Bezpečnostní přehled: Flash musel být látán několikrát

Pavel Houser , 20. červenec 2015 08:00 0 komentářů
Bezpečnostní přehled: Flash musel být látán několikrát

Dozvuky útoku na společnost Hacking Team. Zřejmě poslední záplaty pro Windows Server 2003. Zneužívaná zero day zranitelnost v Javě. Možnost manipulace s výsledky vyhledávání u Googlu. Jak se Seznam.cz staví k přechodu na protokol https. Následuje pravidelný bezpečnostní přehled vytvářený především podle webů ZDNet, CNet, The Register a HelpNet Security.

Červencové opravy Microsoftu

Microsoft vydal své červencové záplaty. Některé z opravených zranitelností byly obsaženy i v seznamech zero day exploitů uniklých při útoku na společnost Hacking Team. Celkem 14 bulletinů zabezpečení řeší 59 chyb. Co se týče kritických oprav: MS15-065 je kritickou kumulativní opravou pro Internet Explorer, některé ze zranitelností umožňují vzdálené spuštění kódu. MS15-066 je kritická záplata pro starší verze Internet Exploreru, chyba opět umožňuje spuštění kódu (při zpracování VBScriptu). MS15-067 látá kritickou chybu v protokolu RDP, dotčenými systémy jsou Windows 7, Windows 8 a Server 2012. MS15-068 opravuje systémy, na nichž se provozuje virtualizační technologie MS HyperV – kvůli chybě může aplikace na hostovaném systému obejít hypervisor a spustit kód na hostitelské vrstvě. Opravy se statutem důležitých jsou kromě Windows a Internet Exploreru určeny také pro MS SQL Server a MS Office.

Končí Windows Server 2003

Skončila podpora pro Windows Server 2003, což mj. znamená, že dále už pro tento OS nebudou vydávány bezpečnostní aktualizace. Červencové opravy byly poslední (pravděpodobně – u Windows XP Microsoft loni udělal ještě jednu výjimku i „po termínu“). Viz také: Windows Server 2003 - časovaná bomba, MS Windows Server 2003: Proč se upgrade odkládá

Rovněž tak skončila aktualizace/podpora bezpečnostních nástrojů Microsoftu (Security Essentials a další) pro Windows XP. Tento OS je tak nyní ještě více vystaven útočníkům, podle některých statistik se přitom dosud používá na cca 12 % počítačích přistupujících k webu. V loňském roce byly bezpečnostní problémy objeveny až u 10 % počítačů s Windows XP (možná názornější relativní čísla: míra infekce minimálně 2x vyšší než u novějších OS Microsoftu).

Flash a další záplaty Adobe

Ještě ke kauze Hacking Team a mezitím plošně medializovaným chybám v přehrávači Adobe Flash. Zneužívané zranitelnosti vedly i k tomu, že ve Firefoxu byl plug-in pro Flash dočasně plošně zablokován. Podle informací byly útoky pomocí těchto chyb provedeny (v první fázi) především na cíle v Jižní Koreji. Situace byla poměrně nepřehledná, když byly vydány opravy, ale vzápětí se objevily nové chyby. Verze po posledních záplatách by měla mít číslo 18.0.0.209. V Internet Exploreru i Chrome by se již měl plug-in aktualizovat automaticky, Firefox nutí uživatele přejít na novou verzi. Viz také předcházející bezpečnostní přehled: Kolik nabízí FBI za autora malwaru Zeus

Adobe vydala rovněž opravy pro Acrobat, Reader a Shockwave. I tyto balíčky mají statut kritických, obvykle na všech podporovaných platformách. U Adobe Readeru si lze nastavit automatickou instalaci aplikací. Čísla aktuálních verzí: Shockwave 12.1.9.159, Reader 11.0.12.

Eskalace oprávnění ve VMware

Reportovány byly zranitelnosti v desktopových produktech VMware: klientech Workstation, Player a Horizon View. Chyba se týká seznamu řízení přístupu a může se projevit eskalací uživatelských oprávnění. Vzdálené zneužití by možné být nemělo, i tak se ale doporučuje rychle nasadit opravu, prostupná virtualizační vrstva ohrožuje infrastrukturu jako celek a při útocích lze kombinovat s dalšími chybami.

Java i databáze Oracle

Objevila se rovněž nová zero day chyba v implementaci Javy (CVE-2015-2590) a již je aktivně zneužívána – tam, kde je Java v prohlížečích povolena. Na probíhající kampaň (operace PawnStorm) upozornila společnost Trend Micro. Oracle rychle vydal opravu – v rámci kompletní čtvrtletní sady aktualizací, která látá celkem 193 zranitelností.

Eric Maurice z Oraclu uvedl, že aktualizace zahrnují i celou řadu dalších kritických oprav pro Javu (klient i server), nicméně kromě výše uvedené nejsou zatím zatím známy případy pokusů o zneužívání. Další záplaty pokrývají prakticky celé portfolio produktů Oracle, navíc ještě software třetích stran, který Oracle zahrnuje do svých distribucí. Maurce speciálně doporučuje urychleně nasadit opravu pro databázi Oracle CVE-2015-2629.

