Websecurity - Веб безпека

У листопаді 23.11.2017 і 24.11.2017, вийшли PHP 7.0.26 і PHP 7.1.12. У версії 7.0.26 виправлено багато багів і уразливостей, у версії 7.1.12 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.0.x і 7.1.x.

У PHP 7.0.26 і 7.1.12 виправлено:

• Пошкодження пам’яті.
• Численні вибивання в різних функціях (DoS).
• Уразливості в ядрі та модулях.

По матеріалам http://www.php.net.

В серпні відбувся новий масовий взлом сайтів на сервері Goodnet. Він тривав з 24.12.2013 по 04.12.2017. Третій масовий взлом сайтів на сервері Goodnet відбувся раніше.

Був взломаний сервер української компанії Goodnet. Взлом, що складався з одного масового дефейсу та кількох окремих дефейсів по одному або декількох сайтах, відбувся після масового взлому сайтів на сервері Ukrnames.

Всього було взломано 95 сайтів на сервері хостера Goodnet (91.203.144.46). Перелік сайтів можете подивитися на www.zone-h.org. Серед них українські державні сайти forum.adm-hrebinka.gov.ua, adm-hrebinka.gov.ua, info.adm-hrebinka.gov.ua, cloud.adm-hrebinka.gov.ua, osvita.adm-hrebinka.gov.ua.

З зазначених 95 сайтів 25 сайтів були взломані хакерами з Ashiyane Digital Security Team, 21 сайт хакером dr lamouchi, 5 сайтів хакерами з Yunkers Crew та по одному чи декілька іншими хакерами.

Під час взлому Ashiyane Digital Security Team було дефейснуто багато сайтів, тому немає сумнівів, що вони були взломані через взлом серверу хостінг провайдера. Стосовно інших, то враховуючи велику кількість окремих дефейсів по одному або декілька сайтів, всі вони явно були зроблені при взломах окремих сайтів.

У листопаді місяці Microsoft випустила нові патчі.

У листопадовому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло багато патчів, але починаючи з квітня бюлетені по безпеці не випускаються, тому їх кількість невідома. Компанія вказує лише назви продуктів та номера патчів, а не кількість і деталі бюлетенів (патчів). Вони закривають уразливості в програмних продуктах компанії.

Дані патчі стосуються поточних операційних систем компанії Microsoft - Windows 7, 2008, 2008 R2, 8.1, 2012, 2012 R2, RT 8.1, 10 та 2016. А також Microsoft Office, Internet Explorer і Edge, .NET Core і ASP.NET Core та Office Web Apps і SharePoint Server.

Також Microsoft випустила патч для уразливостей в Adobe Flash Player, що постачається з Windows.

У листопаді, 14.11.2017, вийшов Mozilla Firefox 57. Нова версія браузера вийшла через півтора місяці після виходу Firefox 56.

Mozilla офіційно випустила реліз веб-браузера Firefox 57, а також мобільну версію Firefox 57 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 58 намічений на 23 січня.

Також була оновлена гілка із тривалим терміном підтримки Firefox 52.5.

В браузері були зроблено багато нововведень (новий зовнішній вигляд, перехід на WebExtensions і новий веб-движок Quantum). Та зроблені покращення безпеки, зокрема доданий третій рівень sandbox-ізоляції для платформи Linux, покращений захист приватності, зроблений новий дизайн повідомлень про помилки HTTPS і покращене управління правами доступу всіх сайтів.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 57.0 усунуто 15 уразливостей, що менше ніж в попередній версії. Серед яких три позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Выпуск Firefox 57 с многопоточным CSS-движком и новым оформлением (деталі)

Виявлені численні уразливості безпеки в Microsoft Office, а також в серверних продуктах Office Web Apps і SharePoint Server. Що були виправлені у вівторку патчів у листопаді.

Уразливі продукти: Microsoft Office Web Apps 2010 SP2, Office Web Apps Server 2013 SP1, Project Server 2013 SP1, SharePoint Enterprise Server 2016.

Обхід безпеки, пошкодження пам’яті, виконання коду.

Виявлені уразливості в Microsoft .NET Core і ASP.NET Core. Що були виправлені у вівторку патчів у листопаді.

Уразливі продукти: Microsoft .NET Core 1.0, 1.1, 2.0 і ASP.NET Core 1.0, 1.1, 2.0.

Виконання коду через пошкодження пам’яті.

Виявлені численні уразливості безпеки в Microsoft Internet Explorer і Microsoft Edge. Що були виправлені у вівторку патчів у листопаді.

Уразливі продукти: Microsoft Internet Explorer 9, 10, 11 та Edge під Windows Server 2008, Windows 7, Windows Server 2012, Windows 8.1, Windows 10, Windows Server 2016.

Численні пошкодження пам’яті та виконання коду.

В період з 03.11.2012 по 15.02.2015 та з 04.12.2016 по 18.05.2017 відбувся масовий взлом сайтів на сервері Ukrnames. Нещодавно я вже розповідав про інші масові взломи.

Був взломаний сервер української компанії Ukrnames. Взлом складався з кількох масових дефейсів та багатьох невеликих дефейсів сайтів. Він відбувся після згаданого масового взлому сайтів на сервері Freehost.

Всього було взломано 215 сайтів на сервері хостера Freehost (IP 195.64.154.9). Перелік сайтів можете подивитися на www.zone-h.org. Серед них український державний сайт khoas.gov.ua.

З зазначених 215 сайтів 63 сайти були взломані хакером RxR та інші сайти іншими хакерами.

Масовий дефейс хакером RxR явно був зроблений через взлом серверу хостінг провайдера. Коли через взлом одного сайта, був отриманий root доступ до сервера (через уразливості в програмному забезпеченні самого сервера) та атаковані інші сайти на даному сервері. У випадку інших дефейсів сайтів, всі вони явно були зроблені при взломах окремих сайтів.

У жовтні, 26.10.2017 і 27.10.2017, вийшли PHP 5.6.32, PHP 7.0.25 і PHP 7.1.11. У версії 5.6.32 виправлено багато уразливостей, у версії 7.0.25 виправлено багато багів і уразливостей, у версії 7.1.11 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 5.6.x, 7.0.x і 7.1.x.

У PHP 5.6.32, 7.0.25 і 7.1.11 виправлено:

• Пошкодження пам’яті.
• Численні вибивання в різних функціях (DoS).
• Уразливості в ядрі та модулях.

По матеріалам http://www.php.net.

У жовтні місяці Microsoft випустила нові патчі.

У жовтневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло багато патчів, але починаючи з квітня бюлетені по безпеці не випускаються, тому їх кількість невідома. Компанія вказує лише назви продуктів та номера патчів, а не кількість і деталі бюлетенів (патчів). Вони закривають уразливості в програмних продуктах компанії.

Дані патчі стосуються поточних операційних систем компанії Microsoft - Windows 7, 2008, 2008 R2, 8.1, 2012, 2012 R2, RT 8.1, 10 та 2016. А також Microsoft Office, Internet Explorer і Edge, Office Web Apps і SharePoint Server та Skype for Business.

Також Microsoft випустила патч для уразливостей в Adobe Flash Player, що постачається з Windows.