Facebook diz que problemas de segurança do Flash podem prejudicar seus negócios

Publicado em 4 de agosto de 2015 por rbatori

No início deste mês, uma vulnerabilidade de segurança no Adobe Flash forçou o Google e o Mozilla a bloquear temporariamente o plug-in de seus navegadores. Agora, o Facebook diz que os problemas com o Flash podem prejudicar seus resultados.

Em contato com órgãos reguladores dos EUA na sexta-feira, o Facebook disse que as questões de segurança com o Flash podem prejudicar as receitas dos serviços de pagamentos. Isso é porque os jogos sociais do Facebook são baseados em Flash, e eles também são uma fonte substancial das receitas de pagamentos.

A empresa mostra preocupação pela primeira vez entre os “fatores de risco” de seu resultado trimestral. As empresas públicas nos EUA são obrigadas a divulgar tais riscos para os investidores. Isso não significa que a receita do Facebook a partir dos pagamentos está prestes a ruir, mas significa que o Facebook tem esta preocupação e sentiu a necessidade de divulgá-la.

“Em julho de 2015, certas vulnerabilidades descobertas no Flash levaram os navegadores populares da web à interromper temporariamente o suporte ao Flash”, escreveu a empresa ao U.S. Securities and Exchange Commission. “Se interrupções semelhantes ocorrerem no futuro e atrapalharem nossa capacidade de oferecer jogos sociais a alguns ou a todos os nossos usuários, nossa capacidade de gerar receita de pagamentos podem ser prejudicada.

Porta-vozes do Facebook e da Adobe se recusaram a comentar.

No início deste mês, Alex Stamos, diretor de segurança do Facebook, disse no Twitter que a Adobe deve anunciar uma data de “end-of-life” para o Flash. A observação chamou muita atenção e foi compartilhada por mais de 2.400 vezes.

Uma razão para que Facebook não acabe com o suporte ao Flash é que grande número de desenvolvedores ainda cria jogos em Flash.

Flash ainda é amplamente utilizado em navegadores web, embora os sites estão cada vez mais adotando outras alternativas como JavaScript e HTML 5. Além de Flash, o Facebook também suporta HTML e Unity na área de trabalho.

Publicado em Segurança em Aplicações | 1 comentário

Hacker rouba credenciais de log-in de clientes da Bitdefender (empresa de antivírus) e tenta chantagem

Publicado em 31 de julho de 2015 por rbatori

Um hacker conseguiu credenciais de log-in dos clientes de um servidor pertencente a Bitdefender que hospeda painéis de gerenciamento na nuvem para seus clientes de pequenas e médias empresas.

A empresa de antivírus confirmou a falha de segurança, mas disse em um comunicado enviado por email que o ataque afetou menos de 1 por cento de seus clientes SMB, cujas senhas já que foi redefinida. Consumidores e clientes corporativos não foram afetadas, segundo a empresa.

O hacker, que usa o pseudônimo on-line DetoxRansome, primeiro se gabava da invasão no Twitter no sábado e depois ameaçando enviar mensagem para “base de clientes” da Bitdefender, a menos que ele recebesse US $ 15.000.

No dia seguinte ao ataque, para provar a invasão, ele publicou os endereços de email e senhas de duas contas de clientes BitDefender e de uma conta operada pela própria empresa.

Travis Doering e Dan McPeake afirmaram em um post de blog que eles contataram o hacker  que se ofereceu para vender os dados.

O hacker forneceu uma lista de nomes de usuário e senhas correspondentes em mais de 250 contas da BitDefender, alguns dos quais foram confirmados como ativos.

Doering e McPeake disse que eles compartilharam a informação com a Bitdefender. Quando perguntaram como DetoxRansome obteve as credenciais de log-in, ele respondeu que foi um “sniffing”, em um dos principais servidores do BitDefender.

Bitdefender confirmou que o ataque não explorou uma vulnerabilidade “zero-day”, e sim uma vulnerabilidade que era desconhecida pela empresa.

O problema foi o resultado de erro humano. Durante um aumento da infra-estrutura, um único servidor foi implantado com um pacote de software desatualizado que tinha uma falha conhecida, permitindo a extração de informações, mas não foi um compromisso total do sistema, disse Catalin Cosoi, estrategista-chefe de segurança da Bitdefender.

Ele não quis citar qual foi o pacote vulnerável.

O problema foi resolvido e as medidas de segurança adicionais foram postas em prática para evitar a sua repetição, disse a empresa em comunicado. “Nossa investigação revelou que nenhum outro servidor ou serviço foi afetado.”

Publicado em Malware | Comments Off on Hacker rouba credenciais de log-in de clientes da Bitdefender (empresa de antivírus) e tenta chantagem

WordPress recebe um patch para falha crítica de XSS

Publicado em 24 de julho de 2015 por rbatori

WordPress 4.2.3 corrige uma falha de cross-site script (XSS) que poderia ser usada para comprometer websites.

Os desenvolvedores da popular plataforma de blogs WordPress lançaram uma atualização crítica de segurança para corrigir uma vulnerabilidade que pode ser usada para comprometer websites.

WordPress 4.2.3, lançado nesta quinta-feira (23/07/2015), corrigi uma vulnerabilidade de cross-site scripting (XSS) que permite usuários com papel de Colaborador ou Autor comprometer um website, segundo Gary Pendergast, um membro da equipe do WordPress, em um post de blog.

Mesmo esta vulnerabilidade não sendo tão crítica como uma falha que pode ser explorada por um usuário sem autenticação, ela ainda representa um risco elevado para muitos websites porque uma única conta de usuário que não seja administrador pode se transformar em acesso administrativo.

É recomendado que os administradores dos sites baseados em WordPress façam a instalação da nova versão o mais rápido possível a partir dos painéis de controle do WordPress. Websites configurados para atualizações automáticas já começaram a ser corrigido.

Websites baseados em WordPress são um alvo comum para ataques, mesmo aqueles que não possuem informação valiosas em seus bancos de dados. Os hackers podem usá-los para diversos fins em suas atividades maliciosas como, por exemplo, hospedar malware ou para usar em ataque de DDoS (ataque de negação de serviço distribuído).

Publicado em Segurança em Aplicações | Comments Off on WordPress recebe um patch para falha crítica de XSS