Todos os posts tagados browser

Imagens pornográficas invadem o Facebook

Nas últimas horas, vários utilizadores têm demonstrado a presença de imagens pornográficas no feed de notícias do Facebook.

Personalidades, imagens chocantes de animais, pornografia, acidentes, entre outros… são alguns dos temas utilizados para propagar os ataque de Likejacking.

O Facebook já respondeu ao Mashable, onde divulga que está a contactar os utilizadores afectados dando algumas dicas de como prevenir estas situações. Também alertam da possibilidade de algumas vítimas terem utilizado um código malicioso em javascript que, após colocado na barra de endereço do browser, é executado no mural de Facebook da vítima. Clickjacking?

Zscaler fez referência a esta notícia com alguns exemplos de códigos javascript maliciosos.

Plugin para Firefox, Chrome e Safari previne ‘Likejacking’

A Zscaler disponibilizou gratuitamente um plugin para browsers que previne vários tipos de ameaças utilizando a técnica de Likejacking.
É só clicar aqui.

ENISA analisa segurança nas novas normas Web

No TeK:

Um estudo hoje divulgado pela ENISA identifica 51 ameaças de segurança em 13 normas web e propõe ações para as endereçar.

Banca, redes sociais, compras, navegação, pagamentos por cartão ou gestão de infra-estruturas críticas, como as redes energéticas, são apenas algumas das áreas apontadas pelo organismo europeu como exemplos de domínios em que toda (ou quase toda) a atividade passa por browsers de Internet.

“O browser é hoje uma das componentes mais críticas da nossa infraestrutura da informação e um alvo cada vez mais lucrativo para ciberataques”, comenta Udo Helmbrecht, diretor executivo da ENISA, explicando as motivações da análise.

(…)

A sandbox do Google Chrome foi ‘crackada’

A empresa de segurança francesa VUPEN anunciou hoje que os seus analistas conseguiram explorar um falha que permitia ultrapassar a sandbox do browser Google Chrome.

Definitivamente uma leitura/vídeo que recomendo. Onde? Aqui.

Actualização: Segundo o ZDNet, o Google já comunicou que o problema é no Flash e não do browser. Parece-me que a discussão vai continuar…

Bug no IE9 põe Windows 7 SP1 em risco

No IDG Now!:

Até o sistema mais atualizado da Microsoft pode ser usado por criminosos para executar código malicioso.

Um novo exploit do IE9 é capaz de passar por cima de todas as medidas de segurança do Windows 7, mesmo em sua versão mais atualizada, de acordo com a empresa francesa de segurança Vupen.

O exploit usa uma vulnerabilidade aberta (0-day) do Internet Explorer 9 e contorna todas as medidas de segurança extra do Windows 7. A última versão do sistema operacional da Microsoft, totalmente atualizada com com o Service Pack 1, é vulnerável.

A brecha de segurança foi divulgada pela Vupen, que anteriormente já havia descoberto uma vulnerabilidade no IE8 em dezembro de 2010.

A Vupen classifica o exploit do IE9 como “confiável”, o que significa que é um meio efetivo para cibercriminosos executarem código de sua escolha em PCs com Windows 7. O exploit tem como quebrar as camadas adicionais de segurança do Windows 7, como ASLR, DEP e a caixa de areia (Modo Protegido) do IE9.

Caixa de areia
“O exploit usa duas vulnerabilidades distintas. A primeira permite a execução de código arbitrário na caixa de areia do IE9. A segunda permite contornar a caixa de areia para ter acesso completo à execução de código”, afirmou o CEO da Vupen, Chaouki Bekra, ao site holandês Webwereld, do IDG.

O risco apresentado por este exploit, até agora, é limitado. O código do exploit não foi detectado em campo. As vulnerabilidades foram descobertas por pesquisadores da Vupen, que escreveu seu próprio exploit.

“Nós confirmamos a possibilidade de exploração da vulnerabilidade e criamos um exploit de execução de código que funciona com o Internet Explorer 9 no Windows 7 e no Windows 7 SP1”, disse Bekra.

O CEO ressaltou que as vulnerabilidades não foram abertas publicamente. “O acesso a nosso código e à análise profunda dessa vulnerabilidade está restrita a nossos clientes governamentais, que usam a informação para proteger suas infraestruturas críticas”, afirmou.

Outras versões
O IE9 não é muito usado por governos, nem mesmo por empresas. Contudo, a vulnerabilidade não é limitada à última versão do navegador da Microsoft. A brecha de segurança também está presente nas versões 8, 7 e 6 do IE, para as quais a Vupen não produziu um exploit.

“A falha afeta o Internet Explorer 9, 8, 7 e 6, e resulta de uma falha no tratamento de erros pela biblioteca mshtml.dll durante o processamento de uma combinação específica de código HTML e JavaScript”, disse o CEO. A Vupen aconselha a todos os usuários de IE desativar o JavaScript ou usar outro navegador que não seja afetado pela vulnerabilidade.

O código do exploit da Vupen só funciona no IE9, que pode rodar no Windows 7 e no Vista. O IE9 foi lançado recentemente e ainda não é distribuído via Windows Update. A Microsoft vai começar a distribuição nas próximas semanas, mas não divulgou uma data exata para a ampla distribuição e instalação do navegador.

O IE9 tem atualmente uma fatia de mercado de 3,6% entre os usuários de Windows, de acordo com números da empresa NetApplications. O Windows 7, por sua vez, tem uma fatia global de cerca de 25%. A maior base instalada ainda é do Windows XP.