Vi gjør oppmerksom på at informasjonen gitt i denne bloggen er ferskvare og således kan inneholde feil. Aksjoner som gjøres på grunnlag av denne er på eget ansvar. Telenor tar ikke ansvar for innhold gitt i eksterne lenker.

Friday, 4 January 2013

2013.01.04 - Nyhetsbrev

En tyrkisk sertifikatutsteder har signert et falsk *.google.com sertifikat.

Microsoft varsler at de kommer til å tette 12 sårbarheter ifbm. oppdateringene førstkommende tirsdag. Den nylig oppdagete svakheten i IE 6-8 er ikke med på listen.

Symantec peker i en bloggpost på grupperingen som skal stå bak den siste zero-day svakheten i Internet Explorer.

Det er oppdaget en SQL-injection-svakhet i Ruby on Rails.

Microsoft lapper 12 sårbarheter på tirsdag

Microsoft forteller i en rapport at de gir ut 7 bulletiner (2 kritiske og 5 viktige) for 12 sårbarheter tirsdag klokka 19 norsk tid. De kritiske bulletinene skal gjelder for Windows, Office, Developer tools og Microsoft Server Software. Tirsdagens oppdatering vil trolig ikke inneholde en fiks for den nylig oppdagede zero-day svakheten i Internet Explorer, som ble omtalt i dette nyhetsbrevet den 31.12.
Referanser
http://technet.microsoft.com/en-us/security/bulletin/ms13-jan
http://threatpost.com/en_us/blogs/patch-ie-zero-day-wont-be-among-microsoft-security-updates-next-week-010313

Tyrkisk CA har signert falske *.google.com sertifikat

Den tyrkiske sertifikatutstederen TURKTRUST Inc. har signert et falsk wildcardsertifikat for domenet *.google.com. Både Microsoft og Google har gitt ut oppdateringer som svartelister dette sertifikatet. Vi anbefaler å installere disse oppdateringene.
Referanser
http://technet.microsoft.com/en-us/security/advisory/2798897
http://googleonlinesecurity.blogspot.no/2013/01/enhancing-digital-certificate-security.html

Elderwood Project Behind Latest Internet Explorer Zero-Day Vulnerability

Symantec melder i en bloggpost at det skal være gruppen som står bak det såkalte "Elderwood Project" som har funnet siste ukes mye omtale zero-day svakhet i Internet Explorer. Zero-day exploiten skal iflg. Symantec ha blitt utviklet av gruppen bak Elderwood Project for å bli benyttet i såkalte "watering hole attacks"; En type målrettet angrep der Zero-day exploit-kode plasseres på kompromitterte web-servere som man vet "målet" for angrepet har interesse av, og dermed trolig vil besøke ila. en viss tid. Evt. kan besøket bli forsøkt fremskyndet vha. phishing/spam-mail el.
Referanser
http://www.symantec.com/connect/blogs/elderwood-project-behind-latest-internet-explorer-zero-day-vulnerability

Ruby on Rails Method Parameters SQL Injection Vulnerability

Grunnet en feil i tolking av parametere kan man lage SQL som man kan få kjørt mot systemet.
Anbefaling
Oppgrader til nye versjoner.
Referanser
http://www.h-online.com/open/news/item/SQL-injection-vulnerability-hits-all-Ruby-on-Rails-versions-1776203.html
http://blog.phusion.nl/2013/01/03/rails-sql-injection-vulnerability-hold-your-horses-here-are-the-facts/#.UOWGd2y7P2p

No comments:

Post a Comment

Retningslinjer for kommentarer
Alle kommentarer vil bli gjennomlest før de blir publisert. Kommentarer som er usaklige, har støtende eller upassende innhold vil bli slettet av moderator.