8 декабря 2014 года специалист по безопасности El337 сообщил об XSS-уязвимости на популярном сайте uber.com, который предоставляет услуги автоперевозок. Компания Uber оценивается в миллиарды долларов и открывает филиалы в разных странах мира, а вот исправить баг руки не доходят.
Непропатченная уязвимость подвергает посетителей и администраторов сайта риску быть скомпрометированными посторонним злоумышленником. В результате XSS-атаки можно извлечь куки, персональную информацию, учётные данные для доступа на сайт, историю сёрфинга и другую ценную информацию.
В последнее время XSS-атаки становятся всё сложнее и чаще используются вместе с фишингом, социальной инженерией и атаками drive-by, сообщается на сайте каталога эксплоитов XSSposed.com.
Для проверки уязвимости следует набрать URL типа такого:
Группа польских исследователей из компании Security Explorations провели тщательное исследование безопасности облачного хостинга Google App Engine. Они обнаружили более 30 уязвимостей. Ребята собирались продолжить дальше, но Google закрыла им тестовый аккаунт.
Среди найденных уязвимостей к настоящему моменту:
Обход «белого списка» классов JRE в Google App Engine с полным выходом из песочницы Java VM (есть 17 эксплоитов PoC для 22 уязвимостей)
Возможность исполнения нативного кода (произвольные вызовы к библиотеке или системные вызовы
Доступ к файлам (бинарным / классам), включающим в себя песочницу JRE, в том числе монстрообразный бинарник libjavaruntime.so (468.416.808 байт )
Из бинарных файлов и Java-классов извлечена информация DWARF и определения PROTOBUF
Руководитель хакерской группы, известный специалист Адам Говдяк (Adam Gowdiak), признаёт, что инцидент с закрытием тестового аккаунта случился частично по их вине. 6 декабря они особенно налегли на мощности GAE, проводя более агрессивные тесты, чем обычно.
Тем не менее, работа должна быть закончена. Исследователи просят восстановить справедливость и дать им ещё покопаться во внутренностях Google App Engine, чисто из академического интереса.
Они хотят проверить ещё несколько уязвимостей и некоторые новые идеи. После этого обещают составить отчёт с результатами исследования и отправить его разработчикам, как это делали в прошлом году после исследования Oracle Java Cloud Service.
Шлем (очки) виртуальной реальности Gear VR Innovator Edition появился в продаже на официальном сайте Samsung по цене $199,99. Такой же товар выставлен в интернет-магазине AT&T на доллар дешевле.
Для создания этого изделия Samsung объединила усилия с разработчиками Oculus VR (Facebook). Казалось бы, какой толк Oculus VR помогать конкуренту? Но они считают, что на этом рынке места хватит для всех. Более важно, чтобы первопроходцы (в том числе Samsung) не дискредитировали саму идею шлемов VR в глазах потребителей, выпустив не очень качественное устройство. Сама Oculus VR пока что не довела свой шлем до ума, раздавая только экспериментальные прототипы для разработчиков.
К тому же, Oculus Rift и Gear VR рассчитаны на разные ниши. Первый работает с компьютером, а второму нужен «управляющий центр» в виде фаблета Galaxy Note 4. То есть, это фактически аксессуар для Galaxy Note 4.
Официальный анонс Gear VR состоялся в сентябре, так что окончательная доработка заняла совсем немного времени.
У Gear VR оптические линзы с полем зрения 96°. Из встроенных сенсоров: акселератор, гироскоп, геомагнитный сенсор и датчик близости. Есть изменение фокусного расстояния для подстройки под пользователем с близорукостью или дальнозоркостью. Управление осуществляется через тачпад, кнопки громкости и отдельную функциональную клавишу. В комплекте поставляется SD-карта с 3D-трейлерами кинофильмов и 360-градусными видеороликами.
Вместе со шлемом представлена платформа для создания приложений виртуальной реальности Milk VR.
Почти месяц назад специалист по безопасности Бодо Мёллер (Bodo Möller) с коллегами из компании Google опубликовал подробности об уязвимости в дизайне протокола SSL 3.0 при использовании шифрования в режиме сцепления блоков (CBC mode). Поскольку в этом режиме SSL 3.0 не говорит, какими должны быть байты «набивки» криптопакетов до нужного размера (padding), то реализация не может проверить их и допускает атаку с оракулом (padding oracle attack).
