В рамках очередного критического обновления (Critical Patch Update) Oracle было закрыто 78 уязвимостей в следующих программных продуктах:

• Oracle Database 11g
  
• Oracle Database 10g
  
• Oracle Secure Backup
  
• Oracle Application Server
  
• Oracle JRockitOracle Enterprise Manager
  
• Oracle PeopleSoft Enterprise
  

Среди 13 закрытых уязвимостей в Oracle Database, две наиболее серьезные уязвимости CVE-2011-2239 и CVE-2011-2253 коснулись ошибок в реализации протокола Oracle NET, используемого в ядре СУБД Oracle. Однако использование этих уязвимостей злоумышленниками ограничено требованием авторизации в системе. Всего в ядре СУБД было устранено 9 уязвимостей.

Браузер Safari получил обновление до версии 5.1, в которой не только устраняется 58 уязвимостей безопасности, но и введен некоторый новый функционал. В частности, под последним выпуском Mac OS X Lion поддерживается технология виртуальной защищенной среды. Отдельное дополнение — 5.0.6 — было также выпущено для пользователей OS X 10.5 (Leopard).

Итак, как уже было сказано, набор патчей для Safari призван устранить в общей сложности 58 уязвимостей безопасности. 14 из них выявлены в Windows-версии браузера, один — в Mac-варианте; все остальные актуальны для обеих платформ.

Согласно последнему исследованию компании Juniper Networks, за последние 12 месяцев подавляющее большинство крупных предприятий пострадало от информационных брешей в той или иной форме.

Исследование показало, что 90% опрошенных компаний сообщили, что они когда-либо становились жертвами взломов, несмотря на значительные расходы на обеспечение защиты. Приблизительно четверть компаний заявила, что они тратят более 25% от общего ИТ-бюджета на безопасность.

„Вы находитесь в окружении, где происходят все эти атаки”, — сообщил Карим Тоуба, вице-президент по маркетингу и стратегии отдела безопасности в Juniper. „В безопасность вкладываются значительные суммы от общего бюджета, однако эти взломы продолжают повторяться”.

Наряду с ИТ-затратами, ущерб, наносимый брешами, становится огромным. Из тех, кто столкнулся с такой проблемой, 41% заявил, что атаки нанесли ущерб превышающий $500 000.

Специалисты компании «Станкоинформзащита», основная деятельность которой направлена на разработку программного обеспечения и средств защиты информации, в том числе содержащих сведения, составляющие гостайну — опубликовали аналитический отчёт об инцидентах информационной безопасности АСУ ТП зарубежных государств по материалам Интернет-изданий за 2008-2010 гг.

Автоматизированная система управления технологическим процессом (АСУ ТП), это комплекс программных и технических средств, предназначенный для автоматизации управления технологическим оборудованием на предприятиях. Под АСУ ТП обычно понимается комплексное решение, обеспечивающее автоматизацию основных технологических операций на производстве в целом или каком-то его участке, выпускающем относительно завершенный продукт. Термин автоматизированный в отличие от термина автоматический подчеркивает возможность участия человека в отдельных операциях, как в целях сохранения человеческого контроля над процессом, так и в связи со сложностью или нецелесообразностью автоматизации отдельных операций.

Как и было обещано, вчера компанией Microsoft выпущена очередная, ежемесячная, порция обновлений для ПО, выпускаемого корпорацией.

Список бюллетеней довольно внушительный. Всего выпущено 14 обновлений, 8 из которых носят статус критических. Критические обновления устраняют возможность выполнения удаленного кода в таких службах и сервисах, как Windows Shell, .NET и Silverlight, SMB-сервере, SChannel, XML Core Services, кодеках Cinepak и MP3, текстовом редакторе Microsoft Office Word.

Специалисты компании Sophos разработали бесплатный инструмент, который обеспечит защиту пользователей от вредоносных приложений, эксплуатирующих недавно обнаруженную уязвимость в механизме обработки ярлыков операционной системы Windows.

Уязвимость Windows Shortcut Exploit (также известная как CPLINK), пока еще не закрытая официальной заплаткой от Microsoft, позволяет выполнить запуск произвольного кода на клиентской системе с помощью специально подготовленного ярлыка. При попытке отображения иконки, связанной с пораженным файлом .LNK, операционная система выполняет вредоносный код, не ставя пользователя в известность. Ссылки на вредоносные ярлыки также могут быть встроены в код сайта или скрыты в документах.

Компания Apple заняла первое место в качестве разработчика ПО, в программах которого обнаружено больше всего уязвимостей, говорится в новом отчете Secunia. Согласно исследованию, в течение первого полугодия 2010 г. в ПО от Apple нашли больше уязвимостей, чем в ПО других компаний. Компания Oracle, которая была лидером в прошлом году, теперь заняла второе место, а на третьем разместился софтверный гигант Microsoft.

Далее в списке вендоров с самым большим числом обнаруженных уязвимостей идут HP, Adobe Systems, IBM, VMware, Cisco, Google и Mozilla. Как отмечают авторы отчета, общая доля обнаруженных уязвимостей десяти первых компаний-поставщиков ПО в этом списке составляет 38% от их общего числа.

Впрочем, по словам аналитиков, это не означает, что программное обеспечение Apple является самым небезопасным на практике, так как исследование не принимает во внимание серьезность обнаруженных уязвимостей.

