-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Здравствуйте!
Спасибо всем, кто подписался на список рассылки Украинского Центра
информационной безопасности.
======================= Горячие новости ==================================
Уязвимость цифровой подписи стандарта ГОСТ 34.19
В новом варианте российского стандарта электронной цифровой подписи ГОСТ
34.19-2001, вступающего в силу с августа этого года, существует серьёзная
ошибка, позволяющая сформировать к документу подпись без знания секретного
ключа (т.н. "независимую подпись"). Эта ошибка присутствует во всех
методах, основанных на идее Эль-Гамаля, но из-за неудачно сформированных
требований к граничным значениям, именно в новой редакции ГОСТа она имеет
приемлемую для подбора вероятность (не ниже 25%) и практические
перспективы. В зависимости от реализации, эта ошибка может иметь место и в
американском стандарте ECDSA. Суть ошибки в том, что незначительно
варьируя текст документа, возможно подобрать такое значение ключа
проверки, что подпись для данного документа может быть рассчитана без
знания секретного ключа. На этом же основании вполне можно и отказаться от
неё.
Предварительная публикация и обсуждение ошибки располагаются по адресу:
http://www.bugtraq.ru/cgi-bin/forum.mcgi?type=sb&b=15&m=46049.
По материалам: http://www.security.nnov.ru.
Обнаружена ошибка в защите систем SAP R/3 под Oracle
В системах комплексного управления предприятием SAP R/3, использующих
SQL*net V2 (3.x, 4.x, 6.10), обнаружена серьезная уязвимость, которая
позволяет любому пользователю, имеющему сетевой доступ к службе Oracle
Listener, читать, записывать и модифицировать любые данные системы.
По материалам: http://www.net-security.org.
Множественные уязвимости популярного скрипта csMailto
В скрипте csMailto, предлагаемым проектом CGIscript.net, обнаружены
множественные уязвимости, используя которые удаленный пользователь
получает возможность: выполнять произвольные команды на сервере и
отправлять результаты по электронной почте, а также отправлять
произвольные файлы и сообщения любому пользователю. Данный скрипт является
очень популярным, и его используют более 17000 веб-сайтов.
По материалам: http://www.securitylab.ru.
Программа для проверки безопасности Windows сама содержит недостатки в
защите
В программе Microsoft Baseline Security Analyzer (MBSA) была обнаружена
дыра, которой могут воспользоваться злоумышленники. Данная утилита была
выпущена компанией Microsoft для сканирования системы Windows 2000/XP на
предмет наличия уязвимостей. Однако уязвимость, как выяснилось, есть и в
ней самой.
Как сообщается на сайте SecuriTeam, MBSA создает отчет в обычном текстовом
формате, который помещается в папку C:\Documents and
Settings\username\SecurityScans, причем пользователь не может изменить
расположение отчета на диске. Если злоумышленникам удастся получить
содержимое данного файла, в их распоряжении окажется готовый план для
атаки - информация обо всех уязвимых местах системы.
По материалам: http://www.compulenta.ru.
JDBGMGR.EXE - новая вирусная мистификация
"Лаборатория Касперского" сообщает о появлении слухов о новом опасном
вирусе, якобы содержащемся в файле с названием JDBGMGR.EXE на компьютерах
под управлением операционной системы Windows.
В действительности, JDBGMGR.EXE является стандартной утилитой (программа
для отладки работы Java-приложений), входящей в поставку всех наиболее
распространенных версий Windows, таких как Windows 95, 98, NT, ME, 2000 и
XP. Ее удаление или модификация может повлечь за собой изменение
функциональности операционной системы и в некоторых случаях иметь
негативные последствия.
"Лаборатория Касперского" рекомендует пользователям воздержаться от
распространения необоснованных слухов и поставить об этом в известность
своих знакомых и коллег, поверивших в несуществующий вирус.
По материалам: http://www.viruslist.com.
____________________________________________
Украинский Центр информационной безопасности
e-mail: contacts@bezpeka.com
web-site: http://www.bezpeka.comhttp://www.bezpeka.nethttp://www.bezpeka.org
-----BEGIN PGP SIGNATURE-----
Version: PGPfreeware 6.5.3 for non-commercial use <http://www.pgp.com>;
iQA/AwUBPM59xDRm6ItERtt2EQLTHQCg88IqrUKHrYpeCHJJk18bt2QytSkAniG0
xZ2+213IFP7F8UqBdYpEBK0d
=wyaA
-----END PGP SIGNATURE-----
