Eksperci ds. bezpieczeństwa IT wykryli lukę w programie Hosting Controller, która umożliwia zdalnemu autoryzowanemu użytkownikowi wykonanie dowolnego polecenia SQL w bazie danych aplikacji oraz wywołanie zawieszenia systemu.

Luka powstaje w wyniku nieprawidłowego przetwarzania danych wejściowych w scenariuszu listreason.asp.

Zagrożone programy to Hosting Controller 6.1 HotFix 2.1 oraz wersje wcześniejsze.

Luka ma exploita, jednakże na dzień dzisiejszy nie znane są sposoby jej usunięcia.

Źródło: Dr WEB

Znana miłośnikom alternatywnych przeglądarek internetowych strona SpreadFirefox, mająca na celu koordynowanie akcji promującej przeglądarkę Firefox została już prawie tydzień temu z powodzeniem zaatakowana przez nieznanych włamywaczy.

Jak podaje Arstechnica, dopiero wczoraj wszyscy zarejestrowani użytkownicy SpreadFirefox otrzymali e-mail oznajmiający, iż ich dane prywatne, w tym hasła mogły zostać przejęte przez włamywaczy. Na kilka dni strona zniknęła z sieci.

Użytkownikom serwisu SpreadFirefox zaleca się zmianę hasła, bądź haseł – jeśli to, chroniące dostęp do konta na SpreadFirefox nie było unikalnym.

Problemy ze stroną internetową, a raczej domeną ma także od pewnego czasu przeglądarka Opera.

Mianowicie, domena opera.pl prowadzi pod adres waddi.requin.jmsp.net, gdzie ujrzymy zawartość strony http://www.mozilla-europe.org/pl/.

Choć adres Opera.pl nie jest w jakikolwiek sposób oficjalnie wspierany, czy też utożsamiany z przeglądarką Opera – budzi jednoznaczne skojarzenia, a przede wszystkim wprowadza w błąd niedoświadczonych Internautów oraz niekorzystnie wpływa na atmosferę pomiędzy środowiskami sympatyków przeglądarek Firefox i Opera.

Warto podkreslić, że już jakiś czas temu polscy sympatycy Firefoksa apelowali do administratorów serwerów Mozilla Europe o konfigurację serwera umożliwiającą odczyt strony www tylko z oficjalnego adresu.

Autor: Piotr Konieczny
http://www.spreadfirefox.com/?q=node/view/16836
http://arstechnica.com/news.ars/post/20050715-5101.html

Niemiecki operator Vodafone, planuje uniemożliwić odbieranie rozmów ze Skype i innych telefonów internetowych. Technologia VoIP dla operatorów komórkowych, podobnie jak dla firmy obsługujących sieć stacjonarną, jawi się jako duże zagrożenie.

Rzecznik Vodafone Germany, Heiko Witzke poinformował, że zmiana polityki firmy w stosunku do połączeń przychodzących od operatorów VoIP miałaby nastąpić od roku 2007.

Nie wyjaśnił jednak dlaczego przedsiębiorstwo się na to zdecydowało, ale w wywiadzie stwierdził, że „rok 2007 jest jeszcze daleko i wiele się może do tego czasu wydarzyć”.

Rzecznik kwatery głównej Vodafone w Wielkiej Brytanii powiedział, że w pozostałych 15 oddziałach firmy, funkcjonujących w Europie i Azji nie ogłoszono podobnych rewelacji.

Czy operatorzy komórkowi mają się czego bać? Wygląda na to, że tak.

Technologia VoIP umożliwia przede wszystkim darmowe rozmowy pomiędzy dwoma urządzeniami podłączonymi do internetu, korzystającym z tego samego oprogramowania (zagrożenie nr 1 – użytkownik możliwie często będzie używał VoIP).

Dzięki VoIP możemy także wykonywać połączenia z telefonami stacjonarnymi i komórkowymi po niezwykle korzystnej cenie (zagrożenie nr 2 – użytkownik nie zadzwoni z komórki bo użyje VoIP).

Oprogramowanie niezbędne do używanie VoIP jest łatwo dostępne i darmowe (zagrożenie nr 3 – użytkownik nie będzie miał oporów przed użyciem VoIP).

