Category: güvenlik açığı
İsrailli bir hacker Microsoft'un salı günü uyardığı IE zero-day güvenlik açığı için bir exploit yazmış ve kod Metasploit Framework'e de eklendi.
Moshe Ben Abu, McAfee Labs blogunda yazan bilgilerde söz konusu açık ile ilgili saldırıların topix21century.com dan geldiğini öğrenmiş ve siteyi inceleyerek dakikalar içinde exploiti bulmuş, kodu çözdükten (okunur hale getirdikten sonra) yararlandığı güvenlik açığını da bulmuş.
30 Haziran 2009 tarihinde Adobe firması tarafından APSB09-10 tanımlayıcılı güvenlik bülteni ile güvenlik yaması çıkartılan, CVE-2009-1868 numaralı "heap bellek" taşma hatası nedeniyle oluşan güvenlik zaafiyeti Adobe Flash Player versiyon 9.0.246.0 ile 10.0.32.18 öncesini ve ayrıca Adobe AIR versiyon 1.5.2 yazılımlarını etkilemektedir.
Güvenlik sorunu, URL işleme mekanizmasındaki hatalı hafıza sınır kontrolü nedeniyle gerçekleşmekte ve uzaktan "heap bellek" üzerinde taşma sağlanabilmektedir.
Intevydis pazartesi günü MySQL 5.x için olan yeni bir exploit demosu videosu yayınladı. Demo CANVAS için olan VulnDisco exploit paketlerindeki yeni bir exploiti gösteriyor. Exploit açıklaması MySQL 5.x olarak geçiyor ve diğer sürümlerde de çalışabileceği belirtiliyor.
0day exploit videosu: http://intevydis.com/mysql_demo.html
Bir güvenlik araştırmacısı 8 milyon adobe flash dosyasında bulunan açıklar ile ziyaret edenlere kötü amaçlı kod sunulduğunu tespit etmiş.
Söz konusu Flash dosyaları haber kuruluşları, bankalar, profesyonel spor takımları ve online kumarhaneler gibi çok çeşitli sitelerde kullanılıyor. Bulundukları sayfaların (ziyaretçilere kötü amaçlı kod çalıştırtma veya bazı durumlarda kullanıcı hesapları gibi bilgileri çalma amaçlı) XSS (cross-site scripting) saldırılarından etkilenmesine yol açıyorlar.
Polonyalı Invisible Things Lab kuruluşundan araştırmacılar Intel TXT (trusted execution technology - güvenilir çalıştırma teknolojisi) implementasyonundaki hatanın, bu özelliğin sunulduğu şekilde önemli dosyaları koruyamadığı ve değiştirilmiş işletim sistemlerinin boot etmesini engelleyemediğini ortaya çıkardı. Pazartesi günü yayınlanan basın duyurusunda "Intel TXT-tabanlı yükleyici ile yüklenmiş bir yazılımının bütünlüğünü bozup TXT'nin sözde sağladığı tüm korumaları aşabildik" deniyor.
Bu güvenlik açığı Q35, GM45, PM45 Express, Q45 ve Q43 Express çipsetlerini etkiliyor.
Windows 7 için ilk güvenlik açıklarından biri duyuruldu. Aslında Windows 2008 Server için duyurulan bu güvenlik açığı zero-day koruması sağlayabilmek için Windows 7 için de duyurulmuş oldu.
Bu güvenlik açığında saldırgan tarafından hazırlanan paket sistemin yanıt veremez hale gelmesini sağlayabilior. Ayrıntıları aşağıdaki linlerde bulabilirsiniz.
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3676
Araştırmacılar bütün ana masaüstü platformlarını (Internet Explorer, Firefox, Safari, Opera ve Adobe Flash) etkileyen yeni bir browser exploit / tehditi ile ilgili olarak uyarıyorlar.
Clickjacking adı verilen tehdit OWASP New York AppSec 2008 konferansında anlatılacak ve tartışılacaktı ama Adobe ve diğer etkilenen üretici firmaların ricası üzerine fix çıkana kadar açıklanmayacak.
Keşfin arkasındaki iki araştırmacı Robert Hansen ve Jeremiah Grossman açığın seviyesi ile ilgili ufak bilgiler verdiler.
Clickjacking nedir?
Merhabalar,
Daha önceki WebGoat kısa tanıtım yazımızdan sonra, testlerin çözümlerini ele alıyoruz!
Son yorumlar
8 hafta 1 gün önce
9 hafta 3 gün önce
11 hafta 5 gün önce
11 hafta 5 gün önce
14 hafta 4 gün önce
14 hafta 4 gün önce
17 hafta 3 gün önce
18 hafta 4 gün önce
20 hafta 3 gün önce
20 hafta 3 gün önce