2006

W zdobywającej coraz większą popularność dystrybucji Linuksa – Ubuntu – odkryto krytyczny błąd.

Okazuje się, że wersja 5.10 tego systemu operacyjnego pozwala na odczytanie hasła administratora każdej osobie, która ma dostęp do komputera.

Wystarczy jedynie otworzyć plik z logami instalatora. To najprawdopodobniej wynik błędu programu instalującego, który powinien automatycznie usunąć takie informacje z pliku.

Aby zabezpieczyć swój komputer użytkownicy Ubuntu powinni zaktualizować pakiety base-config oraz passwd do wersji 2.67ubuntu20 (base-config) oraz 1:4.0.3-37ubuntu8 (passwd).

Dzięki temu z pliku z logami zostanie usunięte hasło. Ponadto dostęp do niego będzie mógł uzyskać jedynie administrator systemu.
Problem dotyczy tylko wersji 5.10.

Źródło: Arcabit.pl

Specjaliści z laboratoriów Microsoft Research, wspólnie z pracownikami University of Michigan, stworzyli prototyp nowego rootkita, którego wykrycie jest niezwykle trudne.

Prototyp o nazwie SubVirt wykorzystuje luki w systemach operacyjnych i instaluje na zaatakowanych komputerach monitor maszyny wirtualnej (VMM). Rootkit działa na systemach Windows i Linux.

Po zainstalowaniu VMM SubVirt staje się niemożliwy do wykrycia, gdyż oprogramowanie antywirusowe nie ma dostępu do maszyny wirtulanej.

SubVirta przetestowano zarówno na maszynach linuksowych jak i windosowych. Okazało się, że po zarażeniu cyberprzestępcy mogliby wprowadzać do komputera kolejne porcje szkodliwego kodu, nie obawiając się wykrycia.

„Każdy kod uruchamiany na zaatakowanym OS-ie jest niewidoczny. Daje to intruzowi całkowitą swobodę” – napisali badacze.

Źródło: Arcabit.pl

22 marca (środa) odbędzie się kolejne spotkanie merytoryczne ISSA Polska, wstęp wolny.

Zapraszamy na godzinę 17.30 do siedziby Telekomunikacji Polskiej SA w Warszawie przy ul.Twardej 18, na 1 piętro sala 3.39.

Agenda:

Marcin Kucharski – Polkomtel S.A.
„Aplikacje internetowe – querying i injection”

Co oznaczają terminy „querying” i „injection” wie prawie każdy specjalista do spraw bezpieczeństwa systemów informatycznych – lub powinien wiedzieć.

W Internecie jest dużo jedynie powierzchownej informacji na ten temat. Materiały ograniczają się do informacji, że można coś dodać do zapytania.

Techniki „querying” i „injection” nie są proste w użyciu. Każda osoba zainteresowana tą tematyką może zastanowić się, czy serwer lub maszyna będzie skompromitowana jeżeli do zapytania doklei się ‚1’=’1′. Nawet jeżeli uda się dokleić takie wyrażenie, to co można robić dalej?

Prezentacja będzie obrazowała co dzieje się „dalej”. Pokazane będzie jak przez taką dziurkę od klucza zwiedzić mieszkanie oraz w jaki sposób zabezpieczyć się tak, aby osoby próbujące zwiedzić nasze mieszkanie zatrzymały się na etapie dziurki od klucza.

Marcin Kucharski

Obecnie pracuje jako administrator aplikacji w departamencie Infrastruktury informatycznej Polkomtel S.A. Uczestnik wielu projektów, jako specjalista systemów infrastruktury (w szczególności systemów aplikacyjnych, baz danych, Active Direktory i LDAP). Wcześniej pracował w firmie programistyczno-wdrożeniowej ASoft, a także w Summit Motors Poland i Biurze Bezpieczeństwa Narodowego. Marcin Kucharski jest absolwentem Polsko Japońskiej Wyższej Szkoły Technik Komputerowych w Warszawie, a także Wydziału Zarządzania Uniwersytetu Warszawskiego. Aktualnie przygotowuje na UW prace doktorską z zakresu modelowania inteligentnych narzędzi do automatycznego pozyskiwania informacji gospodarczych z Internetu. Posiadacz kilku certyfikatów branżowych, min. MCSE2003, MCDBA, CNA, ITIL.

