Websecurity - Веб безпека

Виявлені численні уразливості безпеки в Microsoft Office, а також в серверних продуктах Office Web Apps і SharePoint Server.

Уразливі продукти: Microsoft Office Web Apps 2010, Word Automation Services in SharePoint Server 2010.

Виконання коду, використання пам’яті після звільнення.

• Microsoft Security Bulletin MS15-012 - Important Vulnerabilities in Microsoft Office Could Allow Remote Code Execution (3032328) (деталі)
• Microsoft Security Bulletin MS15-013 - Important Vulnerability in Microsoft Office Could Allow Security Feature Bypass (3033857) (деталі)

У лютому, 24.02.2015, вийшов Mozilla Firefox 36. Нова версія браузера вийшла через півтора місяці після виходу Firefox 35.

Mozilla офіційно випустила реліз веб-браузера Firefox 36, а також мобільну версію Firefox 36 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 37 намічений на 31 березня, а Firefox 38 на 12 травня.

Також були випущені Seamonkey 2.33 та оновлені гілки із тривалим терміном підтримки Firefox 31.5 і Thunderbird 31.5.

В цій версії додана підтримка протоколу HTTP/2.0. Серед покращень безпеки відбувся перехід до другої фази припинення підтримки сертифікатів на основі 1024-розрядних ключів RSA та був визнаний небезпечним шифр RC4.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 36.0 усунуто 17 уразливостей, серед яких 3 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 36 с поддержкой HTTP/2.0 (деталі)

Виявлені численні уразливості безпеки в PostgreSQL.

Уразливі версії: PostgreSQL 9.1.

Пошкодження пам’яті, витік інформації, ін’єкція SQL.

• postgresql-9.1 security update (деталі)

У листопаді, 18.11.2014, через півтора місяці після виходу Google Chrome 38, вийшов Google Chrome 39.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Також зроблено наступні покращення безпеки: втілений у життя перший етап плану по припиненню довіри до сертифікатів, підписаним із застосуванням SHA-1; внесені зміни, спрямовані на блокування атак, що приводять до відкоту на використання протоколу SSLv3, що містить фундаментальні уразливості; припинена підтримка NPAPI-плагінів для 32-розрядних версій Windows (в Linux це було зроблено раніше).

Виправлені 42 уразливості, з яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer і MemorySanitizer.

• Релиз web-браузера Chrome 39 (деталі)

Виявлена Request Smuggling уразливість в Apache Tomacat.

Уразливі версії: Apache Tomcat 8.0.

Підміна запиту при обробці chunked encoding.

• Apache Tomcat Request Smuggling (деталі)

18.02.2015

Виявлені численні уразливості безпеки в PHP.

Уразливі версії: PHP 5.6.

DoS в exif_process_unicode(), виконання коду в var_unserializer.re, розкриття інформації.

• Vulnerabilities in PHP (деталі)

21.02.2015

Додаткова інформація.

• PHP vulnerabilities (деталі)

Виявлені численні уразливості безпеки в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 6, 7, 8, 9, 10, 11 під Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7, Windows 8, Windows 2012 Server, Windows 8.1.

Численні пошкодження пам’яті та міжсайтовий скриптінг.

• Microsoft Security Bulletin MS15-009 - Critical Security Update for Internet Explorer (3034682) (деталі)
• Cookie hijacking: Internet Explorer UXSS (деталі)
• Major Internet Explorer Vulnerability - NOT Patched (деталі)

Виявлені численні уразливості безпеки в Google Chrome і Chromium.

Уразливі продукти: Google Chrome 39, Chromium 39.0.

Численні уразливості при розборі HTML і різних форматів.

• Chromium and Oxide vulnerabilities (деталі)

У січні місяці Microsoft випустила 8 патчів. Що більше ніж у грудні.

У січневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 8 бюлетенів по безпеці. Що закривають численні уразливості в програмних продуктах компанії. Один патч закриває критичні уразливості та сім патчів закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows 2003, Vista, 2008, 7, 2008 R2, 8, 2012, RT, 8.1 та RT 8.1. А також Microsoft Network Policy Server, Internet Explorer (повторний випуск грудневих патчів і патчу для Adobe Flash Player в IE від 2012 року) та Windows TS WebProxy.

Виявлене виконання коду в Microsoft Office, а також в серверних продуктах Office Web Apps і SharePoint Server.

Уразливі продукти: Microsoft Office Web Apps 2010 SP2, 2013 Gold, SP1, Word Automation Services on SharePoint Server 2010 SP2, 2013 Gold, SP1.

Виконання коду при розборі формату Word.

• Microsoft Security Bulletin MS14-081 - Critical Vulnerabilities in Microsoft Word and Microsoft Office Web Apps Could Allow Remote Code Execution (3017301) (деталі)