Подведем краткие итоги наиболее интересных творений начала этого года, часть из которых уже содержится в BlackHole Exploit Kitи ему подобным.
- Java 7 Update 10 0-Day RCE Exploit ( CVE-2013-0422)
Как становится ясно из названия, уязвимости подвержены счастливые параноики с последней версией Java. Воздействие - выполнение произвольного кода в пространстве браузера жертвы. Эксплоит уже портирован в самые распространённые коммерческие сборки эксплоит-пакови в скором времени появится в Metasploit. Стоит отметить, что сплоетс является межплатформенным! [ демка]
- Use-after-free vuln in Microsoft Internet Explorer 6-8 0-Day RCE ( CVE-2012-4792)
Выполнение произвольного кода в IE 6-8 (информация об уязвимости появилась за пару дней до нового года). Эксплоит в настоящее время уже портирован в MSF. В качестве временной защиты Microsoft предлагает следующее решение. Альтернативным вариантом по закрытию вектора атаки можно считать EMET.
- MS13-001, MS13-002, MS13-006, MS13-005
Из первого бюллетеня безопасности от Microsoft этого года. По предположению вендора в отношении перечисленных выше уязвимостей стоит ожидать работающие эксплоиты в течении 30-ти календарных дней. Всем обновлятьсо 8)
- Ruby on Rails RCE 3-Day ( CVE-2013-0155, CVE-2013-0156)
Уязвимость позволяет выполнить произвольный код в приложениях под управлением Rails 2-4. В настоящее время производитель уже выпустил подробную инструкцию по обновлению. Также доступно подробное описаниепо закрытию вектора атаки с использованием ModSecurity.
P.S. Запасаемся попкорном, год ожидается стать насыщенным :)