ОПИСАНИЕ:
Уязвимость позволяет удаленному пользователю скомпрометировать целевую систему.

Уязвимость существует из-за недостаточной обработки некоторых параметров в Windows Shell при обработке ярлыков (.lnk) во время подключения иконки. Удаленный пользователь может с помощью специально сформированного ярлыка выполнить произвольный код на целевой системе.

Для успешной эксплуатации уязвимости пользователю потребуется вставить сменный носитель в систему (при включенном автоматическом проигрывании) или открыть внешний диск (при отключенном автоматическом проигрывании) с помощью Explorer или аналогичного файлового менеджера. Эксплуатация уязвимости также возможно через общедоступные сетевые папки и WebDAV.

В настоящий момент уязвимости активно эксплуатируется через зараженные USB носители.

GFI LANguard Network Security Scanner (N.S.S.) — это отмеченное наградой решение, позволяющее сканировать, обнаруживать, оценивать и устранять уязвимости в сети. Как администратор, вы часто должны иметь дело с проблемами, связанными с вопросами уязвимости, управлением внесением изменений и сетевого аудита при использовании различных продуктов. Однако GFI LANguard N.S.S. объединяет эти три компонента управления безопасностью в один пакет. Используя единую консоль с обширными функциональными возможностями по созданию отчетов, решение GFI LANguard N.S.S. позволяет справиться с этими проблемами быстрым и эффективным способом.

  Интегрированное решение по управлению защитой
Для обеспечение информационной защиты, GFI LANguard Network Security использует три основных компонента: сканер безопасности, управление внесением исправлений и сетевой контроль с помощью одной объединенной консоли. Просматривая всю сеть, он определяет все возможные проблемы безопасности и, используя свои обширные функциональные возможности по созданию отчетов, предоставляет средства, необходимые для обнаружения, оценки, описания и устранения любых угроз.

«Топ 25 самых опасных ошибок программирования» — это список самых опасных ошибок программирования, которые могут привести к серьезным уязвимостям в программном обеспечении. Они нередки, их легко найти и ими легко воспользоваться. Они опасны, потому что зачастую позволяют злоумышленнику полностью взять под контроль программу, украсть данные или вообще не дать программе функционировать.

Этот список — результат сотрудничества между SANS Institute, MITRE и многих экспертов по информационной безопасности в США и Европе. Список использует опыт, полученный при составлении «Top 20 attack vectors» институтом SANS и «Common Weakness Enumeration (CWE)» корпорацией MITRE.

MITRE поддерживает сайт, посвященный CWE, при поддержке «Национального центра кибербезопасности США» предоставляющий детальные описания 25-ти главных ошибок программирования вместе с авторитетными рекомендациями, как их смягчить и избежать. Сайт CWE также содержит данные по более чем 700 другим ошибкам программирования, проектирования и архитектуры, которые могут привести к уязвимостям.

Основная цель этого списка — устранить уязвимости прямо в зародыше, обучая программистов тому, как исключать наиболее общие ошибки еще до того, как программного обеспечение выпускается. Список будет средством для обучения и осведомления, которое поможет программистам предотвратить те виды уязвимостей, которыми поражена индустрия разработки ПО.

Потребители ПО могут пользоваться тем же списком, чтобы предъявлять более высокие требования к безопасности программного обеспечения. Наконец, менеджеры проектов и CIO (Chief Information Officer) могут использовать данный ТОП 25 для измерения успехов в обеспечении безопасности своих программ.

Как и в прошлом году, список самых опасных ошибок, возглавляют XSS-уязвимости (межсайтовый скриптинг), SQL-инъекции и проблемы связанные с переполнением буфера. Эти и другие ошибки ПО стали причиной взломов миллионов систем, включая недавнюю атаку на Google, поэтому приведённый контрольный список, всегда стоит держать под рукой не только новичкам:

В продолжение работы, которую пол-года назад проделали компания 2Товарища и Антон Исайкин, мы (aldonin и dasm32) решили провести сканирование 1000000 самых популярных сайтов современного Web-а, начиная от google.com и заканчивая wordpress.com.

Мы использовали Perl для написания сканера. Первая его версия не использовала богатые возможности по созданию и использованию потоков. Но когда в течении 3х дней в результате было просканировано всего лишь 25% сайтов — жалкие 250000, срочно был поднят вопрос о повышении производительности :)

После небольшой, но неоценимой помощи товарищей с perlmonks.org многопоточность была вполне задействована, и всего за день была проверена остальная часть имеющейся у нас базы.

Результаты, конечно же, нас удивили.
Было обнаружено около 4500 (точнее — 0.43%) сайтов с вышеуказанной «уязвимостью». Процент оказался даже несколько выше, чем у 2Товарищей и Антона Исайкина. Среди них оказалось очень много крупных и популярных порталов и сервисов, имена и адреса которых мы не будем публиковать, последуя принципу авторов, обнаруживших этот аспект невнимательности многих веб-мастеров и администраторов.

Также за время сканирование на наш сервер было прислано всего одно гневное письмо от одного немецкого сайта, в котором, кстати, было написано, что мы «нагружаем» их веб-сервер :)). Одним жалким запросом. Ну да ладно.