Websecurity - Веб безпека

Виявлені уразливості безпеки в Apache Tomcat.

Уразливі версії: Apache Tomcat 7.0.

Виконання коду, DoS.

• Remote Code Execution in Apache Tomcat (деталі)

Виявлені численні уразливості безпеки в Mozilla Firefox, Thunderbird, Seamonkey.

Уразливі продукти: Mozilla Firefox 31, Firefox ESR 24.7, Thunderbird 31, Thunderbird 24.7, Seamonkey 2.26.1.

Пошкодження пам’яті, доступ до локальних файлів.

• Michal Zalewski, Uninit memory disclosure via truncated images in Firefox (деталі)
• Mozilla Foundation Security Advisory 2014-67 (деталі)
• Mozilla Foundation Security Advisory 2014-68 (деталі)
• Mozilla Foundation Security Advisory 2014-69 (деталі)
• Mozilla Foundation Security Advisory 2014-70 (деталі)
• Mozilla Foundation Security Advisory 2014-71 (деталі)
• Mozilla Foundation Security Advisory 2014-72 (деталі)

Виявлена можливість підвищення привілеїв в Microsoft SharePoint Server.

Уразливі версії: Microsoft SharePoint Server 2013.

Виконання коду в контексті іншого користувача.

• Microsoft Security Bulletin MS14-050 - Important Vulnerability in Microsoft SharePoint Server Could Allow Elevation of Privilege (2977202) (деталі)

Виявлені уразливості безпеки в PHP.

Уразливі версії: PHP 5.5.

Переповнення буфера в fileinfo і php_parserr(), помилка нульового байта в GD.

• PHP vulnerabilities (деталі)

У вересні, 02.09.2014, вийшов Mozilla Firefox 32. Нова версія браузера вийшла через півтора місяці після виходу Firefox 31.

Mozilla офіційно випустила реліз веб-браузера Firefox 32, а також мобільну версію Firefox 32 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 33 намічений на 14 жовтня, а Firefox 34 на 25 листопада.

Також були випущені Seamonkey 2.29 і Thunderbird 31.1 та оновлені гілки із тривалим терміном підтримки Firefox 24.8.0 і Thunderbird 24.8.0.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 32.0 усунуто 6 уразливостей, серед яких 3 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 32 (деталі)

Виявлені численні уразливості безпеки в Microsoft SQL Server.

Уразливі версії: Microsoft SQL Server 2008, SQL Server 2012, SQL Server 2014.

XSS, вичерпання стека.

• Microsoft Security Bulletin MS14-044 - Important Vulnerabilities in SQL Server Could Allow Elevation of Privilege (2984340) (деталі)

У серпні місяці Microsoft випустила 9 патчів. Що більше ніж у липні.

У серпневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 9 бюлетенів по безпеці. Що закривають 26 уразливостей в програмних продуктах компанії. Два патчі закривають критичні уразливості та сім патчів закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows 2003, Vista, 2008, 7, 2008 R2, 8, 2012, RT, 8.1 та RT 8.1. А також Microsoft Office, Internet Explorer, SQL Server та SharePoint Server.

Виявлена можливість виконання коду в IPython.

Уразливі версії: IPython Notebook 0.12.

Не перевіряється джерело websocket’а в Notebook Server.

• Vulnerability in ipython (деталі)

Виявлена можливість проведення DoS атаки проти Python Imaging Library (PIL) та Pillow (форк PIL).

Уразливі продукти: Python Imaging Library 2.5, Pillow 2.5.

Відмова при декодуванні icns.

• python-imaging security update (деталі)

З 06.09.2011 по 01.11.2011, з 08.01.2012 по 10.03.2012, з 22.05.2013 по 29.12.2013 та з 16.01.2014 по 25.07.2014 відбувся одинадцятий масовий взлом сайтів на сервері Delta-X, після десятого взлому сайтів на сервері Delta-X. Нещодавно я вже розповідав про інші масові взломи.

Був взломаний новий сервер компанії Delta-X. Взлом складався з багатьох окремих дефейсів. 3 сайти були дефейснуті в 2011 році, 4 сайти в 2012 році, 9 сайтів в 2013 році та 43 сайти в 2014 році.

Всього було взломано 59 сайтів на сервері української компанії Delta-X (IP 91.206.200.119). Перелік сайтів можете подивитися на www.zone-h.org. Серед них український державний сайт www.ur.gov.ua (в 2014).

Враховуючи велику кількість окремих дефейсів по одному або декілька сайтів, всі вони явно були зроблені при взломах окремих сайтів.