Newtelligence DasBlog CVE-2014-7292 Open Redirection Vulnerability

Newtelligence DasBlog CVE-2014-7292 Open Redirection Vulnerability



Bugtraq ID:     70654
Class:     Input Validation Error
CVE:     CVE-2014-7292
Remote:     Yes
Local:     No
Published:     Oct 20 2014 12:00AM
Updated:     Oct 20 2014 12:00AM
Credit:     Wang Jing





http://www.securityfocus.com/bid/70654

Oracle Access Manager CVE-2014-2452 Remote Security Vulnerability

Oracle Access Manager CVE-2014-2452 Remote Security Vulnerability

Bugtraq ID:    66865
Class:    Unknown
CVE:    CVE-2014-2452
Remote:    Yes
Local:    No
Published:    Apr 15 2014 12:00AM
Updated:    Jun 11 2014 12:42PM
Credit:    Jing Wang

http://www.securityfocus.com/bid/66865/info

Oracle Access Manager CVE-2014-2404 Remote Security Vulnerability

Oracle Access Manager CVE-2014-2404 Remote Security Vulnerability

Bugtraq ID:    66862
Class:    Unknown
CVE:    CVE-2014-2404
Remote:    Yes
Local:    No
Published:    Apr 15 2014 12:00AM
Updated:    Jun 11 2014 12:42PM
Credit:    Jing Wang

http://www.securityfocus.com/bid/66862/info

Alvorlig feil i utbredt innloggingssystem

Alvorlig feil i utbredt innloggingssystem

Benyttes av Facebook, Google, Yahoo, LinkedIn, Microsoft og mange flere.

Wang Jing, en doktorgradstudent ved Nanyang Technological University i Singapore, har oppdaget en alvorlig sårbarhet knyttet til autentiseringssystemene OAuth 2.0 og OpenID. Sårbarheten, som er av typen «covert redirect», dreier seg om at en applikasjon tar en parameter og omdirigerer en bruker til parameteren uten tilstrekkelig validering. Ifølge Jing skyldes dette ofte at nettsteder har for stor tillit til sine partnere.

– Nettstedet sjekker domenenavnet mot et «token» (tildelt til partneren som et middel for verifisering) i den omdirigerte URL-en. Dersom paret er i godkjent-listen i nettstedets database, vil det tillate omdirigeringen. Men dersom URL-en tilhører et domene som har en «open redirect»-sårbarhet, kan brukerne omdirigeres fra nettstedet til et sårbart nettsted og deretter til en ondsinnet nettsted, skriver Jing.

http://www.digi.no/928515/alvorlig-feil-i-utbredt-innloggingssystem

एक अन्य Heartbleed?वेब सुरक्षा में पाया दोषों, Covert Redirect

एक अन्य Heartbleed?वेब सुरक्षा में पाया दोषों, Covert Redirect


इंटरनेट अब भी Heartbleed बग से जूझ रहा है, जबकि सुरक्षा प्रोटोकॉल OAuth 2.0 और OpenID में एक प्रमुख नए भेद्यता खोज की गई है.


सिंगापुर में नानयांग प्रौद्योगिकी विश्वविद्यालय की पीएचडी की छात्रा वांग जिंग हैकर्स उपयोगकर्ताओं को जानने के बिना प्रवेश जानकारी चोरी करने की कोशिश में फ़िशिंग तकनीक का उपयोग करने की अनुमति देता है कि एक बग देखा.

बग अनिवार्य रूप से साइबर अपराधी के बजाय डोमेन faking के अधिक आम रणनीति का एक फ़िशिंग पॉपअप सत्ता में असली वेबसाइट प्रमाणीकरण का उपयोग करने की अनुमति देता है.इस प्रक्रिया में, हैकर्स उपयोगकर्ता के लॉगिन क्रेडेंशियल प्राप्त होगा.


http://www.yac.mx/hi/pc-tech-tips/security/Another_Heartbleed_More_Flaws_Found_in_Web_Security.html

নতুন নিরাপত্তা ত্রুটি, হুমকির সম্মুখীন ফেসবুক গুগল ব্যবহারকারীরা

নতুন নিরাপত্তা ত্রুটি, হুমকির সম্মুখীন ফেসবুক গুগল ব্যবহারকারীরা

এবার নিরাপত্তা বিপর্যয় দেখা দিয়েছে বহুল ব্যবহৃত দুটি সিকিউরিটি স্ট্যান্ডার্ডে। যার মাধ্যমে যে কেউ গুগল, মাইক্রোসফট, ফেসবুক, টুইটারের মত অনলাইন সার্ভিস থেকে ব্যবহারকারীর অ্যাকাউন্ট ইনফরমেশনে একসেস পেতে সক্ষম হবে। এই বিপর্যয়ের নাম দেয়া হয়েছে "Covert Redirect"। যে সিকিউরিটি স্ট্যান্ডার্ডে এই ত্রুটি বিদ্যমান তা হলো ২ টি বহুল ব্যবহৃত ওপেন সোর্স সেশন অথোরাইজেশন প্রোটোকল OAuth 2.0 এবং OpenID।

আক্রমণকারীরা এই ত্রুটি কাজে লাগিয়ে যে কোন বৈধ ওয়েব সাইটে গোপনে ফিশিং এর চেষ্টা চালাতে সক্ষম, এই কথা জানিয়েছে ত্রুটি যিনি খুঁজে পেয়ে তিনি। সিঙ্গাপুরের নানইয়াং টেকনোলজিক্যাল ইউনিভার্সিটির পিএইচডি'র ছাত্র ওয়াং জিং এই নিরাপত্তা ত্রুটি খুঁজে পেয়েছেন।




http://www.onbangladesh.org/newsdetail/detail/200/75454

Heartbleed آخر؟أكثر عيوب وجدت في الأمن ويب, Covert Redirect

Heartbleed آخر؟أكثر عيوب وجدت في الأمن ويب, Covert Redirect لقد تم اكتشاف ثغرة جديدة كبرى في البروتوكولات الأمنية أوث 2.0 وهوية OpenID في حين أن الإنترنت ما زالت تعاني من خلل Heartbleed. طالب دكتوراه وانغ جينغ من جامعة نانيانغ التكنولوجية في سنغافورة رصدت الخلل الذي يسمح للقراصنة لاستخدام تقنيات التصيد في محاولة لسرقة تفاصيل الدخول دون معرفة المستخدمين. علة يسمح أساسا مجرمي الإنترنت لاستخدام مصادقة الموقع الحقيقي لقوة التصيد المنبثقة، بدلا من تكتيك أكثر شيوعا من تزوير المجال.في هذه العملية، سوف تلقي المتسللين اعتماد تسجيل الدخول للمستخ http://www.yac.mx/ar/pc-tech-tips/security/Another_Heartbleed_More_Flaws_Found_in_Web_Security.html