Websecurity - Веб безпека

У квітні, 14.04.2015, через півтора місяці після виходу Google Chrome 41, вийшов Google Chrome 42.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Виправлено 45 уразливостей, з яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer і MemorySanitizer. Що менше ніж в попередній версії.

• Релиз web-браузера Chrome 42 (деталі)

Виявлене розкриття інформації в Apache mod_jk.

Уразливі версії: Apache mod_jk 1.2.

В Apache Tomcat Connectors (mod_jk) існує можливість отримати приватні дані, доступ до яких обмежений.

• libapache-mod-jk security update (деталі)

В квітні відбувся новий масовий взлом сайтів на сервері Укртелекому. Він відбувся 25.04.2013 і 07.04.2015. Перший масовий взлом сайтів на сервері Укртелекому відбувся раніше.

Був взломаний сервер української компанії Укртелеком. Взлом, що складався з одного окремого дефейсу і одного масового дефейсу, відбувся після згаданого масового взлому сайтів на сервері Goodnet.

Всього було взломано 31 сайт (причому всі державні) на сервері хостера Укртелеком (IP 213.186.120.4). Це наступні українські державні сайти: zhytomyr.man.gov.ua, khmelnytskyi.man.gov.ua, kirovohrad.man.gov.ua, konkurs.man.gov.ua, kyiv.man.gov.ua, kyivobl.man.gov.ua, lugansk.man.gov.ua, lutsk.man.gov.ua, lviv.man.gov.ua, mykolaiv.man.gov.ua, odesa.man.gov.ua, poltava.man.gov.ua, rivne.man.gov.ua, sevastopol.man.gov.ua, ternopil.man.gov.ua, uzhhorod.man.gov.ua, vinnytsia.man.gov.ua, khmelnitskyi.man.gov.ua, kherson.man.gov.ua, kharkiv.man.gov.ua, ivano-frankivsk.man.gov.ua, donetsk.man.gov.ua, dnipropetrovsk.man.gov.ua, chernivtsi.man.gov.ua, crimea.man.gov.ua, chernihiv.man.gov.ua, cherkasy.man.gov.ua, av.man.gov.ua, ap.man.gov.ua та man.gov.ua (в 2013 і 2015 роках).

З зазначених 31 сайтів 1 сайт були взломаний хакером SyR!4N M43STR0 (в 2013 році), 1 сайт хакерами з Fallaga Team та 29 сайтів хакерами з Moroccan Islamic Union-Mail (в 2015 році).

Цілком імовірно, що дані сайти могли бути атаковані хакерами через взлом серверу хостінг провайдера. Також не виключена можливість використання уразливостей на сервері для доступу до інших сайтів.

Виявлені численні уразливості безпеки в PHP.

Уразливі версії: PHP 5.4, PHP 5.5, PHP 5.6.

Проблема нульового символу, DoS, цілочисленні переповнення, пошкодження пам’яті.

• php5 security update (деталі)
• Use-After-Free in PHP (деталі)

У квітні, 20.04.2015, вийшов Mozilla Firefox 37.0.2. Нова версія браузера вийшла через 17 днів після виходу Firefox 37.0.1.

Це секюріті та багфікс випуск в якому усунуті уразливість і баги. Виправлена уразливість з пошкодженням пам’яті при невдалій ініціалізації плагіна. А також виправлені баг з Google Maps та вибивання при запуску браузера з деякими графічними картами. Мозіла не зарахувала цей crash до уразливостей, а до багів, як вона це дуже часто робить.

• Mozilla Foundation Security Advisory 2015-45 Memory corruption during failed plugin initialization
• DoS уразливість при роботі з деякими графічними картами

Виявлені численні уразливості безпеки в Google Chrome і Chromium.

Уразливі продукти: Google Chrome 42, Chromium 42.

Численні пошкодження пам’яті та уразливості при розборі HTML, SVG та WebAudio.

• chromium-browser security update (деталі)

Виявлене виконання коду в Microsoft SharePoint Server.

Уразливі продукти: Microsoft SharePoint Server 2007, SharePoint Server 2010, SharePoint Server 2013.

Виконання коду через уміст документа.

• Microsoft Security Bulletin MS15-047 - Important Vulnerabilities in Microsoft SharePoint Server Could Allow Remote Code Execution (3058083) (деталі)

Виявлені численні уразливості безпеки в PostgreSQL.

Уразливі версії: PostgreSQL 9.4.

DoS, розкриття інформації.

• postgresql-9.4 security update (деталі)

У травні місяці Microsoft випустила 13 патчів. Що більше ніж у квітні.

У травневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 13 бюлетенів по безпеці. Що закривають 46 уразливостей в програмних продуктах компанії. Три патчі закривають критичні уразливості та десять патчів закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows 2003, Vista, 2008, 7, 2008 R2, 8, 2012, RT, 8.1 та RT 8.1. А також Microsoft Office, Internet Explorer, SharePoint Server, .NET Framework і Silverlight.

Виявлені уразливості безпеки в Apache Tomcat.

Уразливі версії: Apache Tomcat 8.0.

Вичерпання ресурсів, обхід обмежень.

• Apache Tomcat DoS (деталі)
• Apache Tomcat Security Manager Bypass (деталі)