Websecurity - Веб безпека

Деякий час тому вийшли оновлення для Mozilla Firefox (до 1.5.0.7), Mozilla Thunderbird (до 1.5.0.7) та Mozilla Seamonkey (до 1.0.5).

В даних оновленнях виправлені наступні уразливості в программах Mozilla:

• Crashes with evidence of memory corruption
• Executing JavaScript within E-Mail using XBL
• Pop up-blocker cross-site scripting (XSS)
• Frame spoofing using document.open()
• RSA Signature Forgery
• Concurrency-related vulnerability
• Auto-Update compromise through DNS and SSL spoofing
• JavaScript Regular Expression Heap Corruption

Рекомендується оновити ваші Firefox, Thunderbird та Seamonkey.

• SUSE Security Announcement: Mozilla Firefox, Thunderbird, Seamonkey (деталі)

В Seamonkey (колишній Mozilla Application Suit) були знайдені численні уразливості.

Уразливі версії: Seamonkey < 1.0.5.

Серед уразливостей є такі, що можуть змусити користувача відвідати небезпечний сайт, вибити браузер або запусти довільний код в системі. Знайдені уразливості виправлені в версії 1.0.5.

• Seamonkey: Multiple vulnerabilities (деталі)

26.10.2006

Виявлений міжсайтовий скриптінг (XSS) в ASP.NET. Міжсайтовий скриптінг можливий при використанні форм із AutoPostBack. Вразливі усі веб-додатки на даній платформі, які використовують AutoPostBack.

• Microsoft Security Bulletin MS06-056 Vulnerability in ASP.NET 2.0 Could Allow Information Disclosure (922770) (деталі)

05.11.2006

Міжсайтовий скриптінг в Microsoft .NET Framework.

Уразливі версії: Microsoft .NET Framework 2.0.

Уразливість дозволяє віддаленому користувачу виконати XSS напад.

• Межсайтовый скриптинг в Microsoft .NET Framework (деталі)

Міністерство юстиції Німеччини деякий час тому опублікувало виправлення до антихакерскому закону країни. Зокрема, пропонується ввести в перелік карних злочинів взлом і атаки на домашні комп’ютери. Бо раніше вважалися незаконними лише взлом і шкідливі дії проти комп’ютерів компаній і державних установ.

Пропонується також арешт навіть за несанкціонований доступ до даних без їхньої крадіжки. Максимальний термін заключення за комп’ютерні злочини пропонується збільшити до 10 років, якщо вони сполучені з іншими злочинними діями. Виправлення в німецький закон приведуть його у відповідність з резолюцією по атаках на інформаційні системи ЄС.

Пропозиція зробити злочином створення чи поширення “хакерських інструментів” одержало суперечливі коментарі. Критики вважають, що це неприйнятно, оскільки багато системних адміністраторів і фахівці з ІТ-безпеки нерідко створюють подібні інструменти для перевірки захищеності корпоративних систем.

Аналогічні заходи для боротьби з хакерами запропоновані в британському “Біллі про поліцію і юстицію”, опублікованому урядом у січні. Тут експерти по безпеці також виразили невдоволення забороною “хакерских інструментів”.

По матеріалам http://www.securitylab.ru.

13.08.2006

Можливий обхід функції ip2long в PHP (protection bypass). Уразливі версії: PHP 4.3, PHP 5.0.

Функція ip2long може повернути коректне значення навіть якщо аргумент не є IP-адресою, що може привести до проблеми якщо функція використовується для валідациї даних.

• PHP ip2long() function circumvention (деталі)

31.10.2006

Додаткова інформація.

Функція ip2long в PHP може некоректно обробити спеціально створений рядок і повернути мережеву IP адресу, що може привести до різноманітних атак. Таких як отримання додаткової мережевої інформації та SQL injection (як це було продемонстровано на прикладі експлоіта для MiniBB 2.0), можливі й інші атаки.

Уразливі версії: PHP 5.1.4, PHP 5.0.2, PHP 4.3.3.

Рекомендую оновити PHP інтерпретатор.

• Вийшов PHP v.5.1.6 (деталі)
• CVE-2006-4023 (деталі)

Вчора вийшла нова версія движку WordPress 2.0.5. Всім хто користується попередніми версіями рекомендується оновити движок своїх сайтів.

WordPress 2.0.5 - це останній стабільний реліз Вордпреса, який доступний для скачування з сайта виробника. В даному релізі виправлено чимало помилок і секюріті уразливостей (близько 50 бакфіксів після попередньої версії), тому остання версія дуже рекомендована для всіх користувачів движку WordPress.

