Websecurity - Веб безпека

Виявлені уразливості безпеки в PHP.

Уразливі версії: PHP 5.5.

Переповнення буфера в fileinfo і php_parserr(), помилка нульового байта в GD.

• PHP vulnerabilities (деталі)

У вересні, 02.09.2014, вийшов Mozilla Firefox 32. Нова версія браузера вийшла через півтора місяці після виходу Firefox 31.

Mozilla офіційно випустила реліз веб-браузера Firefox 32, а також мобільну версію Firefox 32 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 33 намічений на 14 жовтня, а Firefox 34 на 25 листопада.

Також були випущені Seamonkey 2.29 і Thunderbird 31.1 та оновлені гілки із тривалим терміном підтримки Firefox 24.8.0 і Thunderbird 24.8.0.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 32.0 усунуто 6 уразливостей, серед яких 3 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 32 (деталі)

Виявлені численні уразливості безпеки в Microsoft SQL Server.

Уразливі версії: Microsoft SQL Server 2008, SQL Server 2012, SQL Server 2014.

XSS, вичерпання стека.

• Microsoft Security Bulletin MS14-044 - Important Vulnerabilities in SQL Server Could Allow Elevation of Privilege (2984340) (деталі)

У серпні місяці Microsoft випустила 9 патчів. Що більше ніж у липні.

У серпневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 9 бюлетенів по безпеці. Що закривають 26 уразливостей в програмних продуктах компанії. Два патчі закривають критичні уразливості та сім патчів закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows 2003, Vista, 2008, 7, 2008 R2, 8, 2012, RT, 8.1 та RT 8.1. А також Microsoft Office, Internet Explorer, SQL Server та SharePoint Server.

Виявлена можливість виконання коду в IPython.

Уразливі версії: IPython Notebook 0.12.

Не перевіряється джерело websocket’а в Notebook Server.

• Vulnerability in ipython (деталі)

Виявлена можливість проведення DoS атаки проти Python Imaging Library (PIL) та Pillow (форк PIL).

Уразливі продукти: Python Imaging Library 2.5, Pillow 2.5.

Відмова при декодуванні icns.

• python-imaging security update (деталі)

З 06.09.2011 по 01.11.2011, з 08.01.2012 по 10.03.2012, з 22.05.2013 по 29.12.2013 та з 16.01.2014 по 25.07.2014 відбувся одинадцятий масовий взлом сайтів на сервері Delta-X, після десятого взлому сайтів на сервері Delta-X. Нещодавно я вже розповідав про інші масові взломи.

Був взломаний новий сервер компанії Delta-X. Взлом складався з багатьох окремих дефейсів. 3 сайти були дефейснуті в 2011 році, 4 сайти в 2012 році, 9 сайтів в 2013 році та 43 сайти в 2014 році.

Всього було взломано 59 сайтів на сервері української компанії Delta-X (IP 91.206.200.119). Перелік сайтів можете подивитися на www.zone-h.org. Серед них український державний сайт www.ur.gov.ua (в 2014).

Враховуючи велику кількість окремих дефейсів по одному або декілька сайтів, всі вони явно були зроблені при взломах окремих сайтів.

20.08.2014

Виявлені численні уразливості безпеки в Apple Safari та Webkit.

Уразливі версії: Apple Safari 6.1, Safari 7.0.

Підміна URI, витік інформації, пошкодження пам’яті.

• APPLE-SA-2014-06-30-1 Safari 6.1.5 and Safari 7.0.5 (деталі)

27.08.2014

Додаткова інформація.

• APPLE-SA-2014-08-13-1 Safari 6.1.6 and Safari 7.0.6 (деталі)

20.02.2015

Додаткова інформація.

• WebKitGTK+ Security Advisory WSA-2015-0001 (деталі)

Виявлені численні уразливості безпеки в Apache Subversion.

Уразливі версії: Apache Subversion 1.8.

DoS, витік інформації, проблеми з валідацією сертифіката.

• Subversion vulnerabilities (деталі)

З 01.09.2012 по 02.12.2012, з 02.01.2013 по 27.12.2013 та з 09.01.2014 по 26.07.2014 відбувся десятий масовий взлом сайтів на сервері Delta-X, після дев’ятого взлому сайтів на сервері Delta-X. Нещодавно я вже розповідав про інші масові взломи.

Був взломаний новий сервер компанії Delta-X. Взлом складався з багатьох окремих дефейсів. 4 сайти були дефейснуті в 2012 році, 136 сайтів в 2013 році та 88 сайтів в 2014 році.

Всього було взломано 228 сайтів на сервері української компанії Delta-X (IP 91.206.200.43). Перелік сайтів можете подивитися на www.zone-h.org. Серед них українські державні сайти krp-grcz.gov.ua (в 2013) і sev.archives.gov.ua (в 2014).

Враховуючи велику кількість окремих дефейсів по одному або декілька сайтів, всі вони явно були зроблені при взломах окремих сайтів.