Slashdot - Microsoft Research je razvil orodje za odkrivanje zlonamernega JavaScripta v brskalniku med deskanjem po spletu. Orodje se imenuje Zozzle in izvaja statično analizo kode JavaScript na strani in hitro ugotovi, ali je stran zlonamerna in ali vsebuje zlorabo ranljivosti (exploit). Za učinkovito delovanje se mora Zozzle navaditi svojega posla, pojasnjuje Microsoft, saj razvršča JavaScript po statistiki (natančen opis delovanja). Zozzle je še v eksperimentalni fazi in še nekaj časa ne bo namenjen širši publiki. Microsoft

Schneier.com - Kot kaže se nam v bližnji prihodnosti obeta precejšnje število varnostnih težav povezanih z JavaScriptom. V članku JavaScript Hijacking, objavljenem na spletni strani podjetja Fortify Software so namreč trije raziskovalci opisali nov način napada na Ajax spletne aplikacije.

Napad namreč omogoča napadalcu, da prestreže podatke, ki se prenašajo s pomočjo JavaScripta. Prestrezanje je mogoče izvesti s pomočjo tim. JavaScript ugrabljanja (JavaScript hijacking), ki je mogoče zaradi različnih XSS ranljivosti.

Prav tako v našem forumu že poročajo, da se je na internetu znašla koda aplikacije Jitko, ki omogoča samodejno vzpostavitev prikritega omrežja s pomočjo izkoriščanja XSS ranljivosti in JavaScripta. Aplikacijo je na konferenci Smoocon prejšnji mesec predstavil Billy Hoffman, eden izdmed udeležencev konference pa si je zapomnil URL omenjene kode in si kodo presnel ter jo objavil na internetu. Kodo je sicer na zahtevo Hoffmana že umaknil, kljub temu pa jo je mogoče dobiti v...

Slo-Tech - O XSS ranljivostih s(m)o na Slo-Techu že pisali. A kljub temu, da gre za tim. ranljivost na strani spletnega odjemalca, so posledice zlorabe lahko precej drastične.

Raziskovalec Billy Hoffman, znan tudi pod imenom Acidus, je namreč januarja lani na konferenci Black Hat Federal 2006 predstavil prispevek z naslovom Analysis of Web Application Worms and Viruses. V prispevku je predstavil možnosti napadov s tim. spletnimi virusi, ki izkoriščajo XSS ranljivosti ter AJAX tehnologijo.

V soboto pa bo imel Hoffman predavanje na to temo tudi na Smoocon konferenci v Washingtonu.

Na konferenci bo predstavil možnosti vzpostavitve prikritih omrežij (tim. botnetov) s pomočjo izkoriščanja XSS ranljivosti in JavaScripta. Predstavil bo tudi konkreten primer, aplikacijo Jikto, ki omogoča samodejno vzpostavitev prikritega omrežja.

Orodje Jitko se lahko preko okužene spletne strani namesti na uporabnikov računalnik. Po namestitvi lahko orodje izvaja samodejno skeniranje, oz. iskanje...

Slo-Tech - O XSS (Cross-site Scripting) napadih je bilo že veliko povedanega. Še vedno pa jih ogromno uporabnikov in skrbnikov jemlje kakor nenevarne ali pa jih preprosto ignorira. Tovrstne pomankljivosti omogočajo vstavljanje poljubne skriptne kode, masovno se uporabljajo pri izvajanju phishing napadov, kraji piškotkov in ostalih oblikah spletnih prevar. Spretno izvedeni XSS napadi pa se lahko uporabljajo tudi za manipulacijo z informacijami v obliki vstavljanja neavtoriziranih novic v spletne portale medijskih družb. Tudi slovenski spletni prostor ni imun na tovrstne napade...




Spletne strani v nobenem primeru niso bile razobličene, tudi podatki na strežnikih niso bili kompromitirani ali kako drugače...

Slo-Tech - Pri FortConsult so objavili raziskovalni članek z naslovom Practical Onion Hacking: finding the real address of Tor clients. V njem do pokazali, kako je v HTML kodo mogoče vriniti "spletnega hrošča", ki razkrije pravo identiteto obiskovalca (pravi IP naslov). To so storili s pomočjo JavaScripta in Flasha, zaključujejo pa, da je uporaba teh tehnik razmeroma enostavna.

Pri odkriti ranljivosti pa ne gre za ranljivost Tor omrežja, pač pa za ranljivost podpornih programov in programov, ki uporabljajo Tor. Avtorji članka upajo, da bo na podlagi njihove raziskave popravljen podporni program privoxy (ki bo tako zlonamerno kodo sposoben odstranjevati), kot najhitrejšo rešitev pa svetujejo izklop Flasha, Active X, Jave in JavaScripta, uporabo SSL povezav, uporabo tujih DNS strežnikov ...

Samo za paranoike.

Slashdot - Slashdot poroča o varnostni luknji v VNC 4.1. Na računalnik z nameščenim VNC 4.1 je namreč mogoče vstopiti brez poznavanja gesla.

Pri IntelliAdmin, kjer so varnostno pomankljivost odkrili, so pripravili demonstracijo (tim. proof-of-concept), vendar pa so ga že umaknili iz svoje spletne strani. Popravek je že na voljo.

Arnes - JavaScript ranljivost inicializacije 'window()' metode v kombinaciji z <BODY onload> HTML oznako omogoča izvedbo poljubne kode. Exploit je že na voljo (seveda kot "proof of concept" koda). Onemogočite JavaScript še danes, vsaj dokler MS ne izda uradnega popravka. FireFox kot kaže kode ne izvede, vendar pa se neha odzivati. Več na Arnesu, CVE, Secunia, Microsoft.

Slo-Tech - V požarnem zidu, ki je vključen v SP2 za Windows XP in SP1 za Windows Server 2003, je bila odkrita manjša pomankljivost. Sam grafični vmesnik naj ne bi prikazoval vnosov v register, s katerim lahko prav tako odpremo določen port. Tako imajo zlobneži, ki vdrejo v vaš računalnik, možnost odpiranja portov, katerih vi v grafičnem vmesniku ne vidite.

Na to se je Microsoft odzval in izdal popravek, velik vsega pol megabajta, prav tako pa si lahko na uradni strani preberete Microsoft Security Advisory (897663), kjer opisujejo, kako se izogniti tej težavi.

Slashdot - Odkritih je bilo nekaj novih varnostnih lukenj v kodi Firefoxa in Thunderbirda, ki jih je moč izkoristiti za zagon poljubne kode.

K sreči pa - sreča v nesreči.

Mozilla Foundation je namreč pokazala vso zavzetost in že ponudila rešitev za napako. Zadnje različice Mozillinih programov namreč te napake odpravljajo.

Le tako naprej, Mozilla!

The Register - Predvsem po grafičnem programu Photoshop znani tozd je pričel z prodajo novih verzij 2 spletu namenjenih izdelkov:

• LiveMotion 2.0: podpora JavaScriptu, ki se prevede v ActionScript (Flashov skriptni jezik),
• GoLive 6.0: dodana podpora skupinskemu delu, kompatibilna z ono v Dreamweaverju.

Klik!