Cisco potvrdilo přítomnost backdooru ve small business zařízeních. Backdoor objevil před týdnem francouzský hacker Eloi Vanderbeken. Oprava by měla být vydána do konce ledna 2014. Podrobnosti v Cisco Security Advisory – Advisory ID: cisco-sa-20140110-sbd.
Nastavení routeů ASUS může vystavit data uživatelů do Internetu. Výchozí nastavení v routerech ASUS umožňuje útočníkům vzdáleně přistupovat k datům na USB discích připojených k routeru. Je uvedeno několik modelů, které jsou touto vlastností vybaveny.
Byla nalezena chyba v DNS serveru BIND. Specifický dotaz proti NSEC3 u podepsané zóny může způsobit pád BIND. Podrobnosti v Knowledge Base ISC a CVE-2014–0591. Opravy již vydaly OS Ubuntu, RedHat, FreeBSD.
VMware Workstation, Player, Fusion, ESXi, ESX a vCloud Director řeší několik bezpečnostních problémů.
VMware ESXi a ESX NFC NULL pointer dereference. Využití tohoto problému může vést k odmítnutí služby. Chcete-li snížit pravděpodobnost zneužití, měly by být vSphere komponenty rozmístěny v izolované síti.
VMware VMX proces odmítnutí služby zranitelnosti. Chyba v manipulaci neplatných portů, může způsobit, že proces VMX selže. Tato chyba zabezpečení může umožnit uživateli ovlivnit proces VMX. Výsledkem je částečné odmítnutí služby na hostitele.
VMware vCloud Director Cross Site Request Forgery (CSRF). VMware vCloud Director obsahuje zranitelnost v Hyper Text Transfer Protokolu při řízení relací. Útočník může svést ověřené uživatele ke klepnutí na nebezpečný (podvrhnutý) odkaz, což by vedlo k odhlášení uživatele. Uživatel je poté schopen se znovu přihlásit do systému.
SCADA opravuje HMI. Společnost Ecava vydala opravu na zero-day zranitelnost ve svém produktu Human Machine Interface (HMI). Software HMI poskytuje vizualizaci průmyslového řízení a výrobních procesů. Toto rozhraní komunikuje s programovatelnými automaty a řídí procesy z centrálního rozhraní. Tyto postupy mohou zahrnovat otáčky čerpadel a jejich vypnutí nebo zapnutí, nebo regulaci teploty a mnoho dalších činností. Analytik z týmu ReVuln uveřejnil zranitelnost nultého dne spočívající v přetečení zásobníku.
Ve zkratce
Tento seriál vychází za pomoci konzultantů firmy Datasys, příznivců a redaktorů serveru Security-Portal.cz. Uvítali bychom i vaši spolupráci na tvorbě obsahu tohoto seriálu. Pokud byste nás chtěli upozornit na zajímavý článek, tak nám napište na FB stránku, případně na Twitter. Děkujeme.
ČLÁNKY DO MAILU