abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 04:33 | IT novinky

    Společnost Teufel nedávno představila svůj první open source Bluetooth reproduktor MYND.

    Ladislav Hagara | Komentářů: 0
    včera 20:00 | Nová verze

    Byla vydána verze 4.2 multiplatformního integrovaného vývojového prostředí (IDE) pro rychlý vývoj aplikaci (RAD) ve Free Pascalu Lazarus (Wikipedie). Využíván je Free Pascal Compiler (FPC) 3.2.2.

    Ladislav Hagara | Komentářů: 0
    včera 19:33 | IT novinky

    Anton Carniaux, právní zástupce Microsoft France, pod přísahou: Microsoft nemůže garantovat, že data z EU nepředá do USA bez EU souhlasu, musí dodržovat americké zákony.

    Ladislav Hagara | Komentářů: 3
    včera 15:33 | Nová verze

    Byl vydán Mozilla Firefox 141.0. Přehled novinek v poznámkách k vydání a poznámkách k vydání pro vývojáře. Lokální AI umí uspořádat podobné panely do skupin. Firefox na Linuxu využívá méně paměti. Řešeny jsou rovněž bezpečnostní chyby. Nový Firefox 141 je již k dispozici také na Flathubu a Snapcraftu.

    Ladislav Hagara | Komentářů: 0
    21.7. 22:44 | Bezpečnostní upozornění

    NÚKIB upozorňuje na kritickou zranitelnost v SharePointu. Jedná se o kritickou zranitelnost typu RCE (remote code execution) – CVE-2025-53770, která umožňuje neautentizovaný vzdálený přístup a spuštění kódu, což může vést k úplnému převzetí kontroly nad serverem. Zranitelné verze jsou pouze on-premise verze a to konkrétně SharePoint Server 2016, 2019 a Subscription Edition. SharePoint Online (Microsoft 365) není touto zranitelností ohrožen.

    Ladislav Hagara | Komentářů: 3
    21.7. 21:00 | IT novinky

    Společnost Valve zpřísnila pravidla pro obsah, který je možné distribuovat ve službě Steam. Současně řadu her ze Steamu odstranila. V zásadách a pravidlech přibylo omezení 15: Obsah, který by mohl porušovat pravidla a normy stanovené zpracovateli plateb a souvisejícími sítěmi platebních karet a bankami nebo poskytovateli připojení k internetu. Sem spadají zejména určité druhy obsahu pouze pro dospělé.

    Ladislav Hagara | Komentářů: 0
    21.7. 13:33 | Komunita

    Dle analytics.usa.gov je za posledních 90 dnů 6,2 % přístupů k webových stránkám a aplikacím federální vlády Spojených států z Linuxu.

    Ladislav Hagara | Komentářů: 0
    20.7. 17:44 | Zajímavý článek

    Jak si zobrazit pomocí Chrome a na Chromiu založených webových prohlížečích stránky s neplatným certifikátem? Stačí napsat thisisunsafe.

    Ladislav Hagara | Komentářů: 3
    20.7. 00:33 | Bezpečnostní upozornění

    V repozitáři AUR (Arch User Repository) linuxové distribuce Arch Linux byly nalezeny a odstraněny tři balíčky s malwarem. Jedná se o librewolf-fix-bin, firefox-patch-bin a zen-browser-patched-bin.

    Ladislav Hagara | Komentářů: 15
    20.7. 00:22 | Komunita

    Dle plánu by Debian 13 s kódovým názvem Trixie měl vyjít v sobotu 9. srpna.

    Ladislav Hagara | Komentářů: 1
    Kolik tabů máte standardně otevřeno ve web prohlížeči?
     (26%)
     (25%)
     (4%)
     (6%)
     (5%)
     (3%)
     (4%)
     (28%)
    Celkem 80 hlasů
     Komentářů: 11, poslední včera 20:35
    Rozcestník

    Opraven vážný bezpečnostní problém

    14.5.2007 19:56 | Přečteno: 2052× | Abíčko

    Dominik Joe Pantůček mě upozornil na závažnou díru v Abíčku. Sice jsem se o ni doslechl už dříve, ale teprve teď jsem si dokázal konkrétně představit, jak by se dala zneužít. S Joem jsme pak našli algoritmus, který by měl být dostatečně odolný.