Зокрема були виправлені ті уразливості, про які я повідомив розробників Вордпрес (в тому числі Численні уразливості в WordPress). Але враховуючи мою завантаженність, а також деяки проблеми (в минулу п’ятницу заглючила материнська плата, і до сих пір її ще не відремонтували, і тому я без свого ПК), я не встиг написати їм деталі про всі знайдені уразливості в WP (із числа тих, що запланував розповісти, бо ще чимало я планував їм розповісти вже після виходу нової версії). Тому я найближчим часом планую вислати розробникам WP нову інформацію, щоб непофіксені досі уразливості були виправлені в наступному релізі.

Нещадавно відбулися дві важливі події в житті кожного інтернетчика і веб розробника: 19.10 вийшов IE7, а 24.10 вийшов Firefox 2.0.

Firefox 2.0

Нова версія Firefox містить нові теми інтерфейсу і додаткові засоби безпеки, такі як вбудований захист від фішинга. Крім того, вона наділена пам’яттю сеансу, котра при повторному відкритті браузера повертає його на ті веб-сторінки, що проглядалися перед виходом із програми. Внесено зміни й у технологію імпорту RSS, що тепер пропонує список каналів з назвами і першими рядками.

Internet Explorer 7

Нова версія IE пропонує користувачам можливість переглядати веб-сайти в закладках, оснащена вбудованим модулем для читання каналів RSS, поліпшеною функцією друку та захистом від фішинга.

При тому, що IE7 щойно вийшов, в ньому вже знайдені уразливості про що я окремо повідомлю.

FF2 я вже викачав, для ознайомлення з найостаннішою версією Firefox (бо зараз я користуюся Mozilla та старою версією Firefox). Потрібно рухатися далі. Ну і оцінити новий продукт зі сторони безпеки. IE7 поки ще не викачував, але з часом прийдеться це зробити - щоб мати можливість тестувати веб сайти. Щоб вони корректно функціонували як в старих версіях браузерів, так і нових версіях (IE та Firefox).

Вийшов php security update, який виправляє декілька уразливостей безпеки в php.

Зокрема виправлені:

• Response-splitting в обробці сесій.
• Buffer overflow в функції sscanf().
• Integer overflow в функціях wordwrap() та str_repeat().
• Buffer overflow в росширенні PHP gd.
• Integer overflow в менеджері керування пам’яттю.

Рекомендую встановити оновлення.

• Вийшов PHP v.5.1.6 (деталі)
• php security update (деталі)

Нещодавно секлаб провів дослідження безпеки Інтернет браузерів у 2006 році. Мета даного дослідження надати статистичні дані по уразливостям у популярних веб браузерах і порівняти їх по різним параметрам. В дослідженні приймали участь наступні браузери: Microsoft Internet Explorer, Mozilla Firefox, Opera Web browser (8-9) та Safari.

За наявною інформацією, більше всього уразливостей у 2006 році було виявлено в браузері Mozilla Firefox:

Microsoft Internet Explorer - 24%
Mozilla Firefox - 54%
Opera Web browser (8-9) - 7%
Safari - 15%

По критичним уразливостям Mozilla Firefox ще більше випереджає інші браузери, у 2006 році 64% критичних уразливостей були виявлені в браузері Mozilla Firefox.

Microsoft Internet Explorer - 30%
Mozilla Firefox - 64%
Opera Web browser (8-9) - 2%
Safari - 4%

Лідером по незакритим уразливостям з великим випередженням став браузер Internet Explorer. Однак, варто врахувати, усі з 13 незакритих уразливостей усунуті в браузері Internet Explorer 7.0, фінальна версія якого з’явиться найближчим часом.

Microsoft Internet Explorer - 13
Mozilla Firefox - 2
Opera Web browser (8-9) - 0
Safari - 2

Доволі цікаве дослідження. Яке показує достоїнства та недоліки різних браузерів (в контексті безпеки).

• Исследование безопасности Интернет браузеров в 2006 году (деталі)

07.10.2006

Можливий обхід open_basedir в PHP (PHP open_basedir protection bypass).

Використовуючи символьні лінки на протязі короткого періоду часу між перевіркою і відкриттям файлу, можливо обійти захист open_basedir.

• PHP open_basedir Race Condition Vulnerability (деталі)

09.10.2006

Уразливість стану операції в PHP. Уразливість дозволяє локальному користувачу обійти деякі обмеження безпеки.

Уразливі версії: PHP 5.1.x, PHP 5.0.x, PHP 4.4.x, PHP 4.3.x, PHP 4.2.x, PHP 4.1.x, PHP 4.0.x.

Уразливість стану операції існує через помилку при обробці символічних посилань. Зловмисник може обійти обмеження захисного механізму open_basedir і одержати доступ до довільних файлів на системі.

Способів усунення уразливості не існує в даний час. Як тимчасове рішення рекомендується заборонити функцію “symlink()” у конфігураційному файлі php.ini.

• Уязвимость состояния операции в PHP (деталі)

23.10.2006

Додаткова інформація:

• PHP open_basedir with symlink() function Race Condition PoC exploit (деталі)