Websecurity - Веб безпека

Виявлена можливість DoS атаки проти Apache Commons HttpClient.

Уразливі версії: Apache Commons-HttpClient 3.1.

Відсутність таймаута під час хендшейка.

• Apache Commons HttpClient (деталі)

Виявлені численні уразливості безпеки в Microsoft Office, а також в серверних продуктах Office Web Apps і SharePoint Server.

Уразливі продукти: Microsoft SharePoint Server 2007, SharePoint Server 2010, SharePoint Server 2013, SharePoint Foundation 2013, Excel Services on SharePoint Server 2007, 2010 і 2013, Web App 2010, Excel Web App 2010, Office Web Apps Server 2013.

Численні пошкодження пам’яті.

• Microsoft Security Bulletin MS15-110 - Important Security Updates for Microsoft Office to Address Remote Code Execution (3096440) (деталі)

Виявлені уразливості безпеки в Apple Safari і Webkit.

Уразливі продукти: Apple Safari 7.1, Safari 8.0, Safari 9.0.

Численні пошкодження пам’яті.

• APPLE-SA-2015-10-21-3 Safari 9.0.1 (деталі)

Цього року відбувся новий масовий взлом сайтів на сервері Ukraine. Він відбувся з 01.02.2015 по 19.09.2015. Перший масовий взлом сайтів на сервері Ukraine відбувся раніше.

Був взломаний сервер української компанії Ukraine. Взлом складався з багатьох окремих дефейсів. Вони переважно відбулися після масового взлому сервера TheHost.

Всього був взломаний 61 сайт на сервері хостера Ukraine (IP 185.68.16.170). Перелік сайтів можете подивитися на www.zone-h.org. Від www.electrocars.com.ua до arinabirthday.com.ua.

З зазначених 61 сайтів 37 сайтів були взломані хакером ZoRRoKiN, 11 сайтів хакером aAn, 6 сайтів хакером ViRuS OS та по одному хакерами Team_CC, AlFeRoX, ByGeceMavisi, jangene_cakep, NG689Skw, HolaKo, the_warri0r.

Масові дефейси хакерами ZoRRoKiN і aAn явно був зроблені через взлом серверу хостінг провайдера. У випадку окремих дефейсів по одному або декілька сайтів, всі вони явно були зроблені при взломах окремих сайтів. Але також можлива атака на інші сайти на даному сервері через взлом одного сайту та використання уразливостей в програмному забезпеченні самого сервера.

Виявлені численні уразливості безпеки в Google Chrome і Chromium.

Уразливі продукти: Google Chrome 45, Chromium 45.

Обхід обмежень, пошкодження пам’яті, розкриття інформації.

• chromium-browser security update (деталі)

Виявлені численні уразливості безпеки в Microsoft Internet Explorer і Microsoft Edge.

Уразливі продукти: Microsoft Internet Explorer 7, 8, 9, 10, 11 та Edge під Windows Vista, Windows 2008 Server, Windows 7, Windows 8, Windows 2012 Server, Windows 8.1, Windows 10.

Численні пошкодження пам’яті.

• Microsoft Security Bulletin MS15-106 - Critical Cumulative Security Update for Internet Explorer (3096441) (деталі)
• Microsoft Security Bulletin MS15-107 - Important Cumulative Security Update for Microsoft Edge (3096448) (деталі)

У жовтні місяці Microsoft випустила 6 патчів. Що менше ніж у вересні.

У жовтневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 6 бюлетенів по безпеці. Що закривають численні уразливості в програмних продуктах компанії. Три патчі закривають критичні уразливості та три патчі закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows Vista, 2008, 7, 2008 R2, 8, 2012, RT, 8.1, RT 8.1 та 10. А також Microsoft Office, Internet Explorer і Edge, Office Web Apps і SharePoint Server.

Влітку відбувся новий масовий взлом сайтів на сервері TheHost. Він відбувся з 05.06.2013 по 10.08.2015. Перший масовий взлом сайтів на сервері TheHost відбувся раніше.

Був взломаний сервер української компанії TheHost. Взлом складався з багатьох окремих дефейсів.

Всього був взломаний 31 сайт на сервері хостера TheHost (IP 91.234.33.250). Це наступні сайти: europumps.com.ua, ifox.biz, bassein-ozero.com.ua, grafio-decor.com.ua, homemadedrink.com.ua, indyuk.com.ua, dom-yagotin.com.ua, remontluxe.kiev.ua, rizka.kiev.ua, action.vishop.com.ua, uafkl.com.ua, dor-znak.pp.ua, my.selyandia.ru, jurinvest.vst-group.com, admin-blog.pp.ua, yacheslav-sherstiuk.com, transform-energo.com.ua, selyandia.ru, vst-group.com, bassein-ozero.com.ua, www.vacc-ua.aero, indyuk.com.ua, lrsys.com, otkos.dn.ua, rainway.biz, jurinvestprom.com.ua, chicgift.com.ua, eshop.stimpex.com.ua, news1.stimpex.com.ua, pens.stimpex.com.ua, www.sweetbud.com.ua.

Під час взлому хакера Anxiety було дефейснуто багато сайтів, тому немає сумнівів, що вони були взломані через взлом серверу хостінг провайдера. Стосовно інших, то враховуючи велику кількість окремих дефейсів по одному або декілька сайтів, всі вони явно були зроблені при взломах окремих сайтів.

У жовтні, 13.10.2015, через півтора місяці після виходу Google Chrome 45, вийшов Google Chrome 46.

В браузері зроблено багато нововведень. Та виправлені численні уразливості. Серед покращень безпеки:

• Cache API тепер працює лише з HTTPS.
• Скасовано проміжний жовтий індикатор захищеності сайта. Тепер https ресурс з мінімальними помилками (зображення по http) буде вважатися незахищеним.

Виправлено 24 уразливості, з яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer і MemorySanitizer. Що менше ніж в попередній версії.

• Релиз web-браузера Chrome 46 (деталі)

Виявлена можливість проведення DoS атаки проти Apache ActiveMQ.

Уразливі версії: Apache ActiveMQ 5.10.

Доступна недокументована команда shutdown.

• activemq security update (деталі)