Websecurity - Веб безпека

У січні, 06.01.2021, вийшов Mozilla Firefox 84.0.2. Нова версія браузера вийшла через пів місяця після виходу Firefox 84.

Це секюріті випуск, де виправлена уразливість CVE-2020-16044: Use-after-free write when handling a malicious COOKIE-ECHO SCTP chunk.

• MFSA 2021-01 Security Vulnerabilities fixed in Firefox 84.0.2, Firefox for Android 84.1.3, and Firefox ESR 78.6.1 (деталі)

Виявлені нові уразливості безпеки в Microsoft Internet Explorer і Microsoft Edge. Що були виправлені у вівторку патчів.

Уразливі продукти: Microsoft Internet Explorer 9, 10, 11 та Edge під Windows Server 2012, Windows 8.1, Windows 10, Windows Server 2016.

Пошкодження пам’яті та виконання коду.

У серпні, 26.08.2021, вийшли PHP 7.3.30, PHP 7.4.23 і PHP 8.0.10. У версії 7.3.30 виправлена одна уразливість, у версії 7.4.23 виправлено багато багів і уразливостей, у версії 8.0.10 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.3.x, 7.4.x і 8.0.x.

У PHP 7.3.30, 7.4.23 і 8.0.10 виправлено:

• Прохід по symlinks при створенні PHAR архівів.
• Пошкодження пам’яті.
• Вибивання.
• Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.

У травні, 26.05.2021, через півтора місяці після виходу Google Chrome 90, вийшов Google Chrome 91.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Виправлено 32 уразливості. З яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer і AFL. Це менше ніж в попередній версії.

У грудні, 15.12.2020, вийшов Mozilla Firefox 84. Нова версія браузера вийшла майже через місяць після виходу Firefox 83.

Mozilla офіційно випустила реліз веб-браузера Firefox 84, а також мобільну версію Firefox 84 для платформи Android. Відповідно до циклу розробки, Firefox 85 вийде 26 січня.

В браузері було зроблено багато нововведень. Та зроблені покращення безпеки.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 84.0 усунуто численні уразливості в 14 патчах, що менше ніж в попередній версії. Серед яких є одна критична, що може призвести до віддаленого виконання коду зловмисника. Mozilla типово виправляє по декілька дір за один патч.

У липні, 29.07.2021, вийшли PHP 7.4.21 і PHP 8.0.9. У версії 7.4.22 виправлено багато багів і уразливостей, у версії 8.0.9 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.4.x і 8.0.x.

У PHP 7.4.22 і 8.0.9 виправлено:

• DoS у preg_replace в PCRE.
• Вибивання.
• Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.

Виявлені численні уразливості безпеки в Mozilla Firefox і Thunderbird.

Уразливі продукти: Mozilla Firefox 80, Firefox ESR 78.2, Thunderbird ESR 78.2.

Пошкодження пам’яті, виконання коду, підробка походження викачаного файлу, XSS.

• MFSA 2020-42 Security Vulnerabilities fixed in Firefox 81 (деталі)

У листопаді, 17.11.2020, вийшов Mozilla Firefox 83. Нова версія браузера вийшла майже через місяць після виходу Firefox 82.

Mozilla офіційно випустила реліз веб-браузера Firefox 83, а також мобільну версію Firefox 83 для платформи Android. Відповідно до циклу розробки, Firefox 84 вийде 15 грудня.

В браузері було зроблено багато нововведень. Та зроблені покращення безпеки.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 83.0 усунуто численні уразливості в 21 патчі, що значно більше ніж в попередній версії. Серед яких немає критичних, але чотири уразливостей позначені як високого ризику, що потенційно можуть призвести до віддаленого виконання коду зловмисника. Mozilla типово виправляє по декілька дір за один патч.

Відбувся масовий взлом сайтів на сервері URAN. Він тривав на протязі 2017-2021 років: з 13.04.2017 по 31.07.2021.

Був взломаний сервер української асоціації URAN. Взлом складався з декількох масових дефейсів та багатьох окремих дефейсів. Вони відбулися тоді ж, що й масовий взлом сайтів на сервері Ukraine.

Всього було взломано 837 сайтів на сервері хостера URAN (IP 212.111.212.230). Перелік сайтів можете подивитися на www.zone-h.org. В тому числі державні ресурси npstudies.dnpb.gov.ua, patp.academy.gov.ua, jna.bio.gov.ua, vnv.asv.gov.ua двічі, vtz.asv.gov.ua двічі, journals.dnpb.gov.ua двічі, zbirnyk-nadu.academy.gov.ua двічі, journal.sops.gov.ua двічі та visnyk-nadu.academy.gov.ua.

З них 302 сайтів були взломані хакером Katib та інші сайти іншими хакерами.

Масові дефейси хакером Katib явно були зроблені через взлом серверу хостинг провайдера. У випадку окремих дефейсів по одному чи декілька сайтів, всі вони явно були зроблені при взломах окремих сайтів. Але також можлива атака на інші сайти на даному сервері через взлом одного сайту та використання уразливостей в програмному забезпеченні сервера.

Виявлені уразливості безпеки в Microsoft Internet Explorer і Microsoft Edge. Що були виправлені у вівторку патчів.

Уразливі продукти: Microsoft Internet Explorer 9, 10, 11 та Edge під Windows Server 2012, Windows 8.1, Windows 10, Windows Server 2016.

Пошкодження пам’яті та виконання коду.