Seznam všech aktualit

Oblíbený multimediální přehrávač VLC obsahuje chybu, která umožňuje vykonat kód s právy uživatele, pod kterými je přehrávač spuštěn.

Náchylné jsou verze do 2.0.5 pro operační systémy Windows, Linux i Mac OS. BSI důrazně doporučuje stáhnout nejnovější verzi VLC Media playeru, ve které je uvedená chyba již opravena.

Frans Rosén odhalil na Facebooku XSS zranitelnost náhodou, když testoval zranitelnosti na Dropboxu.

Frans se nejprve pokoušel na Dropbox nahrát soubor s názvem:
'"><img src=x onerror=alert(document.domain)>.txt,
na čež mu bylo sděleno, že obsahuje nepovolené znaky. Když však stejným způsobem pojmenoval lokální soubor a spustil synchronizaci s Dropboxem, útok se mu podařil.

Později si ještě všiml, že existuje souvislost mezi Dropboxem a Facebookem: Je možné přidat soubory z Dropboxu přímo k Facebook skupinám.
Když pak klikl na odkaz sdílet podařilo se mu skript umístěný ve jménu souboru z Dropboxu spustit i na Facebooku.

Facebook v rámci svého programu pro oznamování zranitelností vyplatil Fransovi za nahlášení tohoto XSS odměnu ve výši 3.500$.

Google Chrome Security Team odhalil použití podvodných digitálních certifikátů k některým webovým službám od Google. Existence těchto certifikátů útočníkům umožňuje spoofing obsahu nebo útoky typu man-in-the-middle.

Nástroj, který ruská společnost ElcomSoft zaměřující se na prolamování hesel představila, zneužívá skutečnosti, že je dešifrovací klíč v době běhu počítače uložen v paměti, odkud může být přečten.

Slabé místo je spojováno také s přechodem počítače do režimu spánku, kdy je obsah paměti včetně šifrovacího klíče uložena na disk.

Novoročenky od Facebooku obsahovaly bezpečnostní chybu, která umožňovala změnou proměnné v URL čtení cizích zpráv a jejich mazání.

Služba Midnight Delivery proto byla po nahlášení problému několik hodin mimo provoz.

Pokud jste koncem minulého roku obdrželi e-mailovou zprávu od Evy Dvořákové, která Vás informovala o skutečnosti, že není něco v pořádku s vašimi webovými stránkami, můžete zůstat klidní. Kromě zvýšeného výskytu spamu ve vaší schránce se zřejmě nic víc nestane.

Spamová zpráva, která vznikla s největší pravděpodobností pouze proto, aby ověřila e-amilové adresy příjemců, je tohoto znění:

Dobrý den,
chtěla jsem se podívat na Vaše stránky www.xxxxxx.yy, které mi našel Google, ale vyskočila na mě hláška, že mohou poškodit můj počítač. Používám Firefox a dříve se mi to nikdy nestalo.

Můžete mi prosím poradit? Do přílohy jsem zkopírovala obrazovku, když na mě ta hláška vyskočila, abyste si mohli udělat představu.

S pozdravem
Eva Dvořáková

Zpráva vypadá (až na adresu odesilatele eva.dvorakova@mailbox4free.eu) velice důvěryhodně a není proto divu, že mnoho oslovených otevřelo i wordovskou přílohu, v níž měl být uložen zmíněný screenshot.

Dobrou zprávou je, že příloha údajně nezneužívala žádnou slabinu kancelářského balíku MS Office. V takovém případě by útočníci zřejmě slavili mimořádný úspěch. Podle všeho šlo jen o ověření toho, zda je vaše e-amilová adresa využívaná a může tak do ní být cílen nový přísun spamu.

Timo Kasper představil na konferenci 29C3 mimo jiné také prolomení pražské Opencard. Služby, které bylo do této chvíle možné uhradit pomocí této karty (parkovné, MHD, apd.), tak bude možné získat zcela zdarma.

Vedle prolomení systému Opencard představil Timo Kasper také open-source projekt Chameleon, který je založen na Atmelu a dokáže emulovat bezkontaktní DESfire karty. O tomto projektu ještě zřejmě uslyšíme.

Řecké stránky známé bezpečnostní firmy Panda security byly napadeny hackerskou skupinou Turkish Ajan Hacker Group, kteří na nich zanechali svůj defacement.

Útok proti webovým stránkám přitom nebyl první. V letošním roce stránky podlehly již v březnu útoku skupiny Antisec.

Zprávička, kterou přinesl server Root.cz upozorňuje na článek [link] , jenž čtenářům přibližuje různé použití oblíbeného nástroje Netcat.

Ten se sice s oblibou používá pro síťovou komunikaci všeho druhu, ale jen málokdo ví, že jej lze použít také pro scanování portů, streamování videa, vytvoření chat serveru, přenášení souborů a další věci.

Škodlivý modul pro Apache, na který výzkumníci ESETu natrefili, slouží k injekci obsahu do webových stránek a obsahuje řadu funkcí, jak se skrýt před správci systému. V odkazovaném článku najdou čtenáři podrobnou charakteristiku tohoto malware a příklady jeho zneužití.