Websecurity - Веб безпека

Можлива фіксація сеансів у бібліотеці Python Requests.

Уразливі версії: Python Requests 2.3.

Некоректна обробка cookie у редиректах.

• Requests vulnerability (деталі)

У квітні, 16.04.2015, вийшли PHP 5.4.40, PHP 5.5.24 і PHP 5.6.8. У версії 5.4.40 виправлено 15 уразливостей, у версіях 5.5.24 і 5.6.8 виправлено декілька багів і 20 уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 5.4.x, 5.5.x і 5.6.x.

У PHP 5.4.40, 5.5.24 і 5.6.8 виправлено:

• Потенційне віддалене виконання коду в Apache 2.4 apache2handler.
• Помилка з типізацією в exception::getTraceAsString.
• Помилка з типізацією в php_stream_url_wrap_http_ex().
• NULL byte дозволялися в шляхах в різних модулях PHP.
• Уразливості в модулях cURL, Ereg, Fileinfo, GD, Phar, Postgres, SOAP, Sqlite3.

По матеріалам http://www.php.net.

У квітні місяці Microsoft випустила 11 патчів. Що менше ніж у березні.

У квітневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 11 бюлетенів по безпеці. Що закривають 26 уразливостей в програмних продуктах компанії. Чотири патчі закривають критичні уразливості та сім патчів закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows 2003, Vista, 2008, 7, 2008 R2, 8, 2012, RT, 8.1 та RT 8.1. А також Microsoft Office, Internet Explorer, SharePoint Server, .NET Framework, Windows Hyper-V і XML Core Services.

Виявлені численні уразливості безпеки в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 6, 7, 8, 9, 10, 11 під Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7, Windows 8, Windows 2012 Server, Windows 8.1.

Численні пошкодження пам’яті.

• Microsoft Security Bulletin MS15-018 - Critical Cumulative Security Update for Internet Explorer (3032359) (деталі)
• Microsoft Security Bulletin MS15-032 - Critical Cumulative Security Update for Internet Explorer (3038314) (деталі)

24.03.2015

Виявлені численні уразливості безпеки в Apache.

Уразливі версії: Apache 2.3, Apache 2.4.

Обхід обмежень в mod_headers, DoS в mod_cache, обхід обмежень і DoS в mod_lua, DoS в mod_proxy_fcgi, обхід захисту в mod_gnutls.

• Apache HTTP Server vulnerabilities (деталі)
• mod-gnutls security update (деталі)

23.04.2015

• Apache HTTPD 2.4.12, 2.2.29 Security Audit (деталі)
• Apache HTTP Server 2.2.29 / 2.4.12 NULL Pointer dereference in protocol.c (деталі)

Виявлені численні уразливості безпеки в Microsoft Office, а також в серверних продуктах Office Web Apps і SharePoint Server.

Уразливі продукти: Microsoft Office Web Apps 2010 SP2, 2013 SP1, Microsoft SharePoint Server 2007 SP3, 2010 SP2, SharePoint Foundation 2010 SP2, Word Automation Services on SharePoint Server 2010 SP2, 2013 SP1, SharePoint Foundation 2013 SP1, Excel Services on SharePoint Server 2013 SP1.

Виконання коду, використання пам’яті після звільнення.

• Microsoft Security Bulletin MS15-022 - Critical Vulnerabilities in Microsoft Office Could Allow Remote Code Execution (3038999) (деталі)

Виявлені численні уразливості безпеки в Apple Safari та Webkit.

Уразливі версії: Apple Safari 6.2, Safari 7.1, Safari 8.0.

Некоректна перевірка SSL-сертифікатів, витік інформації, пошкодження пам’яті, міжсайтовий доступ.

• Safari iOS/OS X/Windows cookie access vulnerability (деталі)
• APPLE-SA-2015-04-08-1 Safari 8.0.5, Safari 7.1.5, and Safari 6.2.5 (деталі)

Виявлені Cross-Site Scripting уразливості в Microsoft Exchange.

Уразливі версії: Microsoft Exchange Server 2013.

Безліч можливостей міжсайтового скриптінга.

• Microsoft Security Bulletin MS15-026 - Important Vulnerabilities in Microsoft Exchange Server Could Allow Elevation of Privilege (3040856) (деталі)

Виявлені численні уразливості безпеки в Mozilla Firefox, Thunderbird, Seamonkey.

Уразливі продукти: Mozilla Firefox ESR 31.4, Firefox 35, Thunderbird 31.4, SeaMonkey 2.33.

Обхід обмежень, підміна даних, розкриття інформації, переповнення буфера, пошкодження пам’яті, DoS, виконання коду.

• MFSA 2015-11 Miscellaneous memory safety hazards (rv:36.0 / rv:31.5) (деталі)
• MFSA 2015-12 Invoking Mozilla updater will load locally stored DLL files (деталі)
• MFSA 2015-13 Appended period to hostnames can bypass HPKP and HSTS protections (деталі)
• MFSA 2015-14 Malicious WebGL content crash when writing strings (деталі)
• MFSA 2015-15 TLS TURN and STUN connections silently fail to simple TCP connections (деталі)
• MFSA 2015-16 Use-after-free in IndexedDB (деталі)
• Buffer overflow in libstagefright during MP4 video playback (деталі)
• MFSA 2015-18 Double-free when using non-default memory allocators with a zero-length XHR (деталі)
• MFSA 2015-19 Out-of-bounds read and write while rendering SVG content (деталі)
• MFSA 2015-20 Buffer overflow during CSS restyling (деталі)
• MFSA 2015-21 Buffer underflow during MP3 playback (деталі)
• MFSA 2015-22 Crash using DrawTarget in Cairo graphics library (деталі)
• MFSA 2015-23 Use-after-free in Developer Console date with OpenType Sanitiser (деталі)
• MFSA 2015-24 Reading of local files through manipulation of form autocomplete (деталі)
• MFSA 2015-25 Local files or privileged URLs in pages can be opened into new tabs (деталі)
• MFSA 2015-26 UI Tour whitelisted sites in background tab can spoof foreground tabs (деталі)
• MFSA 2015-27 Caja Compiler JavaScript sandbox bypass (деталі)
• MFSA 2015-28 Privilege escalation through SVG navigation (деталі)
• MFSA 2015-29 Code execution through incorrect JavaScript bounds checking elimination (деталі)

Виявлена можливість DoS атаки проти Apache Xerces-C.

Уразливі версії: Apache Xerces-C 3.1.

Пошкодження пам’яті при розборі XML.

• Xerces-C Security Advisory [CVE-2015-0252] (деталі)