For nylig blev kildekoden til OpenVPN gennemgået af eksperter, der ikke fandt større problemer med sikkerheden. Sikkerhedsforsker Guido Vranken har imidlertid fundet syv sikkerhedshuller.
Han anvender såkaldt fuzzing. Det går ud på, at programmet bliver udsat for en stor mængde input, som et fuzzer-program genererer. Det giver mulighed for at se, hvordan programmet reagerer i praksis på mange forskellige former for input.
Det alvorligste problem gør det muligt at få en OpenVPN-klient eller -server til at gå ned.
Netværksproducenten fjernede sårbarhederne i routeren med en firmwareopdatering i februar.
WR841N er et udgået produkt. Men ifølge sikkerhedsfirmaet Senrio er der mindst 93.000 af dem i brug på nettet. Det er uvist, hvor mange der anvender den seneste firmware.
Angribere skal være inden for fysisk rækkevidde af routeren for at kunne udnytte sårbarhederne.
Fem operativsystemer baseret på Unix har sårbarheden Stack Clash: Linux, OpenBSD, NetBSD, FreeBSD og Solaris. Både i386 og amd64 er berørt.
Sikkerhedsforskere fra firmaet Qualys har opdaget sårbarheden. Den ligger i håndteringen af stakken i operativsystemet: En applikation kan placere data på stakken på en måde, så de overskriver heap-området.
Forskerne har skrevet syv angrebsprogrammer og syv PoC'er (proof of concept), der demonstrerer sårbarheden på blandt andet Debian, Ubuntu, Fedora og CentOS.
Flere af sårbarhederne er alvorlige. Angribere kan udnytte dem til at afvikle kommandoer på det sårbare system.
Zero Day Initiative kontaktede Schneider Electric om en stribe sårbarheder i U.motion Builder i foråret 2016. Kontakten gik gennem ICS-CERT (Industrial Control Systems Cyber Emergency Response Team).
I august 2016 oplyste ICS-CERT, at producenten havde brug for mere tid til at lukke hullerne. Normalt offentliggør Zero Day Initiative sårbarheder 120 dage efter, at de har gjort producenten opmærksom på dem.
Opdateringerne består af 21 SAP Security Patch Day Notes og otte Support Package Notes.
De to alvorligste sårbarheder har en CVSS-score (Common Vulnerability Scoring System) på 7,5. De findes i BILaunchPad and Central Management Console og SAP NetWeaver Instance Agent Service.
Juni måneds opdatering til Flash Player lukker ni alvorlige sikkerhedshuller. Angribere kan udnytte sårbarhederne til at afvikle skadelige programmer og dermed få fuld kontrol over computeren.
Fejlene er rettet i Adobe Flash Player 26.0.0.126. For den indbyggede version i Microsoft Edge og Internet Explorer er det dog version 26.0.0.120.
Der er et enkelt alvorligt sikkerhedshul i Shockwave Player. Det er lukket med version 12.2.9.199.
Microsofts månedlige sikkerhedsrettelser lukker 94 sikkerhedshuller. 27 af dem giver udefrakommende angribere mulighed for at afvikle skadelige programmer.
Opdateringerne lukker hullerne i de versioner af Windows, Microsoft vedligeholder. Men i denne måned har Microsoft også udsendt opdateringer til ældre versioner. Nogle af opdateringerne lukker gamle sikkerhedshuller, andre er nye.
Blandt de nye sårbarheder er to, som angribere udnytter aktivt for øjeblikket. En af dem findes i SMB (Server Message Block). En anden ligger i behandlingen af LNK-filer.
For nogle uger siden lukkede udviklerne af Samba et alvorligt sikkerhedshul. Kort tid efter begyndte it-kriminelle at udnytte sårbarheden. Den gør det muligt at uploade en programfil til en Samba-server og derefter køre filen.
Et af de skadelige programmer udnytter sårbarheden til at blive installeret. Derefter installerer det et program til at danne digital valuta af typen Monero.
Folk bag databasen Shodan har fundet frem til serverne, der ikke er beskyttet med brugernavn og password. Dermed kan uvedkommende få fat i de 5,12 petabytes data, der ligger i dem.
Serverne anvender Hadoop Distributed File System (HDFS).
Et andet udbredt big data-system er MongoDB. Her har forskerne fundet frem til 47.820 åbne servere. Men til sammen udstillede de kun 25 terabytes data.
Anbefaling
Beskyt big data ud fra best practices for databeskyttelse, herunder adgangskontrol og kryptering.
