Websecurity - Веб безпека

Сьогодні вийшли PHP 5.4.20 і PHP 5.5.4. У версії 5.5.4 виправлено декілька багів, а у версії 5.4.20 виправлено біля 30 багів. Дані релізи направлені на покращення стабільності гілок 5.4.x і 5.5.x.

Жодних уразливостей в цих версіях PHP виправлено не було.

По матеріалам http://www.php.net.

В липні відбувся новий масовий взлом сайтів на сервері HostPro. Він тривав 24.12.2011, 14.06.2012-17.09.2012 і 16.01.2013-24.08.2013. Десятий масовий взлом сайтів на сервері HostPro відбувся раніше.

Був взломаний сервер української компанії HostPro. Взлом складався з багатьох невеликих дефейсів і трьох крупних дефейсів сайтів.

Спочатку було взломано 132 сайти, а потім ще 56 - всього 188 сайтів на сервері хостера HostPro (IP 194.28.85.190). Перелік сайтів можете подивитися на www.zone-h.org. Серед них українські державні сайти www.police.gov.ua, dndc-uz.gov.ua та www.manrayrada.gov.ua, який був взломаний двічі (в 2012 і 2013 роках).

З зазначених 188 сайтів 7 сайтів були взломані хакерами з holy lycans, 45 сайтів хакерами з Lopht Crews, 3 сайти хакером CoupDeGrace, 4 сайти хакером Hmei7, 1 сайт хакером Moroccan Hassan, 3 сайти хакером Kurd007, 74 сайти хакером NeT.Defacer, 10 сайтів хакерами з P4kurd-TeaM, 8 сайів хакером Harez Kurdstan, 2 сайти хакером ghost-dz, 2 сайти хакером misafir, 25 сайтів хакерами з AHS-CREW та 1 сайт хакером WeWe ArAr.

Якщо невеликі дефейси по одному або кілька сайтів явно були зроблені при взломах окремих сайтів, то стосовно великих дефейсів Lopht Crews, NeT.Defacer, P4kurd-TeaM та AHS-CREW можна сказати, що враховуючи дефейс великої кількості сайтів за один день, немає сумнівів, що вони були взломані через взлом серверу хостінг провайдера. Коли через взлом одного сайта, був отриманий root доступ до сервера (через уразливості в програмному забезпеченні самого сервера) та атаковані інші сайти на даному сервері.

За повідомленням www.xakep.ru, Google знає майже всі WiFi-паролі у світі.

Якщо ваш Android-пристрій (смарфтон чи планшет) коли-небудь авторизувався в якому-небудь WiFi-хотспоті, то з великою імовірністю пароль від хотспота став відомий також і компанії Google. З огляду на те, як багато “андроїдів” ходить по світу, можна припустити, що в Google є доступ практично до всіх запаролених точок доступу у світі.

Починаючи з версії Android 2.2 операційна система сконфігурована за замовчуванням на автоматичний бекап налаштувань системи. Серед налаштувань на сервери Google передаються також паролі від точок доступу в незашифрованому вигляді.

За повідомленням www.opennet.ru, більше 10% з мільйона найбільших веб сайтів небезпечні.

Компанія, що спеціалізується в області комп’ютерної безпеки, Sucuri опублікувала результати дослідження безпеки мільйона найбільших сайтів Мережі, представлених у рейтингу Alexa. Проаналізувавши дані сайти дослідники виявили, що 108781 з них (10,9%) мають явні проблеми з безпекою чи вже уражені шкідливим ПЗ.

Зокрема, 2% сайтів (18557) виявилися внесені у відомі чорні списки антивірусних компаній і пошукових систем. Цікаво, що Yandex заблокував помітно більше сайтів (2154 сайта), чим Google (357 сайтів). З антивірусних компаній з великим відривом лідирує McAfee, що заблокував 11 тисяч сайтів.

За повідомленням www.xakep.ru, ментальне стомлення: користувачі ігнорують до 70% попереджень у браузері.

