Za informatičare

Tvrtka Microsoft upozorava sve korisnika da odmah primjene najnoviju nadogradnju njihovog web preglednika Internet Explorera kao mjeru opreza zbog zlonamjernih napada. Kao dio njihove nadogradnje programa tvrtka isporučuje visoko prioritetnu nadogradnju (MS12-010) koja obuhvaća četiri zabilježene ranjivosti koje se mogu iskoristiti u preuzimanjima s minimalnim djelovanjem korisnika. Nadogradnja je označena kritičnom za inačice programa Internet Explorer 7, 8 i 9 na operacijskom sustavu Windows. Najozbiljnije ranjivosti mogu dozvoliti udaljeno izvršavanje koda ako korisnik pregleda posebno izrađenu web stranicu s preglednikom Internet Explorer. Nadogradnja rješava ranjivosti tako da mijenja način na koji preglednik Internet Explorer upravlja sadržajem tijekom procesa kopiraj i zalijepi, upravlja objektima u memoriji te stvara i inicijalizira niz znakova. Tvrtka poziva korisnike operacijskog sustava Windows da obrate pažnju na nadogradnju MS12-013, koja popravlja propust jer bi mogao dozvoliti udaljeno pokretanje koda ako korisnik otvori posebno napravljenu multimedijsku datoteku s web stranice ili iz dodatka elektroničke pošte. Tvrtka Microsoft napominje da ranjivost može utjecati na bilo koju aplikaciju koja koristi biblioteku „msvcrt.dll“. Tvrtka također isporučuje ispravke za ranjivosti u programskim paketima .NET Framework i Microsoft Silverlight. Izvornu vijest moguće je pogledati na web portalu ZDNet.

Tržište mobilnih aplikacija postalo je iznimno popularno, a tvrtke se natječu tko će brže izdati novu aplikaciju i tako preduhitriti konkurenciju. Zbog kratkog vremena u kojem se aplikacije razvijaju, često se ne slijede načela razvoja sigurnog programskog koda. Dodatan problem je i neiskusnost programera kojima je to često prva mobilna aplikacija. Međutim, načela razvoja sigurnog programskog koda ne slijede ni velike tvrtke Google i Apple, a najbolji primjer je aplikacija „Google Wallet“ za koju se pokazalo da sadrži veliki broj sigurnosnih propusta. Jedan od problema pri razvoju sigurnih aplikacija je mali broj standarda za mobilne aplikacije te nedostatak programske podrške s kojom bi bilo moguće ispitati nove aplikacije. Zbog toga veliki broj aplikacija sadrži kritične sigurnosne propuste koje izlažu vlasnike pametnih telefona riziku od napada. Tvrtka viaForensics izvijestila je da čak 76 posto aplikacija za operacijske sustave Android i iOS ni na koji način ne štite korisničke lozinke nego ih pohranjuju u obliku čistog teksta. Problem su i ostale osjetljive informacije poput podataka o kreditnim karticama koje se pohranjuju u nešifriranom obliku. Pri razvoju mobilnih aplikacija potrebno je misliti na sigurnost kako bi se izbjegle neugodnosti uzrokovane nesigurnim razvojem aplikacije. Više podataka moguće je saznati na stranicama portala DarkReading.

Tvrtka Mozilla je izdala najnoviju inačicu Internet preglednika Firefox koja uključuje programsku nadogradnju za 9 sigurnosnih propusta, od kojih su njih pet ocijenjeni kao kritični. Jedna od kritičnih ranjivost je XSS (eng. cross site scripting) ranjivost uzrokovana nedovoljnim sigurnosnim provjerama. Zbog ranjivosti, XSS napadi su mogući preko web stranice ili dodataka za preglednik Firefox. Programska nadogradnja omogućuje komponenti Script Security Manager bolje provođenje sigurnosnih provjera. Ostale kritične ranjivosti uključuju: rušenje programa zbog zloćudnih XSLT (eng. Extensible Stylesheet Language Transformations) podataka, mogućnost korupcije memorije pri obradi datoteka „Off Vorbis“, nepravilno upravljanje čvorovima u komponenti „nsDOMAttribute“ i nekoliko grešaka pri korištenju memorijskog prostora za koje se sumnja kako bi se mogli iskoristiti za pokretanje proizvoljnog programskog koda. Najnovija inačica poznatog preglednika, Firefox 10, donosi nove ugrađene alate za programere koji im omogućuju izmjenu web stranica i doživljaj nove stranice u stvarnom vremenu. Dodatno,tvrtka  Mozilla je poboljšala kompatibilnost s dodacima za preglednik i pojednostavila postupak ažuriranja preglednika za sve korisnike. Za više podataka moguće je posjetiti web stranice portala Infosecurity, gdje je objavljena originalna vijest.

Stotine web stranica koje su napravljene alatom WordPress su otete i preusmjeravaju posjetitelje na zlonamjerne stranice za iskorištavanje. Istražitelji upozoravaju kako broj ovakvih stranica raste. Ugrožene su starije inačice web stranica WordPress koje pokreću inačicu programa 3.2.1. Ovu inačicu je zamijenila nadogradnja programa u prosincu prošle godine, ali je još uvijek u širokoj upotrebi. Napadači koriste automatske čitače kako bi pronašli ranjivosti u web stranicama te onda iskorištavaju ulaznu pogrešku provjere valjanosti za ugradnju okvira koji preusmjeravaju korisnike na stranice za iskorištavanje. Stephan Chenette, glavni sigurnosni istraživač tvrtke Websense, izjavio je kako u trenutku napada korisnici neće ni primijetiti kako se adresna traka promijenila, jer se promjena događa u milisekundama. Istraživači tvrtke Websense otkrili su stotine ugroženih WordPress instalacija koje su odvele korisnika na zlonamjerne stranice koje sadrže alat Incognito za iskorištavanje. Alat je zarazio ranjive korisnike zlonamjernim Java kodom. Iskorištavanje korisnika uključivalo je TDSS zlonamjerni program (eng. rootkit) koji se smatra jednim od najopasnijih zlonamjernih programa na webu, zbog toga što ima mogućnost sakriti se na najnižu razinu operacijskog sustava i izbjeći otkrivanje antivirusnim programom. Više informacija objavljeno je na web stranicama portala SCMagazine.