Websecurity - Веб безпека

У жовтні, 29.10.2015, вийшов PHP 5.6.15. У версії 5.6.15 виправлено 3 баги і 7 уразливостей.

Даний реліз направлений на покращення безпеки і стабільності гілки 5.6.x.

У PHP 5.6.15 виправлено:

• Виправлено 7 DoS уразливостей (segfault).

По матеріалам http://www.php.net.

У листопаді, 03.11.2015, вийшов Mozilla Firefox 42. Нова версія браузера вийшла через півтора місяці після виходу Firefox 41.

Mozilla офіційно випустила реліз веб-браузера Firefox 42, а також мобільну версію Firefox 42 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 43 намічений на 15 грудня, а Firefox 44 на 26 січня.

Також був випущений Seamonkey 2.39 та були оновлені гілки із тривалим терміном підтримки Firefox 38.4 і Thunderbird 38.4.

В браузері була покращена приватність в Private Browsing з Tracking Protection через блокування елементів веб сторінок, що можуть використовуватися для спостереження за користувачами. Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 42.0 усунуто 18 уразливостей, серед яких 3 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 42 (деталі)

Виявлені численні уразливості безпеки в продуктах Oracle, Sun, PeopleSoft і MySQL.

Уразливі продукти: Oracle 11.2 і 12.1, MySQL 5.6, Java SE Embedded 8, Oracle Mobile Server 12.1, Solaris 11.2, E-Business Suite 12.2, JRockit 28.3, Oracle Identity Manager 11.1, GlassFish Server 3.1, Endeca Server 7.6 та інші продукти Oracle.

140 уразливостей у різних додатках виправлено в щоквартальному оновленні.

• Oracle Outside In Two Buffer Overflow Vulnerabilities (деталі)
• Oracle E-Business Suite - Cross Site Scripting Vulnerability (деталі)
• Oracle E-Business Suite - SQL injection Vulnerability (деталі)
• Oracle E-Business Suite Database user enumeration Vulnerability (деталі)
• Oracle E-Business Suite - XXE injection Vulnerability (деталі)
• Oracle E-Business Suite - XXE injection Vulnerability (деталі)
• Oracle E-Business Suite - XXE injection Vulnerability (деталі)
• Oracle Critical Patch Update Advisory - October 2015 (деталі)

Виявлені уразливості безпеки в PHP.

Уразливі версії: PHP 5.3, PHP 5.5, PHP 5.6

DoS в разширенні PHAR.

• PHP vulnerabilities (деталі)

Виявлені уразливості безпеки в Microsoft JScript і VBScript, що використовуються в Internet Explorer та інших продуктах.

Уразливі продукти: Microsoft JScript 5.7 і 5.8, VBScript 5.7 і 5.8.

Виконання коду, пошкодження пам’яті.

• Microsoft Security Bulletin MS15-108 - Critical Security Update for JScript and VBScript to Address Remote Code Execution (3089659) (деталі)

Виявлена можливість DoS атаки проти Apache Commons HttpClient.

Уразливі версії: Apache Commons-HttpClient 3.1.

Відсутність таймаута під час хендшейка.

• Apache Commons HttpClient (деталі)

Виявлені численні уразливості безпеки в Microsoft Office, а також в серверних продуктах Office Web Apps і SharePoint Server.

Уразливі продукти: Microsoft SharePoint Server 2007, SharePoint Server 2010, SharePoint Server 2013, SharePoint Foundation 2013, Excel Services on SharePoint Server 2007, 2010 і 2013, Web App 2010, Excel Web App 2010, Office Web Apps Server 2013.

Численні пошкодження пам’яті.

• Microsoft Security Bulletin MS15-110 - Important Security Updates for Microsoft Office to Address Remote Code Execution (3096440) (деталі)

Виявлені уразливості безпеки в Apple Safari і Webkit.

Уразливі продукти: Apple Safari 7.1, Safari 8.0, Safari 9.0.

Численні пошкодження пам’яті.

• APPLE-SA-2015-10-21-3 Safari 9.0.1 (деталі)

Цього року відбувся новий масовий взлом сайтів на сервері Ukraine. Він відбувся з 01.02.2015 по 19.09.2015. Перший масовий взлом сайтів на сервері Ukraine відбувся раніше.

Був взломаний сервер української компанії Ukraine. Взлом складався з багатьох окремих дефейсів. Вони переважно відбулися після масового взлому сервера TheHost.

Всього був взломаний 61 сайт на сервері хостера Ukraine (IP 185.68.16.170). Перелік сайтів можете подивитися на www.zone-h.org. Від www.electrocars.com.ua до arinabirthday.com.ua.

З зазначених 61 сайтів 37 сайтів були взломані хакером ZoRRoKiN, 11 сайтів хакером aAn, 6 сайтів хакером ViRuS OS та по одному хакерами Team_CC, AlFeRoX, ByGeceMavisi, jangene_cakep, NG689Skw, HolaKo, the_warri0r.

Масові дефейси хакерами ZoRRoKiN і aAn явно був зроблені через взлом серверу хостінг провайдера. У випадку окремих дефейсів по одному або декілька сайтів, всі вони явно були зроблені при взломах окремих сайтів. Але також можлива атака на інші сайти на даному сервері через взлом одного сайту та використання уразливостей в програмному забезпеченні самого сервера.

Виявлені численні уразливості безпеки в Google Chrome і Chromium.

Уразливі продукти: Google Chrome 45, Chromium 45.

Обхід обмежень, пошкодження пам’яті, розкриття інформації.

• chromium-browser security update (деталі)