Operatorzy sieci stacjonarnych w USA już podejmowali kroki aby zwalczyć niewygodnego rywala. Firmy wywierały naciski na stanowe i federalne ciała ustawodawcze, tak aby wprowadzić regulacje niekorzystne dla VoIP. Próbowały także odmawiać wsparcia dla numerów dostępowych z których korzystają telefony internetowe.

W Polsce największy operator stacjonarny dopatrzył się w VoIP przede wszystkim zagrożenia dla zysków z rozmów międzynarodowych.

Źródło: Dziennik Internautów

W tym tygodniu Cisco Systems wykryło w swoich produktach kilka słabych punktów, które mogą umożliwiać ataki typu DoS (denial-of-service). Najistotniejszą z luk ujawniono we wtorek.

Firma ostrzegła wtedy, że hackerzy mogli sparaliżować sieci telefonii IP Cisco, wykorzystując luki w CallManagerze – oprogramowaniu, stanowiącym trzon tych sieci.

Luki umożliwiały atakującemu namierzenie przepełnienia pamięci, w obrębie krytycznego procesu CallManagera.

Mogło to doprowadzić do ataku DoS, którego rezultatem byłoby zamknięcie i restart serwera.

Dzięki temu atakujący mógł przekierowywać i podsłuchiwać rozmowy, a także uzyskać dostęp do sieci i komputerów, obsługujących produkty VoIP Cisco.

Luka dotyczy CallManagera w wersji 4.1, 4.0, 3.3 i wcześniejszych. Zdaniem przedstawiciela Cisco, nie zgłoszono do tej pory żadnych przypadków ataku, wykorzystującego opisane luki.

Luk w CallManagerze nie określa się jako „krytyczne”, ponieważ atakujący musiałby być w sieci, w celu jej wykorzystania – powiedział Michael Sutton, dyrektor iDefense Labs.

W maju Cisco opublikowało inne ostrzeżenie, dotyczące luk, zagrażających ich telefonii IP. Luka obejmowała telefony obsługujące protokół DNS.

Telefonia IP, a w szczególności sieci VoIP są o wiele mniej bezpieczne niż tradycyjne sieci danych – twierdzi Elizabeth Hurrell, analityk z Forrester Research.

Ruch pakietów głosowych jest bardzo wrażliwy na opóźnienia, dlatego tradycyjne firewalle nie mogą być używane w celu ich zabezpieczenia.

W przypadku e-maili opóźnienie nie gra większej roli. Natomiast w przypadku rozmowy telefonicznej opóźnione pakiety sprawiają, że trudno ją swobodnie prowadzić.

W celu załagodzenia tego problemu, otwiera się niektóre porty. Takie działanie otwiera z kolei sieć na potencjalny atak.

We środę Cisco ostrzegł o kolejnych słabych punktach w zabezpieczeniach swoich produktów.

Luki te również mogą stanowić przyczynę ataków DoS. Problem ten dotyczy produktu Cisco ONS 15216 OADM (Optical Add/Drop Multiplexer) oraz programu Security Agent.

Ten ostatni – zabezpieczający komputery i serwery przed atakami – można zatrzymać, przy użyciu odpowiednio przygotowanego pakietu IP.
Michael Sutton z iDefense także ocenił te luki jako ważne, ale nie „krytyczne”.

Patche do programów są już dostępne na stronie internetowej Cisco.

Źródło: http://news.com

Komitet, złożony z członków brytyjskiego parlamentu, ma na celu przeforsowanie większych kar więzienia dla hackerów. Parlamentarzyści domagają się też, aby ataki typu DoS sklasyfikować jako wykroczenia.

APIG (międzypartyjna parlamentarna grupa internetowa) opowiada się za wprowadzeniem poprawek do ustawy CMA (dotyczącej nadużycia komputerów), zaproponowanych przez posła Toma Harrisa.

Harris proponuje surowsze podejście do wszelkich przestępstw, związanych z komputerami, a także zaostrzenie kar dla przestępców, łamiących CMA.

Zamiast obecnej kary pół roku pozbawienia wolności Harris sugeruje dwa lata w więzieniu, a zamiast pięciu – dziesięć.

„Mamy nadzieję, że rząd zaakceptuje proponowane przez nas poprawki, uwzględniając rosnące zagrożenie, jakie cyber-przestępczość stanowi dla Zjednoczonego Królestwa”, oświadczył przewodniczący APIG, poseł Derek Watt.

We wczorajszym przemówieniu w Izbie Gmin Tom Harris skrytykował brak spójności pomiędzy karami nakładanymi na hackerów.