Уязвимость под кодовым названием POODLE («пудель», Padding Oracle On Downgraded Legacy Encryption, CVE-2014-3566) позволяет расшифровать содержимое защищённого канала коммуникации.
Злоумышленник может умышленно принудить клиента подключиться именно по SSL 3.0, эмулируя разрывы связи, и после этого эксплуатировать уязвимость с расшифровкой канала. Google пишет, что для защиты достаточно отключить поддержку SSL 3.0 или шифрования в режиме сцепления блоков (CBC mode).
Разработчики браузеров довольно успешно справились с этой бедой, отключив принуждение клиента к переходу на SSL 3.0 в Chrome 39 (вышел 18 ноября) и полностью отключив этот устаревший протокол в Chrome 40 {выйдет в декабре на стабильном канале) и Firefox 34 (1 декабря).
Но теперь выяснилась ещё одна неприятная деталь. Поскольку метод набивки байтами пакетов TLS является подмножеством набивки SSL 3.0, технически, вы можете использовать декодер SSL 3.0 с TLS. В этом случае атака POODLE становится эффективной и на соединениях TLS! Уязвимость классифицирована как CVE-2014-8730.
Взлом Sony Pictures привёл не только к утечке конфиденциальных данных о сотрудниках, сумм гонораров со звёздами, цифровых копий будущих фильмов и почтовой переписки топ-менеджеров. Вчера стало известно об ещё одном эффекте: «Лаборатория Касперского» обнаружила версию зловреда Destover, подписанную цифровой подписью Sony.
То есть в руки злоумышленников из группировки #GOP попали, среди прочего, и цифровые сертификаты, которые используются для подписи программного обеспечения.
«ЛК» напоминает, что семейство троянов Destover использовалось для проведения атаки DarkSeoul против Южной Кореи в марте 2013 года, а также в нынешней атаке на Sony.
Новый образец трояна Destover подписан с использованием валидного цифрового сертификата от Comodo. Дата выдачи — 5 декабря 2014 года.
Этот же образец раньше встречался, но только без подписи. Его хеш MD5: 6467c6df4ba4526c7f7a7bc950bd47eb, а дата компиляции указана как июль 2014 года.
Новый хеш MD5: e904bf93403c0fb08b9683a9e858c73e.
Теоретически, цифровая подпись повышает эффективность зловреда, но в реальности современные антивирусы вполне определяют и такое malware.
Вчера после налёта шведской полиции на одну из серверных комнат в пригороде Стокгольма прекратил работу торрент-трекер The Pirate Bay. Полиция изъяла серверы, персональные компьютеры и другое оборудование.
Вместе с The Pirate Bay вышли из строя форум Suprbay.org, сайты Bayimg.com и Pastebay.net.
В первое время было неизвестно, какая конкретно «серверная комната» пострадала. Только сегодня появилась информация, что рейд полиции прошёл на территории дата-центра компании Portlane в Наке, который находится под защитой частных охранников, оснащён дистанционно управляемыми замками, а сам размещён в бункере внутри горы (на фото вверху).
Один из сооснователей The Pirate Bay Питер Сунде предположил, что нынешний полицейский рейд может положить конец славной истории торрент-трекера. По его словам, последний раз такое происходило 8 лет назад, после чего многие люди вышли на массовые акции протеста в разных городах мира. Теперь, говорит Сунде, похоже, почти всем наплевать. Виноваты в этом новые владельцы сайта, которые изменили тем идеалам, в соответствии с которыми Питер Сунде сотоварище запускали проект. Они наполнили сайт неприятными баннерами, начали коммерциализировать его другими способами.
Проект «потерял душу». Если создатели TPB изначально планировали закрыть его на десятилетие, то новые владельцы устроили в этот день грандиозную вечеринку с платным (!) входом, где полуголые двеицы (на фото) приставали к посетителям.
Даже этот пример сексизма показывает, как TPB изменил своим изначальным принципам, пишет Сунде. И пусть проект в последние годы немного исправился, сейчас за них никто не будет заступаться.
