Polski specjalista Michał "Lcamtuf" Zalewski opublikował informacje na temat czterech luk zero-day w najpopularniejszych przeglądarkach od Microsoftu i Mozilli. Za najbardziej niebezpieczną uważana jest luka dotycząca przeglądarek IE 6 oraz IE 7.
Informacje na temat luk zostały opublikowane na liście dyskusyjnej Full-disclosure, na której polski specjalista regularnie publikuje swoje spostrzeżenia. Hacker poza informacjami przygotował również demonstracje ataków.
Najbardziej niebezpieczna luka (przez Zalewskiego określona jako "krytyczna") dotyczy przeglądarki Internet Explorer 6/7. Pozwala na kradzież ciasteczek używanych przez użytkowników w czasie logowania się do serwisów internetowych. Atak jest możliwy, ponieważ kod JavaScript wykonywany w trakcie zmiany stron może działać z uprawnieniami starej strony, ale na aktualnych treściach strony nowo załadowanej. Prezentacja takiego ataku jest dostępna na stronie Michała Zalewskiego.
Dwie kolejne luki opisane przez specjalistę są zlokalizowane w Firefoksie. Pierwsza dotyczy obiektów iframe i umożliwia ich modyfikację na innej stronie. Lukę można wykorzystać w celu przechwytywania znaków wprowadzanych za pomocą klawiatury. Dla tej usterki również dostępna jest demonstracja. Co ciekawe, podobny błąd w Firefoksie był już wcześniej wykryty i załatany.
Znaczenie drugiej luki wykrytej w Firefoksie zostało ocenione przez Zalewskiego jako "średnie" (medium). Usterka pozwala atakującemu na ominięcie wprowadzonego do Firefoksa zabezpieczenia, mającego chronić przed nieuważnym kliknięciem w okno dialogowe (prezentacja ataku również jest dostępna).
Ostatnia luka dotycząca IE 6 (również o znaczeniu średnim) pozwala na sfałszowanie paska adresu. Możliwe jest dzięki temu stworzenie strony internetowej "udającej" inną, dowolną stronę, nawet dostarczającą treści przez kanał SSL (prezentacja ataku).
Zarówno przedstawiciele Mozilli jak i Microsoftu potwierdzili już, że są świadomi istnienia usterek. Rzecznik Microsoft dodatkowo poinformował, że jego firmie nie są znane żadne przypadki ataków z wykorzystaniem wspomnianych luk.
W Dragon's Den wszystko było wyreżyserowane. Nasz projekt był z góry łatwy do określenia, że nie wiadomo, o co nam chodzi i nie umiemy tego zaprezentować - mówi Dziennikowi Internatów uczestnik Dragon's Den, Ziemowi Gólski, który odpadł z programu, ponieważ nikt nie zrozumiał jego projektu. więcej
Kilka dni temu publikowaliśmy treść listu Radia Wolne Media do ZPAV w sprawie próby pobrania przez pracownika tej instytucji opłat za korzystanie z utworów na licencji Creative Commons. Sprawie przyjrzeliśmy się bliżej, wysyłając do ZPAV-u prośbę o komentarz. Przy okazji zadaliśmy też pytanie, czy ZPAV stara się dotrzeć do producentów, w obronie których pobiera opłaty. więcej
Ochrona, jaką daje interpretacja indywidualna, obowiązuje nawet po doręczeniu zmienionej interpretacji. Niestety nie zawsze oznacza to zwolnienie z obowiązku zapłaty podatku. Tak pełnej ochrony nie uzyskają osoby, które zrealizowały sytuację opisaną we wniosku o wydanie interpretacji jeszcze przed jej doręczeniem. Jednak i one mogą spać spokojniej, gdyż nie grozi im postępowanie karne skarbowe czy konieczność płacenia odsetek za zwłokę. więcej
Od jakiegoś czasu abonenci telewizji satelitarnej n są nękani bardzo uciążliwą reklamą emitowaną zaraz po każdym uruchomieniu dekodera. Reklama ma formę planszy zastępującej właściwy obraz i zachęcającej do skorzystania z oferty wypożyczalni VOD operatora - pisze Czytelnik Dziennika Internautów. więcej
Michał Zalewski
Zobacz wszystkie (10)
Pobieranie danych...