Týden v bezpečnosti - 39. týden

(30. 9. 2013) Přinášíme vám další souhrn událostí v internetové bezpečnosti za minulý týden. 

Apple v iOS 7.0.2 opravuje chybu zamykací obrazovky

Odborníci na bezpečnost pečlivě sledují Apple a vývoj operačního systému iOS 7. V nové sedmé verzi operačního systému byl opět problém s obejitím zamykací obrazovky, o čemž jsme vás informovali v minulém Týdnu. Jak upozorňuje Sophos v článku Apple releases iOS 7.0.2 - swiftly squashing two lockscreen bugs, chyba je opravena v aktualizaci 7.0.2.

Odborníkům ze Sophos zamykací obrazovka nedává spát; ve středu publikovali článek Siri offers the latest backdoor into your iPhone - just ask nicely!, ve kterém upozorňují na nově zjištěnou možnost obejití zamykací obrazovky vyvoláním Siri. Tuto funkci doporučují na zamykací obrazovce zakázat. Tuto možnost jako první publikovala firma Cenzic na svém blogu, kde je možné shlédnout postup na videu.

Šíří se falešná aplikace iMessage pro Android

iMessage je IM aplikace určená výhradně pro Apple zařízení s iOS. Umožňuje uživatelům Apple zařízení chatovat mezi sebou zadarmo, a to včetně posílání souborů.

Na konkurenčním Androidu  a obchodu Google Play se objevila stejně nazvaná falešná aplikace, kterou si před odstraněním z Play stáhlo víc než 10 000 uživatelů. Ke stažení však zůstává na serverech třetích stran. Upozorňuje na to článek Beware Apple iMessage app for Android, it is a dangerous fake a český CSIRT tým.

Autor aplikace Daniel Zweigart je schopen číst všechny zprávy, které přes program chodí, včetně přihlašovacích údajů Apple ID. Aplikace může na pozadí stahovat jiné APK soubory, což naznačuje budoucí využití aplikace jako backdoor.

Cisco vydává aktualizace pro své zařízení

Telekomunikační gigant Cisco varuje před osmi zranitelnostmi v svém operačním systému IOS a vydává pro ně aktualizace. Kompletní přehled a detailní informace najdete na jejich webu v sekci Cisco Security Advisories, Responses, and Notices.

Zranitelnostmi se zabývá článek Cisco IOS update patches eight vulnerabilities. Většinou se jedná o chyby, které mohou vést k DoS útoku.

Blogy na Wordpress cílem DDoS útoků

Tisíce blogů běžících na Wordpressu bylo kompromitováno za účelem provedení DDoS útoku. Uživatele tohoto publikačního systému varuje český CSIRT tým, ze zahraničních médií například článek serveru The Hacker News Thousands of Wordpress blogs compromised to perform DDOS attack.

Každý majitel blogu s Wordpressem by se měl ujistit, zdali všichni uživatelé používají silná hesla, a jestli byl výchozí účet admin zakázán či zrušen. Výchozí administrátorský účet je častým vektorem útoků na Wordpress, často má i slabé heslo, které bylo nastaveno během instalace. Důrazně doporučujeme použití SSL certifikátu pro přihlašovací dialog Wordpressu, aby se uživatelé mohli přihlašovat přes šifrovaný HTTPS protokol. Jejich heslo potom nemůže být odposlechnuto.

Výše zmíněný článek serveru The Hacker News uvádí přehled známých zranitelností jednotlivých verzí systému. Poslední verze 3.6.1 nemá žádnou známou zranitelnost, předchozí verze 3.6 jich má 5; verze 3.3.1 má dokonce 24 známých chyb. Pravidelná aktualizace je tedy nutná. 

Přejeme vám krásný a bezpečný týden.

Další aktuality z oblasti bezpečnosti naleznete na našem blogu opět v pondělí.