Wysokie kary finansowe skonfrontował z względnie niskimi karami pozbawienia wolności.

„Cyber-przestępstwa to kwestia, która do tej pory nie była traktowana wystarczająco poważnie. Duża część brytyjskiej ekonomii opiera się na Internecie. Pozwalając hackerom na bezkarność narażamy wiele różnych usług. Czas stawić czoła temu nowemu zagrożeniu” – powiedział Harris.

Źródło: http://software.silicon.com
Kiepsko chronione strony amerykańskich departamentów

Z przeprowadzonej wśród użytkowników telefonii internetowej ankiety wynika, że głównym problemem technologii VoIP wciąż pozostaje niska jakość połączeń.

Na zlecenie firm Vonage oraz AT&T badanie przeprowadziło Keynote Systems.

Analizowano kilka najpopularniejszych usług VoIP, także opartych o aplikację Skype.

Okazuje się, że telefonia internetowa wciąż jest znacznie bardziej zawodna, niż tradycyjne linie telefoniczne.

Szczególne zastrzeżenia wzbudza obniżona jakość dźwięku i częste opóźnienia sygnału.

Nie zawsze jest to jednak wina oprogramowania czy dostawców usług – wiele zależy od jakości łącz internetowych.

Wobec ogromnego zainteresowania VoIP nie ulega jednak wątpliwości, że powinno być coraz lepiej.

Nakłady na rozwój technologii stale rosną. Według analityków z firmy Infonetics w ubiegłym roku na rozwój VoIP wydano 1,7 mld USD. Do roku 2008 nakłady wzrosną do poziomu 5,8 mld USD.

Źródło: ZDNet
Boom VoIP

Hacker brytyjskiego pochodzenia twierdzi, że przeglądał swobodnie systemy kluczowych amerykańskich organizacji obronnych, dzięki żałosnemu poziomowi zabezpieczeń. Na Brytyjczyku ciąży widmo ekstradycji do Stanów Zjednoczonych.
Gary’ego McKinnona oskarża się o hacking i działanie na szkodę państwowych systemów obrony USA.

Hacker twierdzi, że jego uczynki nie miały na celu wyrządzenia szkody.

Zdaniem McKinnona wszystko zaczęło się od niewinnej próby dowiedzenia, że Departament Obrony Stanów Zjednoczonych posiada informacje o istnieniu istot pozaziemskich.

Później – wiedziony podejrzeniami – szukał informacji na temat polityki i akcji, podjętych przez rząd po zamachach terrorystycznych z 11 września 2001 roku.

McKinnon wyszedł z aresztu za kaucją i oczekuje na rozprawę ekstradycyjną, która ma się odbyć w drugiej połowie lipca.

W wywiadzie dla ZDNet UK stwierdził, że jest „przerażony” otwartością systemów obrony USA na „ludzi z całego świata”.

W jednym z przeglądanych systemów McKinnon odkrył, że hasło administratora nie zawierało żadnych znaków.

Według niego osoby odpowiedzialne za system korzystały z jednakowego wzorca instalacji dla wszystkich komputerów objętych tym systemem.

„Nie trzeba nawet zostawać administratorem domeny”, twierdzi hacker.
„Oto 5000 komputerów, z takim samym (pustym) hasłem administratora systemowego”.

McKinnon podkreśla, że nie miał złych intencji: „Nie instalowałem żadnego zdalnego oprogramowania, aby ich otworzyć. Nie było takiej potrzeby. Nie musiałem nawet łamać haseł”.

Na hackerze ciążą oskarżenia o „oszustwa i związaną z nimi działalność dotyczącą komputerów”.

Oskarża go Armia Stanów Zjednoczonych, Marynarka i Siły Powietrzne USA, a także NASA.

W wypadku ekstradycji i skazania, grozi mu wyrok do 70 lat pozbawienia wolności.

McKinnona czeka teraz długa bitwa o uniknięcie jurysdykcji sądów amerykańskich.

Twierdzi jednak, że otrzymuje już spore poparcie, między innymi ze strony Borisa Johnsona, członka brytyjskiego Parlamentu z ramienia Konserwatystów.

Johnson, wraz z grupą NatWest Three walczą przeciwko prawu ekstradycyjnemu USA.

Grupa NatWest Three to byli pracownicy brytyjskiego banku NatWest, zmagający się z ekstradycją do Stanów w związku ze skandalem finansowym Enronu.

