So, hier geht es direkt weiter mit IrfanView, wie mir auf milw0rm.com aufgefallen ist, gibt es dort ein Exploit für die Verarbeitung von .IFF Dateien in IrfanView <= 4.00 . Dem Autor ist es darüber möglich eine Kommandozeile auf dem Betreffenden Opferrechner zu bekommen.
Das entsprechende Demo-Exploit findet ihr hier. IrfanView hat bisher kein Update heraus gebracht, deshalb wird empfohlen .IFF Dateien aus “unsicheren” Quellen zu meiden.
Sobald ein Update verfügbar ist, werde ich dies hier bekannt machen.
Wie Heise und US-Cert berichtet, gibt es in allen derzeitigen IncrediMail Versionen eine Sicherheitslücke in einem ActiveX Modul. Demzufolge soll es Angreifern darüber möglich sein über Websiten, E-Mails oder HTML-Dateianhänge beliebigen Schadcode auszuführen. Weiterlesen “Sicherheitslücke in IncrediMail”
Genau, ihr seht richtig, kaum haben sie eine Version mit aktuellen Sicherheitsfixes herausgebracht gibt es auch schon eine neue Lücke und zwar für eine Blind SQL-Injection in der calendar.php .
Darüber ist es möglich die Passwort hashes aus der Datenbank zu lesen oder ähnliches. Welches beim MyBB nicht ganz so schlimm ist da dort mit den sogenannten SALTS gearbeitet wird, welches eigentlich sehr löblich ist, da dies noch nicht soviele einsetzen. Dennoch lassen sich damit Daten aus der Datenbank ziehen und das wollen wir ja nicht 
So, beheben könnt Ihr die Lücke wie folgt:
Öffnet die Datei calendar.php , ungefähr in Zeile 87 findet ihr folgende Codezeile
$day = $mybb->input['day'];
ersetzt das einfach mit:
$day = intval($mybb->input['day']);
So wird es MyBB sicherlich auch machen. Und damit ist euer Forum zumindest für diese Lücke wieder dicht.
Vielen Dank an dieser Stelle an 0×86 von www.geeksec.net
Firefox Bookmark Cross-Domain Travel Vulnerability
So, ihr seht richtig, Firefox hat damit mal wieder ein Problem, allerdings ist zum ausnutzen dessen etwas Userinteraktion gefragt, etwas viel wenn man mich fragt, aber ok die Lücke ist da und damit ist es eine Lücke .
Weiterlesen “Firefox Lücke”
Es ist wieder einmal der zweite Dienstag im Monat und damit offizieller Patchday bei Microsoft.
Da keine Updatepacks mehr Angeboten werden dürfen, findet Ihr hier immer eine kleine Zusammenfassung um das Update zu erleichtern.
Die Updates sind über die Windowsupdate Funktion erreichbar, können aber auch über die Updatesite bezogen werden.
Insgesamt sind es 5 Updates, wie folgt: Weiterlesen “Patchday: Alle aktuellen Windows-Updates”
Wie allgemein bekannt sein sollte, hatte Microsoft bereits im Dezember vom Sicherheitsdienstleister Determina den Hinweis auf die ANI Lücke im Windows bekommen. Weiterlesen “Microsoft ist viel zu langsam”
Wie gestern (29.03.2007) bekannt wurde, lebte eine alte Schwachstelle in Windowssystem wieder auf. Die Rede ist hierbei von den .ani Dateien für die Darstellung animierter Cursor. Derzeit sind alle neueren Windowssysteme davon betroffen.
Microsoft hat die Lücke bereits bestätigt und arbeitet an einem Patch, ob dieser zum nächsten Patchday erscheinen wird ist allerdings noch unklar.
Derzeit gibt es einen inoffiziellen Patch von eEye, der …… Weiterlesen “Aktuelle .ani Lücke in Windowssystemen”
Eine Schlammschlacht wie sie viele Unternehmen schlagen? Vorallem Microsoft, seit längerem genutzte Patente ausgraben und den “Gegner” verklagen? Sei es drum, Miniweich hat es verdient, ihre eigene Medizin zu schlucken zu bekommen.
Die Mozilla Foundation verklagt Microsoft auf 1,4 Milliarden US-Dollar Schadensersatz und dem sofortigen einstellen der Auslieferung des Internet Explorer 7 Weiterlesen “Opensource fights back!”
