Websecurity - Веб безпека

Виявлена можливість обходу перевірок SSL в Ruby.

Уразливі версії: Ruby 1.8, Ruby 2.0.

Некоректна реалізація перевірки імені сервера.

• Vulnerability in Ruby (деталі)

Виявлений витік інформації в Perl модулі XML::LibXML (через XXE атаку).

Уразливі версії: Perl XML::LibXML до 2.0119.

Розкриття інформації при роботі з entity.

• XML::LibXML vulnerability (деталі)

Виявлені уразливості безпеки в PHP.

Уразливі версії: PHP 5.5.

Пошкодження пам’яті при розборі архівів, виконання коду в apache2handler.

• Vulnerabilities in PHP (деталі)

Виявлені численні уразливості безпеки в продуктах Oracle, Sun, PeopleSoft і MySQL.

Уразливі продукти: Oracle 11.2 і 12.1, MySQL 5.6, Oracle Java SE 8, Solaris 10 і 11.2, WebLogic Server 12.1, E-Business Suite 12.2, JRockit 28.3, GlassFish Server 3.1, iPlanet Web Proxy Server 4.0, iPlanet Web Server 7.0 та інші продукти Oracle.

Більше 90 уразливостей у різних додатках виправлено в щоквартальному оновленні.

• Oracle Outside In ibpsd2.dll PSD File Processing Buffer Overflow Vulnerability (деталі)
• Oracle Critical Patch Update Advisory - April 2015 (деталі)

Виявлені уразливості безпеки в PHP і libgd.

Уразливі продукти: PHP 5.5, libgd 2.1.

Переповнення буфера, звернення по нульовому вказівнику.

• libgd2 security update (деталі)

Виявлені уразливості в Microsoft Windows у компонентах HTTP.sys і XML Core Services. В першому випадку атака відбувається через відправлення HTTP запиту веб серверу з ОС Windows, а в другому випадку атака відбувається через Internet Explorer.

Уразливі продукти: Microsoft Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7, Windows 8, Windows 2012 Server, Windows 8.1.

Виконання коду, міжсайтовий скриптінг, витік інформації.

• Microsoft Security Bulletin MS15-034 - Critical Vulnerability in HTTP.sys Could Allow Remote Code Execution (3042553) (деталі)
• Microsoft Security Bulletin MS15-039 - Important Vulnerability in XML Core Services Could Allow Security Feature Bypass (3046482) (деталі)

В період з 15.02.2014 по 09.04.2015 відбувся дванадцятий масовий взлом сайтів на сервері Delta-X, після одинадцятого взлому сайтів на сервері Delta-X. Нещодавно я вже розповідав про інші масові взломи.

Був взломаний сервер української компанії Delta-X. Взлом відбувся після згаданого масового взлому сайтів на сервері Server.ua. Взлом складався з кількох масових дефейсів та багатьох окремих дефейсів.

Всього було взломано 260 сайтів на сервері хостера Delta-X (IP 91.222.137.84). Перелік сайтів можете подивитися на www.zone-h.org. Серед них український державний сайт kamrada.gov.ua.

Під час взломів хакерів d3b~X та YunusIncredibl було дефейснуто багато сайтів, тому немає сумнівів, що вони були взломані через взлом серверу хостінг провайдера. Стосовно інших, то враховуючи велику кількість окремих дефейсів по одному або декілька сайтів, всі вони явно були зроблені при взломах окремих сайтів.

Виявлені уразливості в Microsoft .NET Framework і VBScript для різних версій Windows. Атака на дірку в VBScript відбувається через Internet Explorer.

Уразливі продукти: Microsoft .NET Framework 1.1 SP1, 2.0 SP2, 3.5, 3.5.1, 4, 4.5, 4.5.1, 4.5.2, VBScript 5.6, VBScript 5.7, VBScript 5.8.

Витік інформації в .NET Framework та виконання коду в VBScript.

• Microsoft Security Bulletin MS15-019 - Critical Vulnerability in VBScript Scripting Engine Could Allow Remote Code Execution (3040297) (деталі)
• Microsoft Security Bulletin MS15-041 - Important Vulnerability in .NET Framework Could Allow Information Disclosure (3048010) (деталі)

Виявлені численні уразливості безпеки в OpenSSL.

Уразливі версії: OpenSSL 0.9, OpenSSL 1.0.

Звертання по нульовому вказівнику, ассерти, пошкодження пам’яті.

• OpenSSL Security Advisory (деталі)
• Security Audit Notes: OpenSSL d1_srvr.c Overflow (деталі)

У березні, 04.03.2015, через два місяці після виходу Google Chrome 40, вийшов Google Chrome 41.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Виправлена 51 уразливість, з яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer і MemorySanitizer. Що менше ніж в попередній версії.

• Релиз web-браузера Chrome 41 (деталі)