    Konkrétně šlo o to, že do parametru SRC bylo možno vložit speciální URL na provedení nějaké akce. Například byste do blogu přidali obrázek, jehož adresa by byla rovna odeslání komentáře s textem Leoš tam má díru. Každý, kdo by si blog otevřel, by okamžitě k němu přidal tento komentář. Nebo by šlo dělat skrytější akce, například hlasování v anketě, hodnocení blogu či smazání nového článku (pokud by si blog otevřel admin).

    Teď jsem měl několik možností, jak situaci vyřešit. Například úplně zakázat obrázky, nebo povolit jen obrázky umístěné na abclinuxu v bezpečných adresářích. Vzhledem k možnosti redirektu totiž nemělo smysl považovat jakákoliv URL mimo abíčko za bezpečná. Ale nechtěl jsem omezovat uživatele a proto jsem se vydal jinou cestou - kontrolovat všechny akce, zda jsou volány tak, jak by měly být volány.

    S Joem jsme došli k názoru, že útok na abíčko by musel jít jen přes GETové linky, tudíž první fronta obrany je ověření, zda akce přišla jako POST. Nicméně existuje poměrně dost akcí, které nejsou ve formuláři, ale jako odkazy. Například zmražení diskuse nebo hodnocení článku. Pro ně jsem musel vytvořit koncept ticketu, který je přiřazen ke každému uživateli. Pokud tedy akce může přijít jako GET, kontroluji, zda je vyplněn správný ticket. Ten je tajný a útočník se k němu nemůže dostat, leda chybou uživatele. A i pak by šel udělat útok na konkrétního uživatele, ale už ne obecný na všechny uživatele. Další obranou je kontrola referera. Ověřuji, zda předchozí stránka byla formulář či nikoliv.

    Abíčko je velmi, ale opravdu velmi rozsáhlé a proto obsahuje spousty různých akcí a situací. Co platí pro jednu akci, pro druhou neprojde. Takže metoda ActionProtector.ensureContract() má čtyři přepínače, které určují, co se má kontrolovat. Využitých kombinací je většina.

    Závěrem chci poděkovat Joeovi za pomoc. Pokud narazíte na další problém, prosím dejte mi vědět, pokusím se jej opravit.

    PS. dostanete-li chybu Chybné volání akce, přečtěte si FAQ. Možná je chyba na vaší straně.

           

    Hodnocení: 91 %

            špatnédobré        

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    Komentáře

    Vložit další komentář

    14.5.2007 20:00 sssssssss | skóre: 15 | blog: cotoje
    Rozbalit Rozbalit vše Re: Opraven vážný bezpečnostní problém
    a pak se divte, že vyhrálo ubuntu v anketě, když jste tu měli takovou díru!!! :-)
    hmm
    14.5.2007 21:19 jyrki | skóre: 22 | blog: JKR
    Rozbalit Rozbalit vše Re: Opraven vážný bezpečnostní problém
    Tak tim se vysvetluje i dobre umisteni Archu, Gentoo a Mandrivy :-D
    We don't need no education...Asi potřebuješ, použil si dvakrát zápor * Registrovaný uživatel Linux #245559.
    Martin Stiborský avatar 14.5.2007 21:20 Martin Stiborský | skóre: 26 | blog: Stibiho bláboly | Opava
    Rozbalit Rozbalit vše Re: Opraven vážný bezpečnostní problém
    Jeden dotaz, co někoho vede k tomu, aby takovému zapisku dal špatné hodnocení ? Za co ?
    Kvík ..
    Luboš Doležel (Doli) avatar 14.5.2007 21:22 Luboš Doležel (Doli) | skóre: 98 | blog: Doliho blog | Kladensko
    Rozbalit Rozbalit vše Re: Opraven vážný bezpečnostní problém
    To už je tak trochu klasika. Podívej se na předchozí zápisky o vylepšeních Ábíčka, i tam se negativní hlasy najdou :-)
    Martin Stiborský avatar 14.5.2007 21:33 Martin Stiborský | skóre: 26 | blog: Stibiho bláboly | Opava
    Rozbalit Rozbalit vše Re: Opraven vážný bezpečnostní problém
    Vím, jenom jsem se chtěl zeptat zda mi někdo poví důvod, jediné co mě napadlo byl sloh ... který může být vnímán subjektivně, ač mi se zdá v pořádku.
    Kvík ..
    15.5.2007 08:01 happy barney | skóre: 34 | blog: dont_worry_be_happy
    Rozbalit Rozbalit vše Re: Opraven vážný bezpečnostní problém
    možno niekto, komu prestala fungovať zábavka :-)

