The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

/ Безопасность
 - Виртуальные серверы и изолированные окружения
 - Квоты, ограничения
 - Firewall
 - Вирусы и спам
 - Шифрование, SSH, SSL
 - Приватность
21.02.2019 Критическая уязвимость в системе управления web-контентом Drupal (19 +1)
  В системе управления контентом Drupal выявлена критическая уязвимость (CVE-2019-6340), позволяющая удалённо выполнить произвольный PHP код на сервере. Уязвимости присвоен наивысший уровень опасности - "Highly critical" (20∕25). Проблема устранена в выпусках Drupal 8.5.11 и 8.6.10...
21.02.2019 Уязвимость в ядре Linux, позволяющая повысить свои привилегии в системе (81 +13)
  В ядре Linux выявлена уязвимость (CVE-2019-8912), которая позволяет непривилегированному пользователю выполнить свой код на уровне ядра. По мнению некоторых поставщиков потенциально возможно нахождение векторов для эксплуатации уязвимости по сети, но данные сведения пока не подтверждены. В том числе Национальный институт стандартов и технологий США (NIST) отметил проблему как удалённо эксплуатируемую и легко воспроизводимую...
20.02.2019 Раскрыты детали уязвимости в WordPress 5.0.0 (73 +7)
  Саймон Скэннелл (Simon Scannell), в прошлом году предложивший метод атаки "PHP Phar deserialization", опубликовал сведения об уязвимости в системе управления контентом WordPress, позволяющей выполнить произвольный код на сервере, имея привилегии автора публикаций (Author) на сайте. В обновлениях WordPress 4.9.9 и 5.0.1 была добавлена частичная защита, позволяющая блокировать атаку в основном коде WordPress, но полностью проблема остаётся не исправленной и в актуальном выпуске WordPress 5.0.3 может быть эксплуатирована через дополнительные ошибки в плагинах (отмечается, что проблема проявляется в некоторых популярных плагинах c миллионами активных установок)...
20.02.2019 0.77% крупнейших сайтов используют Canvas для скрытой идентификации посетителей (97 +15)
  Французский исследователь безопасности Антуан Вастель (Antoine Vastel) опубликовал результаты анализа распространённости метода скрытой идентификации ("browser fingerprinting"), учитывающего особенности отрисовки графики при помощи HTML-элемента canvas. Изучение 500 тысяч самых популярных сайтов по рейтингу Alexa показало, что указанная техника скрытой идентификации применяется на 3825 (0.77%) главных страницах сайтов. Интересно, что похожее исследование, проведённое в 2016 году и охватившее миллион крупнейших сайтов, выявило применение canvas для скрытой идентификации на 1.6% сайтах...
20.02.2019 Выпуск модуля LKRG 0.6 для защиты от эксплуатации уязвимостей в ядре Linux (29 +10)
  Проект Openwall опубликовал выпуск модуля ядра LKRG 0.6 (Linux Kernel Runtime Guard), обеспечивающего выявление несанкционированного внесения изменений в работающее ядро (проверка целостности) или попыток изменения полномочий пользовательских процессов (определение применения эксплоитов). Модуль подходит как для организации защиты от уже известных эксплоитов для ядра Linux (например, в ситуациях когда в системе проблематично обновить ядро), так и для противостояния эксплоитам для ещё неизвестных уязвимостей. Об особенностях LKRG можно прочитать в первом анонсе проекта...
19.02.2019 Уязвимость в systemd, которую можно использовать для блокирования работы системы (223 +33)
  В systemd найдена уязвимость (CVE-2019-6454), позволяющая вызвать крах управляющего процесса инициализации (PID1) через отправку непривилегированным пользователем специально оформленного сообщения через шину D-Bus. Разработчики из Red Hat также не исключают возможность применения уязвимости для организации выполнения кода с привилегиями root, но окончательно возможность такой атаки пока не определена...
19.02.2019 Релиз дистрибутива для исследования безопасности систем Kali Linux 2019.1 (25 +7)
  Представлен релиз дистрибутива Kali Linux 2019.1, предназначенного для тестирования систем на предмет наличия уязвимостей, проведения аудита, анализа остаточной информации и выявления последствий атак злоумышленников. Все оригинальные наработки, созданные в рамках дистрибутива, распространяются под лицензией GPL и доступны через публичный Git-репозиторий. Для загрузки подготовлен полный iso-образ (3.2 Гб) и сокращённый образ (929 Мб). Сборки доступны для архитектур x86, x86_64, ARM (armhf и armel, Raspberry Pi, Banana Pi, ARM Chromebook, Odroid). Помимо базовой сборки с GNOME и урезанной версии предлагаются варианты с Xfce, KDE, MATE, LXDE и Enlightenment e17...
