Ειδήσεις του dotNETZone.gr

Απ: Σημαντικό : ASP.NET Security Vulnerability

nikolaosk — Fri, 08 Oct 2010 10:01:16 GMT

Όπως λέει και ο Scott το λάθος αυτό δεν σημαίνει και Poet attack

"Note that there are non-attack reasons to see this error as well (including cases where you have mismatched keys on a web-farm, or a search engine is following links incorrectly, etc), so its presence does not necessarily indicate an attack. "

Απ: Σημαντικό : ASP.NET Security Vulnerability

cap — Fri, 08 Oct 2010 07:37:58 GMT

Α, ναι. Το διάβασα κι εγώ.

Σχετικά με αυτό: http://weblogs.asp.net/scottgu/archive/2010/09/20/frequently-asked-questions-about-the-asp-net-security-vulnerability.aspx που λέει πώς φαίνεται το POET attack στα logs, το error id 3005 είναι όντως αυτο; Η είναι ευρύτερο το range;

Απ: Σημαντικό : ASP.NET Security Vulnerability

nikolaosk — Fri, 08 Oct 2010 07:22:32 GMT

http://www.dotnetnuke.com/Community/Blogs/tabid/825/EntryId/2822/Word-of-warning-some-users-may-need-to-change-passwords-to-meet-complexity-rules.aspx

Απ: Σημαντικό : ASP.NET Security Vulnerability

cap — Fri, 08 Oct 2010 07:10:52 GMT

Ποιό είναι αυτό το post?

Απ: Σημαντικό : ASP.NET Security Vulnerability

nikolaosk — Fri, 08 Oct 2010 06:56:09 GMT

Ναι διάβασα το post της cathy connoly... Σωτήρη στα dnn sites έχει γίνει Party..... τουλάχιστον ότι έχω εγώ Host τα έχω στον άγγελο και πατσάραμε τα πάντα σύμφωνα με τις διαδικασίες.

Απ: Σημαντικό : ASP.NET Security Vulnerability

cap — Fri, 08 Oct 2010 06:38:54 GMT

Ας πούμε λοιπόν "λήξη συναγερμού", και ας ευχηθούμε να ΜΗΝ είναι πολλά τα συστήματα που έχουν γίνει ήδη compromise χωρίς να το έχουν πάρει χαμπάρι οι admins. Είδατε τι έγινε στο dotnetnuke.com; Ανακάλυψαν (κοιτώντας τα logs) οτι κάποιος τους είχε ήδη χακάρει με το POET vulnerability και αναγκάστηκαν να αλλάξουν machine key και να κάνουν reencrypt τα passwords 800.000 μελών (κατά δήλωσή τους). Τους πήρε περίπου 3 μέρες με down το site.

Απ: Σημαντικό : ASP.NET Security Vulnerability

Μπιρμπίλης Γεώργιος — Mon, 04 Oct 2010 23:31:26 GMT

το αρχικό workarround που πρότεινε η MS έθετε κοινό custom error page όπου είχε χρονοκαθυστέρηση για να μην μπορεί να προβλεφτεί ποιό exception έγινε (page not found ή viewstate decryption error κλπ.)

το τελικό fix στο Windows Update δεν χρειάζεται αυτό, αλλά προσθέτει HMAC signing και validation στα encrypted πακέτα (το σφάλμα αφορούσε όλες τις μεθόδους κρυπτογράφησης [και όχι μόνο AES που ανέφεραν αρχικά, αλλά και 3DES κλπ.] με PKCS7 header [αν θυμάμαι καλά το όνομα του])

Απ: Σημαντικό : ASP.NET Security Vulnerability

nikolaosk — Sun, 03 Oct 2010 04:23:16 GMT

Το ASP.Net Security fix είναι τώρα διαθέσιμο από το windows update και το windows Server update services.

Περισσότερα δείτε εδώ

Απ: Σημαντικό : ASP.NET Security Vulnerability

nikolaosk — Wed, 29 Sep 2010 09:14:37 GMT

Το ASP.NET Security Update είναι πλέον διαθέσιμο.

Μπορείτε από εδώ να κατεβάσετε το Update το οποίο είναι το κατάλληλο για το λειτουργικό σας.

Απ: Σημαντικό : ASP.NET Security Vulnerability

nikolaosk — Wed, 29 Sep 2010 08:22:18 GMT

Σύμφωνα με τον Scott Gu αύριο η MS θα κάνει release ένα security update για την επίλυση του ΑSP.Net security threat.

Για τα download links δείτε το παραπάνω link αύριο.

Το update θα λύνει το πρόβλημα χωρίς να χρειάζεται να καταφεύγουμε στα διάφορα workarounds.

Θα είναι διαθέσιμο μέσω των windows update και windows server update.

Απ: Σημαντικό : ASP.NET Security Vulnerability

nikolaosk — Sat, 25 Sep 2010 10:41:47 GMT

Σε αυτό το blog post o Scott Gu έχει ένα update για το security threat που έχει προκύψει για όλες τις asp.net εφαρμογές.Δεν είναι το fix αλλά επιπλέον βήματα για την μεγαλύτερη ασφάλεια των web εφαρμογών μας.

Απ: Σημαντικό : ASP.NET Security Vulnerability

nikolaosk — Fri, 24 Sep 2010 04:28:45 GMT

Σωτήρη είπανε ότι δουλεύουνε πάνω στο patch. Ο joe brinkman ανακοίνωσε στο blog του ότι to 5.5.1 version του dotnetnuke έχει ήδη λύσει το πρόβλημα αυτού του security threat.

Απ: Σημαντικό : ASP.NET Security Vulnerability

cap — Fri, 24 Sep 2010 03:05:51 GMT

Α, και προσοχή: Το script που δίνει ο τυπάκος για να βρείτε τα web.configs ΔΕΝ σας βγάζει ως vulnerable τα web.configs που ΔΕΝ έχουν καθόλου customErrors section. Ομως, αυτά λειτουργούν σαν On (ή remoteOnly, δεν είμαι σίγουρος) χωρίς defaultRedirect συνεπώς θα πρέπει να τα φτιάξετε γιατί αλλιώς διαχωρίζεται ο τύπος του error που επιστρέφεται, κάτι που κάνει τα πράγματα εύκολα γενικά για τους πονηρούς.

Η 3.1 έκδοση του vbs script νομίζω είναι και η πιό πρόσφατη διαθέσιμη: http://blogs.technet.com/b/srd/archive/2010/09/17/understanding-the-asp-net-vulnerability.aspx

Απ: Σημαντικό : ASP.NET Security Vulnerability

cap — Fri, 24 Sep 2010 03:02:26 GMT

Γιουχουου, Microsoft, τι χαμπάρια; Βαρέθηκα να patchάρω web.configs...:)

Απ: Σημαντικό : ASP.NET Security Vulnerability

nikolaosk — Tue, 21 Sep 2010 17:25:49 GMT

Όχι σωτήρη καλά έκανες. Αυτό το Link δεν είχε δημοσιευτεί στο forum. Απλά στην ουσία απαντάει συγκεντρωτικά σε όλα αυτά τα comments που έγραψαν οι επισκέπτες στο πρώτο post του Scott.