UWAGA. Ze względów organizacyjnych wymagane jest zgłoszenie chęci udziału w spotkaniu najpóźniej do 21 marca 2006 roku. Można to zrobić wysyłając zgłoszenie na adres: info@issa.org.pl

Wydział Matematyki i Informatyki Uniwersytetu Warmińsko-Mazurskiego oraz Olsztyńska Wyższa Szkoła Informatyki i Zarządzania w Olsztynie zapraszają na drugą edycję Olsztyńskich Spotkań Informatycznych, które odbędą się na przełomie marca i kwietnia (14 III – 6 IV).

Tematyka spotkań jest jak co roku zróżnicowana, poruszone zostaną zagadnienia z dziedziny sieci komputerowych, wolnego oprogramowania, tworzenia aplikacji oraz streamingu video i telefonii internetowej (VoIP).

Wykład inauguracyjny nt. Humanistycznej Inżynierii Oprogramowania, który odbędzie się w najbliższy wtorek (14 marca) poprowadzi dr Jacek Sokulski, uznany specjalista z tej dziedziny.

Wstęp na wszystkie spotkania jest bezpłatny i nie wymaga rejestracji. Szczegółowe informacje oraz agenda znajdują się na stronie http://www.osi.olsztyn.pl

Wielu graczy marzy o tym, by gra otaczała ich niemal jak prawdziwy świat. Aby spełnić takie marzenie konieczne będzie opracowanie zupełnie nowych wyświetlaczy.
Ale już teraz można poczuć przedsmak takiego rozwiązania. Spece z Plastk.net zdołali opracować system z 24 wyświetlaczami, na którym uruchomiono grę Quake 3. Aby dało się grać w rozdzielczości 10.240 x 3072 konieczne było włączenie gry na 12 serwerach z linuksem i wyłączenie w grze niektórych efektów świetlnych.

Źródło: Plastik.net / x86.pl

Użytkownicy PeerCasta powinni ze względów bezpieczeństwa, zainstalować nową wersje oznaczoną v0.1217, ponieważ w aplikacji serwera występował bląd, który poprzez przepełnienie bufora umozliwiał wprowadzenie i wykonanie dowolnego kodu.

PeerCast jest zarówno klientem jak i Serwerem i powinien umożliwiać przesylanie strumieni Audio – Video nawet bez łączy szerokopasmowych.

Z doniesien INFIGO (www.infigo.hr), odkrywców luki, atakujący może wykorzystać błąd poprzez odpowiednio spreparowany URL. W dodatku w sieci jest już dostępny exploit ()

Źródlo: Heise.de

IBM wydało właśnie swój nowy system plików – GPFS. Jak zapewniają nas twórcy, system ten jest idealny do zastosowań serwerowych, klastrowych oraz do super szybkich naukowych komputerów.

Głównymi zaletami systemu plików IBM GPFS (General Parrarel File System), jak zapewniają nas twórcy, to m. in.:

– idealna współpraca z systemami AIX 5L oraz z klastrami tworzonymi w oparciu o systemy Linuksowe

– obsługa ponad 1000 dysków twardych za pomocą jednego systemu plików

– znakomita obsługa pamięci o pojemnościach większych nawet od 1,5 petabajta (1 petabajt = 1024 terabajtów)

– dostępny transfer: 102 GB/s
GPFS dostępne jest pod AIX 5L oraz Linux (architektura IBM AMD bądź POWER).
Źródło: IBM
Rozwód IBM-u z Computerlandem
Tysiące nowych miejsc pracy w IBM
Luki w IBM Lotus Notes
Novell strategicznym partnerem IBM
WinFS – nowy system plików dla Windowsa

Zbiorowy pozew przeciw Google złożyli w lutym reklamodawcy oskarżając wyszukiwarkę, że świadomie zawyża opłaty za linki reklamowe.

W 2002 roku Google Inc., który większość swoich dochodów czerpie z reklam, zaczął oferować je w systemie „cost per click” – reklamodawcy płacą prowizję za każde kliknięcie na swój banner reklamowy.

Wielu internautów odwiedzających stronę Google klika wielokrotnie na bannery reklamowe, nie mając zamiaru niczego kupić. Skarżący reklamodawcy twierdzą, że Google próbował zaniżyć liczbę tych wielokrotnych „fałszywych” wejść, tym samym nieuczciwie zwiększając swoje zyski z reklam.

Firma Google zaproponowała 90 mln dolarów w zamian za ugodę. Prawnik Nicole Wong, reprezentująca Google, w oficjalnym oświadczeniu umieszczonym na stronie Google zaznaczyła: „nie wiemy ilu reklamodawców zgłosi się po zwrot pieniędzy. Cała kwota, którą przeznaczamy na ten cel, w tym na wynagrodzenie dla prawników, nie przekroczy 90 mln dolarów”.