17.02.2019 Релиз платформы для конфиденциального обмена сообщениями RetroShare 0.6.5 (59 +15)
  Представлена новая версия RetroShare 0.6.5, платформы для конфиденциального обмена файлами и сообщениями при помощи шифрованной Friend-to-Friend сети. В данной разновидности одноранговых сетей пользователи устанавливают прямые соединения только с пирами, которым они доверяют. Сборки подготовлены для Windows, FreeBSD и многих дистрибутивов GNU/Linux. Исходный код RetroShare написан на языке C++ с использованием тулкита Qt и распространяется под лицензией GPLv2+...
15.02.2019 Уязвимость в библиотеке MatrixSSL (9 +9)
  В открытой криптографической библиотеке MatrixSSL, рассчитанной на использование во встраиваемых устройствах и лежащей в основе коммерческого продукта Inside Secure TLS Toolkit (GUARD TLS Toolkit), выявлена уязвимость, приводящая к переполнению буфера при обработке специально оформленных сертификатов X.509 на стороне клиента или сервера. Интересно, что идентичная уязвимость (CVE-2014-1569) была исправлена в библиотеке Mozilla NSS в 2014 году (проблема в MatrixSSL всплыла после проверки подверженности данной библиотеки старому эксплоиту для NSS). Более того, в 2014 году компания Intel после анализа уязвимости в NSS указала, что MatrixSSL имеет аналогичные проблемы в коде разбора сертификатов ASN.1, но все эти уязвимости так и остались неисправленными...
14.02.2019 Критическая уязвимость в WordPress-плагине "Simple Social Buttons" (53 +10)
  В "Simple Social Buttons", популярном плагине к системе управления web-контентом WordPress, выявлена критическая уязвимость, позволяющая получить контроль над сайтом. Плагин Simple Social Buttons позволяет адаптивно подставлять кнопки отправки данных в социальные сети в различные части страницы в зависимости от их содержимого. Плагин насчитывает более 40 тысяч активных установок (число загрузок превышает 500 тысяч)...
13.02.2019 Уязвимость в snapd, позволяющая получить root-привилегии в системе (84 +12)
  В snapd, инструментарии для управления самодостаточными пакетами в формате snap, выявлена уязвимость (CVE-2019-7304), позволяющая непривилегированному пользователю получить права администратора (root) в системе. Для проверки систем на наличие уязвимости опубликовано два прототипа эксплоита - первый позволяет завести нового пользователя в системе, а второй даёт возможность установить любой snap-пакет и запустить код с правами root (через установку пакета в режиме "devmode" с прикреплением обработчика, вызываемого с привилегиями root при установке пакета)...
13.02.2019 Обновление Firefox 65.0.1 и Tor Browser 8.0.6 (30 +19)
  Подготовлен корректирующий выпуск Firefox 65.0.1, в котором устранены три уязвимости и исправлено 8 ошибок. Уязвимости затрагивают входящую в состав библиотеку Skia и могут привести к целочисленному переполнению, обращению к уже освобождённой области памяти или переполнению буфера при обработке специально оформленных данных. Уязвимости также устранены в выпуске Firefox 60.5.1 ESR...
12.02.2019 Опубликована техника скрытия вредоносного кода в анклавах Intel SGX (69 +31)
  Группа исследователей из Грацского технического университета (Австрия), ранее известная разработкой техники атаки NetSpectre и метода эксплуатация уязвимости в DRAM-памяти через локальную сеть, продемонстрировала (PDF) метод скрытия вредоносного кода при помощи изолированных анклавов Intel SGX и организации контроля за основной системой из выполняемого в анклаве кода, в обход накладываемых анклавом ограничений...
11.02.2019 Уязвимость в runc и LXC, затрагивающая Docker и другие системы контейнерной изоляции (76 +17)
  В runc, инструментарии для запуска изолированных контейнеров, выявлена критическая уязвимость (CVE-2019-5736), позволяющая из подконтрольного злоумышленнику изолированного контейнера изменить исполняемый файл runc и получить root-привилегии на стороне хост-системы. Уязвимость затрагивает все системы контейнерной изоляции, использующие runtime runc, включая Docker, cri-o, containerd, Kubernetes, Podman и flatpak. Также отмечается, что аналогичная уязвимость присутствует в инструментариях LXC и Apache Mesos...
10.02.2019 Google представил механизм Adiantum для быстрого шифрования накопителей (16 +22)
  Компания Google предложила механизм шифрования накопителей Adiantum, который может применяться на маломощных устройствах, на которых невозможно использовать алгоритм блочного шифрования AES из-за слишком больших накладных расходов. В частности, Google намерен применять Adiantum для шифрования накопителей младших моделей смартфонов на базе платформы Android, оснащаемых процессорами ARM, не предоставляющими инструкции для аппаратного ускорения шифрования AES. Эталонная реализация алгоритма опубликована под лицензией MIT, реализация на уровне подсистемы ядра Linux dm-crypt опубликована под лицензией GPLv2 (патчи подготовлены как для редакций ядра для Android, так и для обычных ванильных ядер Linux)...
Следующая страница (раньше) >>


  Закладки на сайте
  Проследить за страницей
Created 1996-2019 by Maxim Chirkov  
ДобавитьПоддержатьВебмастеруГИД  
Hosting by Ihor