Login: ( registrieren / neues Passwort )
  Cookies müssen aktiviert sein!

Navigation
Main-Content
» News-Center
» Hacking-Zone
» Forum
» IT-Quiz
» IRC-Webchat

Features / Downloads
» Krypto-Lab
» Digital-Library
» Anonymous?
» HS-Decoder
» Linkliste
» Download-Center
» HackTV-Center

Community-Infos
» Hall of Fame
» Hall of Lame
» Mitglieder
» Skill-Suche

About HS
» Happy-Shop
» Infos & Hilfe
» Partner-Seiten
» HS unterstützen!
» Gästebuch (add)
» Statistiken

1. Begriff markieren
2. Button anklicken
Statistik
Online : (17 User)
IRC Nimda
sowie 16 Gäste

IRC-Chat : (19 User)

Voting
Nutzt ihr euer handy zum mobilen surfen?
selten
oft
gar nicht
 
   Umfrage-Seite

Partner-Seiten

Partner werden

 Themen der letzten 24 Stunden  Forum   
- kein Beitrag vorhanden -

Aktuelle hacks der Hacking-Zone    
vor 107 Stunden hat psyclone die Challenge What did he type? gelöst
vor 169 Stunden hat movP0n3 die Challenge Ganxta Login gelöst
vor 171 Stunden hat badgateway die Challenge Try to see gelöst
vor 171 Stunden hat badgateway die Challenge Old School gelöst
vor 171 Stunden hat badgateway die Challenge My German is bad :( gelöst
vor 171 Stunden hat badgateway die Challenge Wurzel allen Übels gelöst
vor 171 Stunden hat badgateway die Challenge Just get Started 2 gelöst
vor 171 Stunden hat badgateway die Challenge Just get started gelöst
vor 211 Stunden hat badgateway die Challenge Baphomet gelöst
vor 212 Stunden hat badgateway die Challenge Who said this? gelöst
  

Lücke in Apache Tomcat    geschrieben von Vellas @ 21.08.2008 - 11:55 Uhr
Nach 2 Wochen Pause, bedingt durch meinen Urlaub, geht es nun weiter mit News bei Happy-Security zum Thema IT-Sicherheit. So geht es auch gleich mit einer gestern gemeldeten Sicherheitslücke im Apache Tomcat los.

Bei der Lücke in Tomcat handelt es sich um ein Directory Traversal Problem. Das Problem tritt bei der Verarbeitung von UTF-8 kodierten URIs auf, wenn in den Dateien context.xml oder server.xml die Einstellung "allowLinking" auf "true" gesetzt ist und "URIEncoding" auf "UTF-8" eingestellt ist (nur wenn diese beiden Einstellungen genau diese Werte aufweisen). So kann ein Angreifer auf Dateien im ganzen Verzeichnisbaum zugreifen und dadurch wichtige Systemdateien auslesen wie z.b. /etc/passwd.

Betroffen ist Tomcat bis Version 6.0.16. Gefixt wird das Problem mit der aktuellen Version 6.0.18. Benutzern von Tomcat 5.5.x and 4.1.x, wird empfohlen den Hotfix zu benutzen bis zum nächsten Release.

Quellen:
Apache: Apache Tomcat 6.x vulnerabilities
Securityfocus: Apache Tomcat UTF-8 Directory Traversal Vulnerability
CVE: CVE-2008-2938
Milw0rm: Apache Tomcat Directory Traversal Vulnerability
0x000000.com: Exploiting Apache Tomcat

Forumsdiskussion aufrufen
  

Firefox 2&3 Update    geschrieben von Vellas @ 17.07.2008 - 09:24 Uhr
Für Firefox 3 ist das erste Update erschienen. Mit den Versionen 2.0.0.16 und 3.0.1 stopfen die Entwickler drei Sicherheitslücken die sie als kritisch einstufen, wobei eine nur für Mac OS X gilt. Die Versionen sind sowohl auf den Downloadseiten vorhanden und sollten auch durch den integrierten Update-Mechanismus angeboten werden.

Eine Sicherheitslücke betrifft den Aufruf von der Kommandozeile. Dort lassen sich, getrennt durch das Pipe-Symbol ("|"), mehrere URLs angeben, die dann in verschiedenen Tabs geöffnet werden. Dieser Aufruf kann benutzt werden um die Sicherheitsvorkehrungen zum Aufrufen von chrome: URIs zu umgehen. Etwas skurril wirkt dabei der angegebene Workaround. Der Angriff funktioniert nur, wenn Firefox nicht läuft, daher soll man Firefox nutzen um einem Angriff zu entgehen.

Die zweite Sicherheitslücke betrifft das vor etwa einem Monat von TippingPoint gemeldete Problem. Dabei handelt es sich um einen Pufferüberlauf in einem Zähler, der zählt, wie oft ein CSS-Objekt genutzt wird. Wenn man eine sehr große Anzahl an Referenzen nutzt, kann man den Zähler damit zum Überlauf bringen. Dadurch kommt es bei einer Freigabe des Objekts zu einem Crash, da das Objekt eigentlich immer noch in Benutzung ist, wenn der Puffer übergelaufen ist. Ein Angreifer kann diesen Fehler dazu nutzen, Schadcode auf dem PC des Opfer einzuschleusen.

