Websecurity - Веб безпека

Виявлені уразливості безпеки в Microsoft Office, а також в серверних продуктах Office Web Apps і SharePoint Server. Що були виправлені у вівторку патчів у травні.

Уразливі продукти: Microsoft Office Web Apps 2010 SP2, Office Web Apps Server 2013 SP1, SharePoint Server 2010 SP2, SharePoint Server 2013 SP1, SharePoint Enterprise Server 2013 SP1, SharePoint Enterprise Server 2016.

Обхід безпеки та виконання коду.

Виявлені уразливості безпеки в Apple Safari і Webkit.

Уразливі продукти: Apple Safari 11.

Підробка адресного рядка, пошкодження пам’яті, виконання коду, XSS, відмова браузера в обслуговуванні (DoS), витік інформації.

• APPLE-SA-2018-3-29-6 Safari 11.1 (деталі)

У березні, 29.03.2018, вийшли PHP 7.0.29, PHP 7.1.16 і PHP 7.2.4. У версії 7.1.16 виправлена одна уразливість, у версії 7.1.16 виправлено багато багів і уразливостей, у версії 7.2.4 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.0.x, 7.1.x і 7.2.x.

У PHP 7.0.29, 7.1.16 і 7.2.4 виправлено:

• Обхід обмежень.
• Пошкодження пам’яті.
• Уразливості в ядрі та модулях.

По матеріалам http://www.php.net.

Виявлені численні уразливості безпеки в Microsoft Internet Explorer і Microsoft Edge. Що були виправлені у вівторку патчів у травні.

Уразливі продукти: Microsoft Internet Explorer 9, 10, 11 та Edge під Windows Server 2008, Windows 7, Windows Server 2012, Windows 8.1, Windows 10, Windows Server 2016.

Численні пошкодження пам’яті та виконання коду.

У березні, 13.03.2018, вийшов Mozilla Firefox 59. Нова версія браузера вийшла через два місяці після виходу Firefox 58.

Mozilla офіційно випустила реліз веб-браузера Firefox 59, а також мобільну версію Firefox 59 для платформи Android. Відповідно до шеститижневого циклу розробки, Firefox 60 вийде 9 травня.

Також була оновлена гілка із тривалим терміном підтримки Firefox 52.7.

В браузері було зроблено багато нововведень. Та зроблені покращення безпеки, зокрема припинена підтримка відкриття в основній сторінці URL “data:” для захисту від фішингу, в тому числі лінки та редиректи на data:, в приватному режимі при звернені до зовнішнього ресурсу в заголовку Referer тепер передається лише ім’я хоста, більше не виводиться діалог HTTP-аутентифікації при завантаженні зображень з зовнішніх ресурсів.

Нарешті вони виправили уразливість в браузері, про яку я повідомив Mozilla в березні 2011 року. Це уразливість, що стосується різних браузерів (Bug 647010 - Only present HTTP authentication dialogs if it is the top-level document initiating the auth). Вони спочатку виправили її в Firefox 40, але потім відмінили виправлення через те, що воно змінювало роботу багатьох старих сайтів, адміни яких звикли до такої поведінки браузера. І ось вони знову вирішили виправити дірку - але лише частково, бо заборонили виведення діалогу аутентифікації лише для зображень, але не інших ресурсів. При цьому, як і минулого разу, вони не зробили адвізорі для неї, тому насправді в цій версії Firefox має бути 19 Security Advisory.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 59.0 усунуто 18 уразливостей + моя дірка, що менше ніж в попередній версії. Серед яких дві позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч). Зокрема в цих двох критичних патчах виправлена 21 уразливість.

• Релиз Firefox 59 (деталі)

Цього року відбувся новий масовий взлом сайтів на сервері Ukraine. Він відбувся з 26.03.2015 по 14.02.2018. Восьмий масовий взлом сайтів на сервері Ukraine відбувся раніше.

Був взломаний сервер української компанії Ukraine. Взлом складався з декількох масових дефейсів та багато окремих дефейсів.

Всього було взломано 83 сайти на сервері хостера Ukraine (IP 185.68.16.34). Перелік сайтів можете подивитися на www.zone-h.org. Серед них український державний сайт doltour.gov.ua.

З них 18 сайтів були взломані хакерами з Guardiran Security Team, 17 сайтів хакерами з D.R.S Dz Team, 14 сайтів хакером ZoRRoKiN та інші сайти іншими хакерами.

Масові дефейси хакерами Guardiran Security Team, ZoRRoKiN і D.R.S Dz Team явно були зроблені через взлом серверу хостінг провайдера. У випадку окремих дефейсів по одному чи декілька сайтів, всі вони явно були зроблені при взломах окремих сайтів. Але також можлива атака на інші сайти на даному сервері через взлом одного сайту та використання уразливостей в програмному забезпеченні самого сервера.

У січні, 25.01.2018, через півтора місяці після виходу Google Chrome 63, вийшов Google Chrome 64.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Виправлено 53 уразливостей. З яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer, MemorySanitizer, Control Flow Integrity і LibFuzzer. Що значно більше ніж в попередній версії.

• Выпуск web-браузера Chrome 64 (деталі)

У квітні місяці Microsoft випустила нові патчі.

У квітневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло багато патчів, але починаючи з квітня 2017 року бюлетені по безпеці не випускаються, тому їх кількість невідома. Компанія вказує лише назви продуктів та номера патчів, а не кількість і деталі бюлетенів (патчів). Вони закривають уразливості в програмних продуктах компанії.

Дані патчі стосуються поточних операційних систем компанії Microsoft - Windows 7, 8.1, RT 8.1, 10 та 2016. А також Microsoft Office, Internet Explorer і Edge, Office Web Apps і SharePoint Server, Malware Protection Engine та Visual Studio.

Також Microsoft випустила патч для уразливостей в Adobe Flash Player, що постачається з Windows.

У березні, 01.03.2018, вийшли PHP 7.1.15 і PHP 7.2.3. У версії 7.1.15 виправлено багато багів і уразливостей, у версії 7.2.3 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.1.x і 7.2.x.

У PHP 7.1.15 і 7.2.3 виправлено:

• Пошкодження пам’яті.
• Численні вибивання в різних функціях (DoS).
• Уразливості в ядрі та модулях.

По матеріалам http://www.php.net.

Виявлені численні уразливості безпеки в Mozilla Firefox і Thunderbird.

Уразливі продукти: Mozilla Firefox 57, Firefox ESR 52.5, Thunderbird 52.5.

Пошкодження пам’яті, переповнення буферу, виконання коду, обхід обмежень, витік інформації, виведення некоректного джерела захоплення аудіо потоку, дві уразливості у версії для OS X, підробка адресного рядка, обхід CORS.

• MFSA 2018-02 Security vulnerabilities fixed in Firefox 58 (деталі)