    popr nejaký perfekcionista, ktorému vadí, že tam vôbec nejaká chyba bola ... :-D

    14.5.2007 21:29 thingie
    Rozbalit Rozbalit vše Re: Opraven vážný bezpečnostní problém
    No a proč ne. Třeba se mi nelíbí jak to Leoš napsal. Proč ne?
    Max avatar 14.5.2007 21:32 Max | skóre: 72 | blog: Max_Devaine
    Rozbalit Rozbalit vše Re: Opraven vážný bezpečnostní problém
    Mno, asi to třeba naštvala toho šprýmaře, co to využil pro ubuntu :D(no řekněte, tolik hlasů, to nejni normální :D)
    Zdar Max
    Měl jsem sen ... :(
    14.5.2007 21:40 jyrki | skóre: 22 | blog: JKR
    Rozbalit Rozbalit vše Re: Opraven vážný bezpečnostní problém
    Napada me preklik. Spatne fungujici mys, halucinace - clovek si mysli ze dela neco jineho...pak me jeste napada na tomto serveru nemozna zlomyslnost. Osobne davam "dobre"
    We don't need no education...Asi potřebuješ, použil si dvakrát zápor * Registrovaný uživatel Linux #245559.
    14.5.2007 22:21 Lu-Tze | skóre: 15 | blog: Lu-Tzeho blog
    Rozbalit Rozbalit vše Re: Opraven vážný bezpečnostní problém
    Prostě se mi nelíbíl. Řekni ty, proč se ti tak strašně libí, když je pro tebe tak nepochopitelné, že někdo tvůj názor na něj nesdílí. Mimochodem už po prvním odstavci jsem tušil, že nebudu hodnotit kladně.
    Martin Stiborský avatar 14.5.2007 22:39 Martin Stiborský | skóre: 26 | blog: Stibiho bláboly | Opava
    Rozbalit Rozbalit vše Re: Opraven vážný bezpečnostní problém
    Nevím jak jsi přišel na to že je to pro mě nepochopitelné, já jenom chtěl vědět za co takové hodnocení ...
    Ok, pro každého asi není jediné měřítko pro udělení dobrého hodnocnení to, že pan Literák má snahu vylepšovat ábíčko.
    Neměl bys něco konkrétního co se ti nelíbilo ??
    Mimochodem, je pěkná ptákovina to řešit, ale přece jenom, když už ses obtěžoval na mě reagovat ...
    Kvík ..
    14.5.2007 23:19 Lu-Tze | skóre: 15 | blog: Lu-Tzeho blog
    Rozbalit Rozbalit vše Re: Opraven vážný bezpečnostní problém
    Přišel jsem na to tak, že jsi napsal ten komentář. S tou ptákovinou jsi začal ale ty :-)

    To já jsem ale nehodnotil snahu vylepšovat abcl, já jsem hodnotil jen zápisek. A hned v prvním odstavci mě autor naštval použitím slova algoritmus. Nemám rád, když se vznešená slova používají pro každou blbinu (ikdyž je to třeba formálně správně). Když už jsme u toho tak, jsem se trochu podivil i nad použitím slova sofistikovaný ve vysvětlení té chyby. Je to balast, do vysvětlení nic takového nepatří. "Obsahuje sofistikovanou ochranu" nebo "vznikne číslo, které se zpracuje složitou matematickou funkcí (na bázi logaritmu)". Přispívají ta slova nějak k ozřejmění problému?