CSIRT.CZ varuje

Společnost Sophos objevila nový trik manipulující s výsledky vyhledávání Google. Mechanismus využívá PDF soubory, jejichž obsahu zřejmě algoritmus společnosti Google důvěřuje více než obsahu klasických HTML stránek.

Ze světa firem

Eset File Security bude k dispozici i jako rozšíření pro virtuální zařízení na cloudové platformě Microsoft Azure. Zdroj: tisková zpráva společnosti Eset

Na trh přichází Symantec Endpoint Protection 12.1.6. Nová verze nabízí mj. funkce dostupné v současné verzi produktu Symantec Endpoint Protection for Windows XP Embedded 5.1. Na vestavěných platformách nebude tedy nyní nutné užívat separátní bezpečnostní řešení. Optimalizace pro embedded systémy zahrnuje omezenou velikosti klienta i definic malwaru, takže řešení by dle Symantecu nemělo znatelně ovlivňovat výkon ani v případech speciálních nasazení typu pokladních systémů. Zdroj: tisková zpráva společnosti Symantec

Představena byla nejnovější verze Kaspersky Small Office Security pro podniky s méně než 50 zaměstnanci. Řešení je dostupné i klientům v ČR. Podle dodavatele obsahuje aktuální verze např. vylepšený modul SafeMoney pro ochranu finančních transakcí a nový systém pro správu hesel. Zdroj: tisková zpráva společnosti Kaspersky Lab

Check Point představil bezpečnostní bránu 1200R, řešení pro průmyslové řídicí systémy (ICS/SCADA). Brána je určená pro nepřístupná a drsná prostředí a vzdálené nasazení, jako například v odlehlých elektrických rozvodnách nebo v závodech pro výrobu elektrické energie. Zařízení je bez ventilátorů a pohyblivých částí, rozsah provozních teplot se pohybuje od -40 °C do 75 °C. Zdroj: tisková zpráva společnosti Check Point Software Technologies

Seznam doporučuje prozatím odložit přechod na protokol https. „Zjistili jsme, že stejná stránka je po přechodu z protokolu http na https crawlovaná o něco pomaleji a rankovaná o trochu hůře,“ uvádí Seznam.cz. Výsledkem může být, že https stránka se bude ve výsledku vyhledávání řadit hůře. Seznam přepracovává indexaci a rankování https stránek, jejich znevýhodnění ve výsledcích vyhledávání by mělo zmizet na konci prázdnin. Zdroj: tisková zpráva/blog společnosti Seznam.cz

Psali jsme na ITBiz

Na téma bezpečnosti na ITBiz viz také:


Komentáře

RSS 

Komentujeme

Bezpečnost IT a tygří logika

Pavel Houser , 14. únor 2017 11:00
Pavel Houser

Jak praví známý vtip, běží-li za vámi tygr, netřeba se pohybovat rychleji než šelma – stačí předběhn...

Více






Kalendář

22. 02. IT mezi paragrafy
20. 03.

24. 03.
CeBIT 2017
25. 03. INSPO 2017
RSS 

Zprávičky

Trump si nechal registrovat tisíce internetových domén

ČTK , 21. únor 2017 08:30

Málokterá veřejná osoba je tak aktivní ve skupování internetových domén jako americký prezident Dona...

Více 0 komentářů

Mall Group ovládla internetový obchod s elektrem CZC.cz

ČTK , 20. únor 2017 16:39

Skupina Mall Group se stala jediným vlastníkem e-shopu CZC.cz. Od zakladatele obchodu Josefa Matějky...

Více 2 komentářů

Eurowag dokončil akvizici firmy Princip

Pavel Houser , 20. únor 2017 16:12

W.A.G. payment solutions proniká na trh telematických služeb....

Více 0 komentářů

Starší zprávičky

Samsung zpřístupňuje nové čipy 5G RFIC

Pavel Houser , 20. únor 2017 16:01

Čip dokáže poskytnout větší pokrytí v pásmu milimetrových vln (mmWave)....

Více 0 komentářů

Soud povolil vydání Dotcoma do USA, ten se znovu odvolá

ČTK , 20. únor 2017 12:00

Novozélandský soud zamítl odvolání internetového magnáta německého původu Kima Dotcoma proti jeho vy...

Více 0 komentářů

OBSE nezjistila, kdo loni napadl její servery

ČTK , 20. únor 2017 07:00

Organizace pro bezpečnost a spolupráci v Evropě (OBSE) nedokáže identifikovat strůjce loňských hacke...

Více 0 komentářů

Majitel Snapchatu jde na burzu s nižší hodnotou, než se čekalo

ČTK , 18. únor 2017 09:00

Americká společnost Snap, která provozuje populární mobilní aplikaci Snapchat pro sdílení fotografií...

Více 0 komentářů

AbcPráce