Безопасность
27.02.02 В Macromedia Flash обнаружена еще одна дыра.В интернете появилась информация о новом уязвимом месте в технологии Macromedia Flash, широко используемой для создания интерактивных анимированных изображений, разного рода баннеров, заставок, игр и т.п. Дыра была обнаружена одним из пользователей Macromedia Flash, который скрывается под псевдонимом Vengy.
Угроза исходит от недокументированных функций, содержащихся в инструментарии Macromedia для подготовки роликов в формате Flash 5. По сведениям Vengy, во встроенном скриптовом языке ActionScript есть команда fscommand:save, которая позволяет сохранять значения изменяющихся во времени переменных в отдельный файл. О ней ничего не сказано в документации к Flash 5. Для демонстрации своей находки Vangy создал файл, содержащий троян (правда, совершенно безвредный).
Для большинства пользователей новая дыра, к счастью, не опасна. Дело в том, что версии Flash-клиента, выполненные в виде плагина или ActiveX-модуля не поддерживают команд ActionScript. Беспокоиться следует лишь пользователям самостоятельной программы Flash Player, которая распространяется вместе с инструментарием для разработчиков. Кроме того, Flash Player можно скачать на сайте Macromedia.
Никаких официальных заявлений от Macromedia по поводу уязвимости пока не поступало. Тем не менее, версия Flash Player, которая доступна на сайте компании, уже обновилась с учётом сообщения Vengy.
Источник: Компьюлента
26.02.02 CERT: российскими программистами выявлена серьезная уязвимость MSIEИнициативная группа Computer Emergency Response Team (CERT) объявила об обнаружении очередной системной уязвимости браузера Internet Explorer. Характерной особенностью нового бага является то, что честь его выявления принадлежит не самой корпорации Microsoft, озаботившейся в минувшем феврале проблемой безопасности собственных приложений, а группой экспертов по сетевой безопасности, объединивших свои усилия в рамках сетевого проекта Security.NNov, как следует из его названия, физически размещающегося в Нижнем Новгороде.
Обнаруженная системная уязвимость позволяет хакерам использовать ошибку переполнения буфера при обработке браузером встроенных (embedded) объектов в HTML-документах. Как известно, тэг EMBED используется в последних спецификациях HTML для включения в код внешних объектов, в числе которых Java-апплеты и элементы ActiveX. Атрибут SRC данного тэга, призванный указывать конкретный сетевой адрес исполняемого файла, как удалось выяснить экспертам Security.NNov, обрабатывается браузером некорректно.
Это означает, что определенные возможности использования данного атрибута позволяют составить такой код HTML-файла или почтового письма, исполнение которого вызовет переполнение буфера и исполнение кода приложения с правами администартора.
Корпорация Microsoft уже представила программу-заплатку, позволяющую избавиться от обнаруженной уязвимости. Комментарии CERT по поводу данной системной ошибки также доступны в Сети.
Источник: CNews
26.02.02 С точки зрения компьютерной безопасности, 2002 год будет еще хуже, чем 2001В своем выступлении на конференции RSA 2002 основатель и исполнительный директор компании SecurityFocus Артур Вонг представил аудитории собственный взгляд на компьютерную безопасность в этом году. Как считает Вонг, в этом году положение значительно ухудшится, по сравнению с 2001 годом. Несмотря на эпидемии вирусов Code Red и Nimda, Вонг считает, что ситуация в прошлом году "могла быть и хуже".
В 2001 году эксперты по безопасности каждую неделю находили до 30 новых уявзимостей в программном обеспечении. Вонг предсказывает, что в 2002 году данный показатель увеличится до 50 уязвимостей еженедельно. Артур Вонг привел интересную статистику за прошлый год, согласно которой веб-сервер Microsoft IIS был атакован более 17 миллионов раз, в то время как веб-сервер Apache - всего 12 тысяч раз. На основе таких данных можно сделать вывод о том, что надежность Apache в 1400 раз превышает надежность IIS.
Источник: Компьюлента
26.02.02 Panda Software начинает партнерскую программу в РоссииВ России запущена партнерская программа компании Panda Software, направленная, как сообщается, на создание канала российских дистрибьюторов. Участники программы Panda Business Partner могут стать сертифицированными дистрибьютерами антивирусных программ компании Panda Software.
Panda Business Partner, по словам руководителя российского подразделения компании К. Архипова, - это первый шаг в освоении Panda российского рынка антивирусного ПО. Программа предусматривает для реселлеров Panda Software широкий ряд возможностей, направленных на оптимизацию работы с клиентами и увеличение объемов продаж.
Программа разделена на три уровня сертификации:
1. Panda Business Partner Classic - для реселлеров, ведущих дела с малыми и средними предприятиями,
2. Panda Business Partner VIP - для лицензионных продавцов, работающих с крупными компаниями и местными и региональными властями,
3. Panda Business Partner Retail (для реселлеров, специализирующихся на сделках с отдельными пользователями.
Для участников программы Panda Business Partner создан специальный партнерский сайт, который содержит всю необходимую информацию о программах компании
Panda Software, условиях и способах их продвижения и другие сведения. Запуск русской версии партнерского
сайта приурочен к началу действия программы в России. В Европе в настоящее время у Panda насчитывается уже более 2000 реселлеров.
Источник: Компьюлента
25.02.02 В Соединённых Штатах ужесточают наказания для хакеров.Во вторник юридический комитет палаты представителей американского Конгресса будет голосовать по Акту о повышении электронной безопасности (Cyber Security Enhancement Act). Согласно поправкам, внесённым в Акт две недели назад, хакерам, которые совершили преднамеренное убийство или нанесли тяжкий вред здоровью при помощи электронных средств, грозит пожизненное заключение.
Администрации США этого кажется мало. Джон Малькольм, один из заместителей генерального прокурора США, требует, чтобы хакеры приговаривались к пожизненному сроку не только за преднамеренное нанесение серьезного ущерба здоровью и благополучию людей. "Необдуманные" действия такого рода (например, "случайное" нарушение работы сетей службы 911 или больниц) также должны быть наказуемы.
"Даже если хакер не желал вреда пациентам, его необдуманное поведение может представлять очевидную угрозу для их жизни и здоровья. Так что этот закон должен карать не только хакеров, взламывающих компьютерные системы, осознавая, что результатом их действий станет гибель или травмы людей, но и тех, кто идёт на взлом, не задумываясь о возможных последствиях," - заявил Малькольм.
Другие предлагаемые изменения в законопроект придают полиции и ФБР большие, чем в настоящее время, полномочия для проведения слежки. В настоящее время полиция имеет право в течение двух дней без постановления суда использовать устройства для записи телефонных звонков и перехвата интернет-адресов, если речь идет об организованной преступности или угрозе жизни людей. Новая редакция Акта об электронной безопасности увеличивает список ситуаций, при которых полиция может записывать номера телефонных разговоров. В частности, в него включена "непосредственная угроза интересам национальной безопасности" и "производящаяся в настоящий момент атака на компьютер, которая представляет собой преступление, наказуемое тюремным заключением сроком более одного года".
Источник: Компьюлента