Zwrotu pieniędzy mogą się domagać wszyscy reklamujący się na stronach Google w ciągu ostatnich 4 lat, jeśli uważają, że musieli zapłacić za „fałszywe kliknięcia” lub nie zwrócono im za nie dotychczas kosztów. Pieniądze mają być formą kredytu za reklamy, które w przyszłości zamieszczą na stronach Google.

Google od dawna twierdzi, że fałszywe wejścia na bannery reklamowe to problem, z którym sobie radzi. – Większość fałszywych kliknięć jest wyłapywana przez nasze filtry, zanim jeszcze wystawimy rachunek reklamodawcy.- czytamy w oświadczeniu firmy.

Suma, którą wypłaci Google to mniej niż 1% dochodów firmy z ostatnich 4 lat, którą szacuje się na ponad 11 miliardów dolarów. Aby wejść w życie, warunki ugody muszą zostać jeszcze zatwierdzone przez sąd.

Źródło: Wirtualne Media

Firma RSA Security, specjalizująca się w zabezpieczeniach IT, ostrzega przed nowym typem phishingu. Zyskał on miano Smart Redirection Attack.

Jego celem jest zapewnienie cyberprzestępcom, że podsuwane potencjalnym ofiarom linki zawsze będą aktywne.

Dotychczas odkryto dwa ataki przeprowadzone przy użyciu tej techniki. Jeden na bank w Wielkiej Brytanii, drugi na bank w Kanadzie.

Aby przeprowadzić atak nowego typu przestępcy tworzą kilka podobnie wyglądających stron WWW na różnych serwerach. Ofiarom wysyłane są linki, które prowadzą do serwera ze specjalnym oprogramowaniem. Jeśli użytkownik kliknie na link, program sprawdza, która ze stworzonych przez oszustów stron jest aktywna, i tam kieruje ofiarę.

Taka technika daje oszustom większą gwarancję, że stworzone przez nich strony nie zostaną szybko namierzone i zamknięte. Gdy używają oni pojedynczej strony WWW może się zdarzyć tak, że żadna z osób, które odebrały fałszywe maile nie padnie ofiarą oszustów, gdyż strona zostanie szybko zamknięta. Smart Redirection Attack pozwala uniknąć takiej sytuacji.

Źródło: Arcabit.pl

Szwedzki fan Apple twierdzi, że udało się włamać na Mac Mini.

Konkurs dla hakerów nazywał się rm my Mac. Zadanie polegało na włamaniu się do uaktualnionej wersji systemu Mac OS X 10.4.5 i skasowaniu zawartości komputera.

Maszyna posiadała konfigurację podobną do serwerów udostępniających usługi sieciowe i umożliwiając lokalne logowanie.

26 lutego autor konkursu ogłosił, że użytkownik o pseudonimie Gwerdna dokonał podmienienia strony głównej na tym komputerze w ciągu 20-30 minut.

Haker, po wyeliminowaniu najczęstszych błędów w konfiguracji, skorzystał z luk w systemie, które nie zostały jeszcze podane do publicznej wiadomości.

Specjaliści od zabezpieczeń w Mac OS X – w tym Neil Archibald – jeszcze w styczniu informowali, że system ma dziury, dzięki którym można dokonać włamania do komputera.

Początkowo centrala Apple w Kalifornii nie była w stanie skomentować włamania. Pojawiły się już jednak pierwsze opinie.

Dave Schroeder, starszy inżynier systemów w University of Wisconsin twierdzi, że to konfiguracja serwera spowodowała dostęp do komputera Mac Mini. Jego zdaniem skonfigurowane w sposób standardowy maszyny nie pozwolą na dostęp do zawartości systemu nikomu z zewnątrz.

D. Schroeder jest tak pewny bezpieczeństwa swojego Maca, że ogłosił własny konkurs. Na swojej stronie napisał, że zdanie polega na podmienieniu strony głównej witryny test.doit.wisc.edu.

Komputer na jakim znajduje się system do Mac Mini (PowerPC) z systemem Mac OS X 10.4.5 z najnowszym uaktualnieniem bezpieczeństwa Security Update 2006-001, posiada dwa konta lokalne. Dodatkowo ma otwarte porty ssh i http, co ma być ułatwieniem względem większości działających systemów Mac OS X.

Każdy, kto odkryje sposób na włamanie się, powinien wysłać maila na adres das@doit.wisc.edu i opisać metodę, jakiej użył. Błąd zostanie potem zgłoszony do firmy Apple lub firm odpowiedzialnych za dany komponent.

Wyzwanie Schroedera trwa do piątku 10 marca 2006.