Websecurity - Веб безпека

У лютому, 08.02.2016, вийшов Mozilla Firefox 44.0.1, а 11.02.2016 вийшов Mozilla Firefox 44.0.2. Нові версії браузера вийшли через декілька днів після виходу Firefox 44.

Це багфікс і секюріті випуски в яких зроблені покращення і виправлена уразливість. У версії 44.0.1 виправлені баги. У версії 44.0.2 виправлене вибивання браузера при старті та виправлена одна уразливість.

• MFSA 2016-13 Same-origin-policy violation using Service Workers with plugins (деталі)

У січні, 21.01.2016, через півтора місяці після виходу Google Chrome 47, вийшов Google Chrome 48.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Виправлено 37 уразливостей. З яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer і MemorySanitizer. Що менше ніж в попередній версії.

• Релиз web-браузера Chrome 48 (деталі)

Виявлені численні уразливості безпеки в Mozilla Firefox, Thunderbird, Seamonkey.

Уразливі продукти: Mozilla Firefox ESR 38.5, Firefox 43, Thunderbird 38.5, SeaMonkey 2.39.

Пошкодження пам’яті, DoS, переповнення буфера, підробка адресного рядка, обхід обмежень.

• MFSA 2016-01 Miscellaneous memory safety hazards (rv:44.0 / rv:38.6) (деталі)
• MFSA 2016-02 Out of Memory crash when parsing GIF format images (деталі)
• MFSA 2016-03 Buffer overflow in WebGL after out of memory allocation (деталі)
• MFSA 2016-04 Firefox allows for control characters to be set in cookie names (деталі)
• MFSA 2016-05 Addressbar spoofing through stored data url shortcuts on Firefox for Android (деталі)
• MFSA 2016-06 Missing delay following user click events in protocol handler dialog (деталі)
• MFSA 2016-07 Errors in mp_div and mp_exptmod cryptographic functions in NSS (деталі)
• MFSA 2016-08 Delay following click events in file download dialog too short on OS X (деталі)
• MFSA 2016-09 Addressbar spoofing attacks (деталі)
• MFSA 2016-10 Unsafe memory manipulation found through code inspection (деталі)
• MFSA 2016-11 Application Reputation service disabled in Firefox 43 (деталі)
• MFSA 2016-12 Lightweight themes on Firefox for Android do not verify a secure connection (деталі)
• MFSA 2016-15 Use-after-free in NSS during SSL connections in low memory (деталі)

У січні, 26.01.2016, вийшов Mozilla Firefox 44. Нова версія браузера вийшла через півтора місяці після виходу Firefox 43.

Mozilla офіційно випустила реліз веб-браузера Firefox 44, а також мобільну версію Firefox 44 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 45 намічений на 8 березня, а Firefox 46 на 19 квітня.

Також були оновлені гілки із тривалим терміном підтримки Firefox 38.6 і Thunderbird 38.7.

В браузері було змінено оформлення сторінки з попередженням про проблеми із SSL-сертифікатом та зроблене виведення попередження для сторінок, що завантажуються по HTTPS із серверів, що підтримують тільки шифр RC4.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 44.0 усунуто 12 уразливостей, серед яких 3 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 44 (деталі)

Виявлені уразливості безпеки в Microsoft Exchange Server.

Уразливі продукти: Microsoft Exchange Server 2013, Microsoft Exchange Server 2013 SP1, Microsoft Exchange Server 2016.

Підробка вмісту, зокрема підробка адреси в Outlook Web Access.

• Microsoft Security Bulletin MS16-010 - Important Security Update in Microsoft Exchange Server to Address Spoofing (3124557) (деталі)

У грудні, 18.12.2015, вийшов Mozilla Firefox 43.0.1, а 22.12.2015 вийшов Mozilla Firefox 43.0.2. Нові версії браузера вийшли через декілька днів після виходу Firefox 43.

Це багфікс і секюріті випуски в яких зроблене покращення і виправлена уразливість. У версії 43.0.1 зроблена підготовка до використання SHA-256 підписуючих сертифікатів для Windows версій браузера. У версії 43.0.2 використаний SHA-256 сертифікат для Windows версій браузера. Також виправлена одна уразливість в Firefox 43.0.2 і Firefox ESR 38.6.

• MFSA 2015-150 MD5 signatures accepted within TLS 1.2 ServerKeyExchange in server signature (деталі)

Відбувся четвертий масовий взлом сайтів на сервері Hvosting. Він тривав на протязі 2010-2015 років: з 05.04.2010 до 03.07.2015. Третій масовий взлом сайтів на сервері Hvosting відбувся раніше.

Був взломаний сервер української компанії Hvosting. Взлом складався з двох масових дефейсів та багатьох окремих дефейсів. Вони відбулися паралельно до масового взлому сервера Ukraine.

Всього було взломано 40 сайтів на сервері хостера Hvosting (IP 91.200.40.32). Перелік сайтів можете подивитися на www.zone-h.org.

З зазначених 40 сайтів 8 сайтів були взломані хакером HighTech, 7 сайтів хакером jangene_cakep та інші сайти різними хакерами.

Масові дефейси хакерами HighTech і jangene_cakep явно були зроблені через взлом серверу хостінг провайдера. У випадку окремих дефейсів по одному або декілька сайтів, всі вони явно були зроблені при взломах окремих сайтів. Але також можлива атака на інші сайти на даному сервері через взлом одного сайту та використання уразливостей в програмному забезпеченні сервера.

Виявлена можливість виконання коду в Microsoft Silverlight.

Уразливі продукти: Microsoft Silverlight 5 для Windows і Mac до версії 5.1.41212.0.

Виконання коду в браузерах з плагіном Silverlight.

• Microsoft Security Bulletin MS16-006 - Critical Security Update for Silverlight to Address Remote Code Execution (3126036) (деталі)

У січні місяці Microsoft випустила 9 патчів. Що менше ніж у грудні.

У січневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 9 бюлетенів по безпеці. Що закривають численні уразливості в програмних продуктах компанії. Шість патчів закривають критичні уразливості та три патчі закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows Vista, 2008, 7, 2008 R2, 8, 2012, RT, 8.1, RT 8.1 та 10. А також Microsoft Office, Internet Explorer і Edge, SharePoint Server, JScript і VBScript, Silverlight, Exchange Server.

Виявлені уразливості безпеки в Microsoft JScript і VBScript, що використовуються в Internet Explorer та інших продуктах.

Уразливі продукти: Microsoft JScript 5.7 і 5.8, VBScript 5.7 і 5.8.

Виконання коду, пошкодження пам’яті.

• Microsoft Security Bulletin MS16-003 - Critical Cumulative Security Update for JScript and VBScript to Address Remote Code Execution (3125540) (деталі)