December måneds sikkerhedsrettelser fra Google lukker 68 sikkerhedshuller i Android. Seks af sårbarhederne er kritiske.
Sikkerhedsopdateringerne er som sædvanlig opdelt i to grupper: En med rettelser til 16 sårbarheder, der findes i Android-produkter generelt, og en med rettelser til 52 sårbarheder, der er knyttet til bestemte kombinationer af hardware og software.
Alle de kritiske sårbarheder findes i den sidstnævnte gruppe. De ligger i kernen og i software til komponenter fra Nvidia og Qualcomm.
Udviklerne af Firefox og Tor Browser har lukket et sikkerhedshul, der lader angribere afvikle programkode. Angribere har udnyttet hullet til at bryde anonymiseringen i Tor-netværket.
Sårbarheden ligger i behandlingen af SVG (Scalable Vector Graphics).
Et angrebsprogram udnytter en kombination af Javascript-kode og SVG til at afvikle programkode i den sårbare browser. Programmet sender brugerens IP-adresse og MAC-adresse til en ekstern server.
Fejlen er rettet i Firefox 50.0.2, Firefox ESR 45.5.1 og Thunderbird 45.5.1, samt i Tor Browser 6.0.7.
Flere sikkerhedsfolk har fundet sikkerhedshuller i den måde, WordPress opdaterer installationer på. Et hul blev lukket for nylig.
Den grundlæggende sårbarhed består i, at opdateringerne ikke er signeret. Hvis en angriber kan få adgang til de centrale opdateringsservere og placere sine egne filer på den, kan vedkommende sprede skadelige filer til tusindvis af WordPress-baserede websteder.
35 procent af websteder anvender stadig den usikre SHA-1-teknologi til certifikater. Næste år holder de fleste browsere op med at understøtte SHA-1.
It-firmaet Venafi har analyseret data fra over 11 millioner websteder på internettet. 35 procent af webstederne brugte SHA-1-baserede certifikater.
SHA-1 (Secure Hash Algorithm 1) er en kryptografisk hash-funktion, der ikke længere regnes for sikker. De første sikkerhedsproblemer blev fundet i 2005.
Udviklerne af referenceimplementeringen af NTP (Network Time Protocol) har lukket ti sikkerhedshuller, hvoraf et er alvorligt.
Det alvorlige sikkerhedshul findes kun i Windows-versionen af NTP. Angribere kan få NTP-tjenesten til at gå ned ved at sende en særligt udformet datapakke til serveren.
To af sårbarhederne har fået risikovurderingen medium, to er medium/lav, mens de sidste fem regnes for lav risiko.
Forskere har fundet sårbarheder i fire ud af 12 e-handelsplugins til WordPress.
Sikkerhedsfirmaet Checkmarx har foretaget statisk kodeanalyse af programkoden bag 12 plugins, som integrerer WordPress med e-handelsløsninger.
Fire plugins havde sårbarheder, som Checkmarx vurderer til at udgøre en høj risiko. En af dem havde tre sårbarheder, mens de øvrige havde en hver.
Tre plugins havde sårbarheder af typen reflected cross-site scripting. To var sårbare over for SQL-indsætning, mens en var sårbar over for filmanipulation.
Symantec har lukket et alvorligt sikkerhedshul i Ghost, IT Management Suite og Endpoint Virtualization.
Sårbarheden ligger i den måde, produkterne loader DLL-filer på. En autoriseret bruger kan udnytte den til at køre programkode med forøgede privilegier.
Fejlen er rettet i Symantec IT Management Suite 8.0 HF4, Symantec Ghost Solution Suite 3.1 MP4 og Symantec Endpoint Virtualization 7.6 HF7.
Anbefaling
Installer softwareopdateringen, der lukker hullet.
Mozilla har udsendt Firefox version 50, der lukker 27 sikkerhedshuller. Tre af dem har fået firmaets højeste risikovurdering.
To af de tre alvorlige sårbarheder er generelle problemer med hukommelseshåndteringen. Den tredje ligger i Cairo-systemet, der bruges til at vise data i SVG-format (Scalable Vector Graphics).
12 af sårbarhederne har fået den næsthøjeste risikovurdering.
Fejlene er rettet i Firefox 50 og Firefox ESR 45.5.
