Bezpečnostní problém Stack Clash
Qualys Research Team na svém blogu zveřejnil informace o bezpečnostní chybě Stack Clash, která ovlivňuje Linux, OpenBSD, NetBSD, FreeBSD a Solaris na architekturách i386 a amd64. Bezpečnostní nedostatek může vést až k lokální eskalaci práv a spouštění libovolných příkazů. Chyba se vyskytuje ve správě paměti zmíněných systémů. Qualys je od začátku května ve spojení s vývojáři a potřebné aktualizace by už měly být dostupné.
OpenVPN
Navzdory bezpečnostnímu auditu, který nedávno prodělal kód OpenVPN, byly minulý týden zveřejněny čtyři nové zranitelnosti, z nichž jedna mohla být, za určitých okolností, zneužita ke vzdálenému ukončení OpenVPN serveru. Všechny čtyři zranitelnosti byly opraveny ve verzích 2.4.3 a 2.3.17.
Bezpečnostní otázky v době sociálních sítí
Na blogu WhiteHat security vyšel článek o sociálním inženýrství na sociálních sítích v podobě nenásilných výzev jako „Jak moc jste dobří? Schválně, jestli dokážete vyjmenovat všechny vaše první vyučující,“ nebo „Složte si své fantasy jméno z prvních písmen matčina rodného jména.“ Ukazuje se, že velké množství uživatelů neprokoukne záměr takových příspěvků a v dobré víře sdílí osobní informace. V mnohých případech lze takové informace zneužít přímo, nebo přinejmenším zúžit prohledávací prostor při útoku hrubou silou.
NSA je na GitHubu, CIA na WikiLeaks
The National Security Agency se připojila k open-source komunitě a vytvořila stránku na službě GitHub, kde zveřejnila některé své projekty. Vzhledem k tomu, že NSA zaměstnává špičku v oboru, bude jistě zajímavé sledovat vývoj v repozitářích této agentury. I když, co si budeme namlouvat, to nejlepší, co NSA vyvine, zde pravděpodobně nenajdeme a budeme si muset počkat na neoficiální zveřejnění.
V tomto směru je aktivní například web WikiLeaks. Ten se ale v poslední době věnuje jiné americké agentuře, konkrétně CIA. Už v březnu jsme na Root.cz psali o akci s kódovým označením Vault-7, která stále pokračuje a tak i tento týden byla zveřejněna sada dokumentů, která popisuje nástroje k přípravě a provedení útoku na uzavřenou síť.
Typosquating v číslech
Security researcher s pseudonymem x0rz vydal na svém blogu článek, který shrnuje jeho výsledky pokusu s typosquattingem. Během 40 dní detekoval takřka 1000 unikátních přístupů (po odfiltrování přístupů robotů) s poznámkou, že řada ze zakoupených domén měla návštěvnost podmíněnou geografickou lokací. Škoda, že mezi testovanými doménami není seynam.cy. Takovou doménu naštěstí není možné zaregistrovat, neboť registr .CY registruje pouze domény třetího řádu v několika pevně daných doménách druhého řádu.
Microsoft publikoval pokyny k přechodu na TLS 1.2
Společnost Microsoft publikovala pokyny k odstranění závislostí na starých verzí TLS na systémové úrovni ve prospěch moderního TLS 1.2. Zajímavou poznámkou může být, že první specifikace TLS 1.0 pochází už z roku 1999. Dokument se vztahuje převážně k platformě Microsoft Windows, ale užité principy jsou přenositelné i na jiné operační systémy.
Pro pobavení
O seriálu
Tento seriál vychází střídavě za pomoci pracovníků Národního bezpečnostního týmu CSIRT.CZ provozovaného sdružením CZ.NIC a bezpečnostního týmu CESNET-CERTS sdružení CESNET.
ČLÁNKY DO MAILU