Учені з університету Берклі разом з розробниками з Google опублікували результати дослідження зі статистикою по 25,4 мільйонів попереджень про загрози безпеки, показаних у браузерах Google Chrome і Mozilla Firefox у травні-червні 2013 року.

Як з’ясувалося, 15,1% користувачів не реагують на повідомлення про присутність шкідливого коду на сайті (7,1% аудиторії Firefox і 23,5% аудиторії Chrome).

Для попереджень про фішинг CTR складає 20,4%, тут найменш обережні користувачі під Linux (32,9%).

Найчастіше користувачі ігнорують попередження про невідповідність SSL-сертифіката: залишено без уваги 70,2% попереджень у Chrome і 33,0% попереджень у Firefox.

У серпні, 22.08.2013, вийшли версії PHP 5.4.19 і PHP 5.5.3. В яких виправлені один баг (збій при компіляцїї з включеним ZTS) та одна уразливість. Дані релізи направлені на покращення безпеки та стабільності гілок 5.4.x і 5.5.x.

Серед секюріті виправлень в PHP 5.4.19 і PHP 5.5.3:

• Виправлений UMR в патчі для уразливості в OpenSSL модулі (CVE-2013-4248), що був зроблений в версіях PHP 5.4.18 і 5.5.2.

По матеріалам http://www.php.net.

Виявлені численні уразливості безпеки в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 6, 7, 8, 9, 10 під Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7, Windows 8, Windows 2012 Server.

Численні пошкодження пам’яті.

• Microsoft Security Bulletin MS13-069 - Critical Cumulative Security Update for Internet Explorer (2870699) (деталі)

У серпні, 20.08.2013, майже через два місяці після виходу Google Chrome 28, вийшов Google Chrome 29.

В браузері зроблено декілька нововведень та виправлені помилки. А також виправлено 25 уразливостей, 5 з яких позначені як небезпечні. Це більше ніж у попередній версії браузера. І це майже рекорд, більше було лише у версії Chrome 22 (в якій було виправлено 26 уразливостей).

З виправлених проблем безпеки відзначаються проблеми звертання до вже звільнених блоків пам’яті (Use-after-free), при роботі з XSLT і при обробці вмісту елемента media, цілочислене переповнення у ANGLE і недостатнє очищенням шляхів у коді роботи з файлами.

• Релиз web-браузера Chrome 29 (деталі)

Виявлені уразливості безпеки в бібліотеках Python.

Уразливі продукти: Python 3, python-setuptools, python-virtualenv.

DoS через SSL-сертифікати, обхід захисту.

• DoS vulnerability in SSL module implementation of Python 3 (деталі)
• Vulnerability in python-setuptools and python-virtualenv (деталі)

22.08.2013

Виявлені численні уразливості безпеки в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 6, 7, 8, 9, 10 під Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7, Windows 8, Windows 2012 Server.

Обхід захисту, міжсайтовий скриптінг, пошкодження пам’яті.

• Microsoft Security Bulletin MS13-059 - Critical Cumulative Security Update for Internet Explorer (2862772) (деталі)

11.09.2013

Додаткова інформація.

• Microsoft Internet Explorer “ReplaceAdjacentText” Use-after-free (MS13-059) (деталі)
• Microsoft Internet Explorer Protected Mode Sandbox Bypass (Pwn2Own 2013 / MS13-059) (деталі)

14.11.2012

Виявлені уразливості безпеки в WebKit, Apple Safari, Google Chrome.

Уразливі продукти: Apple Safari 6.0. Google Chrome 22.0.

Короткочасні умови, використання пам’яті після звільнення.

• APPLE-SA-2012-11-01-2 Safari 6.0.2 (деталі)

10.09.2013

Додаткова інформація.

• Apple Safari Heap Buffer Overflow (деталі)

Виявлена проблема символьних лінків в Perl Proc-ProcessTable.

Уразливі продукти: Proc::ProcessTable 0.45 модуль для Perl.

Проблема символьних лінків при роботі з /tmp/TTYDEVS. Що дозволяє локальному користувачу перезаписувати довільні файли.

• Vulnerability in perl-Proc-ProcessTable (деталі)