Die letzte Lücke ist ein Fehler in Mozillas Grafikcode bei der Behandlung von GIF-Grafiken unter Mac OS X. Ein Angreifer könnte eine spezielle Grafik erzeugen und damit Schadcode ins System einschleusen.

Quellen:
Firefox 2.0.0.16 Release Notes
Security Advisories for Firefox 3.0
Remote code execution by overflowing CSS reference counter
Command-line URLs launch multiple tabs when Firefox not running
Crash with malformed GIF file on Mac OS X

Forumsdiskussion aufrufen
  

Fehlerhafte Intel-CPUs    geschrieben von Vellas @ 16.07.2008 - 08:30 Uhr
Kris Kaspersky, Entwickler und Reverse Engineer, hat sich dem Angriff auf Intel-CPUs angenommen. Er will auf der kommenden Sicherheitskonferenz "Hack in the Box" seinen Proof-of-Concept-Code vorstellen, mit dem sich auf Intel-Prozessoren basierende Systeme angreifen lassen.

Für den Core 2 führt Intel 128 Fehler auf, für den Itanium sogar mehr als 230 Fehler. Unabhängig vom eingesetzten Betriebssystem, der eingespielten Patches oder der genutzen Anwendungen, können diese Fehler ausgenutzt werden um das System zum Absturz zu bringen oder aber sogar die Kontrolle über die Maschine zu nehmen. Dies Übernahme der Kontrolle ist sowohl lokal, als auch aus der Ferne möglich.

Auf der Konferenz will Kaspersky einen Angriff mit JavaScript-Code und TCP-Paketen auf eine Intel-CPU zeigen. Einige der Fehler sollen sich durch bestimmte Befehlssequenzen provozieren lassen, zumindest wenn die Funktion des zugrunde liegenden Compilers bekannt ist (z.B. der Java Compiler).

Laut Kaspersky gibt es bereits vereinzelte gezielte Attacken, allerdings sei es nur eine Frage der Zeit bis auch Würmer dies nutzen. Über mögliche Lücken in AMD-CPUs äußerte sich Kaspersky nicht.

Quellen:
Hack in the Box: Remote Code Execution Through Intel CPU Bugs
Heise: Angriff auf Intel-CPUs

Forumsdiskussion aufrufen
  

iPhone 2.0: Security Updates    geschrieben von Vellas @ 16.07.2008 - 08:10 Uhr
Die Software-Version iPhone 2.0 schließt insgesamt 13 Sicherheitslücken, 8 davon für den Safari Browser von Apple. Die Sicherheitslücken sind schon seit Monaten bekannt und auch dokumentiert. Ein Update wird dringend empfohlen, da diese Lücken jederzeit ausgenutzt werden können. Unter anderem könnte man die persönlichen Daten auf dem Handy ausspähen.


Quellen:
Apple: About the security content of iPhone v2.0 and iPod touch v2.0
Heise: Security-Updates in iPhone 2.0
  

Wireshark: DoS-Schwachstelle    geschrieben von Vellas @ 16.07.2008 - 08:01 Uhr
Mit Version 1.0.2 von Wireshark wird ein Fehler behoben, der von einem Angreifer für eine Denial of Service ausgenutzt werden könnte. Die Ursache für das Problem ist ein Fehler in der Funktion fragment_add_work in der Datei reassemble.c.

Quellen:
Wireshark (Fehlerbericht): Multiple problems in Wireshark® versions 0.8.19 to 1.0.1
Heise: DoS-Schwachstelle in Wireshark
  

[ 0 ] [ 1 ] [ 2 ] [ 3 ] [ 4 ] [ 5 ] [ 6 ] [ 7 ] [ 8 ] [ 9 ] [ 10 ] [ 11 ] [ 12 ] [ 13 ] [ 14 ] [ 15 ] [ 16 ] [ 17 ] [ 18 ] [ 19 ] [ 20 ] [ 21 ] [ 22 ] [ 23 ] [ 24 ] [ 25 ] [ 26 ] [ 27 ] [ 28 ] [ 29 ] [ 30 ] [ 31 ] [ 32 ] [ 33 ] [ 34 ] [ 35 ] [ 36 ] [ 37 ] [ 38 ] [ 39 ] [ 40 ] [ 41 ] [ 42 ] [ 43 ] [ 44 ] [ 45 ] [ 46 ] [ 47 ] [ 48 ] [ 49 ] [ 50 ] [ 51 ] [ 52 ] [ 53 ] [ 54 ] [ 55 ] [ 56 ] [ 57 ] [ 58 ] [ 59 ] [ 60 ] [ 61 ] [ 62 ]

Need help? visit the IRC-Chat or Message-Board
© 2004 - 2019 happy-soft
"ln -s /dev/null bermuda_triangle"