McKinnon pozostaje w areszcie domowym z zakazem dostępu do Internetu.

Źródło: news.com

We środę VeriSign potwierdził, że nabył iDefense – specjalistę od zabezpieczeń i wywiadu – w celu zwiększenia jakości swoich usług z zakresu bezpieczeństwa.

Zdaniem Chrisa Babela, menadżera i wiceprezesa VeriSign, dzięki przejęciu firma będzie w stanie lepiej chronić około 1000 swoich korporacyjnych klientów. „Klienci oczekiwali bardziej kompleksowych zabezpieczeń”.

Firma iDefense, z siedzibą w Reston, w stanie Wirginia, zapewnia swoim klientom informacje dotyczące luk i słabych punktów, dzięki ciągłemu śledzeniu posunięć hackerów.

Firma kataloguje też działalność badaczy zabezpieczeń, dostarczając informacji o lukach w oprogramowaniu.

W wypadku wykrycia luki firma alarmuje producentów i zapewnia użytkownikom informacje o możliwych zabezpieczeniach.

VeriSign (z Mountain View w Kalifornii) będzie oferowało usługi iDefense swoim korporacyjnym klientom.

Klienci ci zatrudnili VeriSign do administrowania swoich sieci zabezpieczeń, takich jak firewalle i systemy wykrywania wtargnięć.

Usługi firmy iDefense będą w dalszym ciągu dostępne osobno, potwierdził przedstawiciel VeriSign.

Zdaniem Johna Wattersa, prezesa iDefense, dane o atakach internetowych, dostarczane przez VeriSign, wesprą procesy badawcze firmy.

Jego zdaniem, badacze w iDefense nie mieli wcześniej dostępu do tak obszernych danych z sieci klientów.

Nabycie iDefense jest najnowszym przykładem konsolidacji w branży zabezpieczeń.

W ciągu ostatniego roku rywale VeriSignu dokonywali licznych fuzji i przejęć.

Dotyczy to takich firm jak Symantec, Cybertrust, Internet Security Systems czy Counterpane.

W iDefense pracuje 45 pracowników. Wszyscy, pod przewodnictwem Wattersa, dołączą do VeriSign – oznajmił przedstawiciel firmy.

Potwierdził też, że nie będzie zmian w usługach świadczonych ok. 50 obecnym klientom iDefense.

Źródło: news.com
http://www.idefense.com
http://www.verisign.com

W związku z wykryciem luki w bibliotece zlib, pojawiły się sygnatury dla ClamAV, umożliwiające wykrycie programów statycznie zlinkowanych do podatnej wersji biblioteki.

Dostępne do ściągnięcia pod tym adresem.

Więcej szczegółów można uzyskać tutaj.

Źródło informacji: CERT Polska
Luka w bibliotece zlib

14 lipca 1995 badacze z Fraunhofer Institute wybrali rozszerzenie „.mp3” jako nazwę dla nowego standardu kodowania dźwięku.

Wcześniejsze, oficjalne określenie tego formatu, wynikające z zapisów w dokumentach patentowych, to ISO/IEC11172-3 „MPEG Audio Layer 3”.

Wzorzec standardu zatwierdzono już w roku 1992, jednak dopiero 3 lata później MP3 – nazwa, która stała się jednym z synonimów cyfrowej rewolucji – została wyłoniona w wewnętrznym głosowaniu przeprowadzonym, przez badaczy Fraunhofer Institute.

Nad algorytmem kompresji przez kilka lat pracował zespół liczący nawet do 40 naukowców.

Co ciekawe, w roku 1992 standard wyraźnie „wyprzedzał swoje czasy” – technologia nie zainteresowała producentów elektroniki, wydawała się bowiem zbyt skomplikowana, by stosować ją na skalę masową.

Dziś wokół MP3 funkcjonuje ogromny rynek, jeden z najważniejszych w branży elektronicznej, dynamicznie rozwija się także rynek muzyki sprzedawanej w tym formacie.

MP3 to jednak chyba przede wszystkim format, który – umożliwiając przesyłanie muzyki dobrej jakości przez internet – rzucił wyzwanie tradycyjnym modelom dystrybucji materiałów audiowizualnych.

A w tej sferze zmiany nie dokonują się tak szybko, jak na płaszczyźnie technicznej.

Źródło: Digit-Life