли со времени появления языка, стали заметны некоторые его конструктивные дефекты, и в версии 3.0 разработчики постараются их исправить. Таким образом, Python 3000 станет первой версией Python, в которой обратная совместимость принесена в жертву кардинальным усовершенствованиям.

Ссылки:
Создатели Python исправляют ошибки 15-летней давности