    Snaha vylepšovat tenhle web je jistě hodna ocenění, ale představuju si trochu jiné ocenění než dobré hodnocení blogu. A taky je to oprava chyby, ne nová funkce, po které všichni prahneme :-) Kdyby ti každou hodinu na deset minut vypadl obraz v televizi kvůli nějaké chybě u provozovatele stanice, taky bys posílal děkovné dopisy až by to opravili? Jestliže něco závisí jen na nadšenectví několika málo jednotlivců, tak to nemůže mít tuhý kořínek a dříve nebo později to shnije. To se týká nejen tohohle webu ale i třeba samotného linuxu. I na to je třeba pamatovat při hledání správné formy ocenění.
    vencour avatar 15.5.2007 10:46 vencour | skóre: 56 | blog: Tady je Vencourovo | Praha+západní Čechy
    Rozbalit Rozbalit vše Re: Opraven vážný bezpečnostní problém

    Třeba nemá rád 100% čistotu, hodnotu atd.? Pak snad ale může ještě nehlasovat.

    Ty nejhlubší objevy nečekají nutně za příští hvězdou. Jsou uvnitř nás utkány do vláken, která nás spojují, nás všechny.
    14.5.2007 21:27 abr | skóre: 24 | blog: ab
    Rozbalit Rozbalit vše Re: Opraven vážný bezpečnostní problém
    Gratuluji k opraveni!
    Co tak udelat rozhovor s Joem? Dlouho jsem o nem neslysel...
    14.5.2007 22:41 Jan Grmela | skóre: 45 | blog: Kilo šťávy z lachtana | Brno
    Rozbalit Rozbalit vše Re: Opraven vážný bezpečnostní problém
    Nojo, CSRF je dost protivný problém a bohužel se mi zdá, že jen málokterá webová aplikace dělaná na míru má tuhle záležitost ošetřenou. To s tím ticketem je IMHO nejrozumnější řešení...ostatně žádné jiné, které by zaručovalo stejnou úroveň zabezpečení mě nenapadá :-)
    14.5.2007 23:58 petr_p | skóre: 59 | blog: pb
    Rozbalit Rozbalit vše Re: Opraven vážný bezpečnostní problém
    Á referery. Když jsem včera uviděl tu chybovou hlášku, tak jsem se zalekl, že máte něco rozbitého. Pak jsem pojal podezření na kešovaní a ke konci jsem byl ochotný připustit, že se kontroluje stahovaní reklam. Nakonec jsem objevil, že na vině je podvrhnutý referer.

    Aspoň, že se vše vysvětlilo ;0
    15.5.2007 00:03 Jan Grmela | skóre: 45 | blog: Kilo šťávy z lachtana | Brno
    Rozbalit Rozbalit vše Re: Opraven vážný bezpečnostní problém
    To je tak, když chce být někdo anonymní :-D
    Petr Tomášek avatar 21.5.2007 10:37 Petr Tomášek | skóre: 39 | blog: Vejšplechty
    Rozbalit Rozbalit vše Re: Opraven vážný bezpečnostní problém
    a) a nebylo by lepší, kdyby uživatel nemohl vkládat „speciální URL do parametru SRC“? (Např. kdyby se namísto HTML značek používala nějaká wiki-syntax a obrázky by byly omezeny jen na ty, které člověk přímo na server nahrál...)

    b) trošku mi přijde jako blbárna, že se zkouší REFERER i tajný kód skrytý ve formuláři...
    multicult.fm | monokultura je zlo | welcome refugees!

    Založit nové vláknoNahoru

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.