Websecurity - Веб безпека

У травні, 29.05.2014, вийшли PHP 5.5.13 і PHP 5.4.29. У версії 5.5.13 виправлено декілька багів і дві уразливості, а у версії 5.4.29 виправлено 14 багів і дві уразливості. Дані релізи направлені на покращення безпеки та стабільності гілок 5.4.x і 5.5.x.

У PHP 5.4.29 і PHP 5.5.13 виправлено:

• Уразливість CVE-2014-0237 в розширенні Fileinfo.
• Уразливість CVE-2014-0238 в розширенні Fileinfo.

По матеріалам http://www.php.net.

20.05.2014

Виявлені численні уразливості безпеки в Google Chrome та Chromium.

Уразливі продукти: Google Chrome 34.0, Chromium 34.0.

Обхід захисту, використання пам’яті після звільнення, пошкодження пам’яті, цілочисленні переповнення.

• chromium-browser security update (деталі)

18.06.2014

Додаткова інформація.

• chromium-browser security update (деталі)
• chromium-browser security update (деталі)

Виявлені уразливості безпеки в PHP.

Уразливі версії: PHP 5.5.

Проблеми символьних лінків, переповнення буфера в dns_get_record().

• PHP configure script and Lynis tool /tmp/ issues reported on full disclosure (деталі)
• Re: PHP configure script and Lynis tool /tmp/ issues reported on full disclosure (деталі)
• PHP heap-based buffer overflow in DNS TXT record parsing (деталі)

В травні було багато інцидентів безпеки в Уанеті, як то взломи та інфікування сайтів і DDoS атаки, про які я пишу щотижня, а також були DDoS атаки та взломи політичного характеру, про які я написав в окремій публікації. Вони були пов’язані з проведенням президентських і місцевих виборів в Україні.

Окрім раніше згаданих інцидентів також виділю DDoS атаки на офіційні сайти ДНР і ЛНР - самопроголошених Донецької і Луганської республік, які ГПУ визнала терористичними організаціями. Цього місяця на дані сайти були проведені DDoS атаки.

DDoS на lugansk-online.info - 20.05.2014
DDoS на donetsk-gov.su - 28-31.05.2014

У середу я провів DDoS атаку на сайт ДНР, після чого інші активісти DDoSили його декілька днів - всі ці дні сайт працював повільно. А вже 31.05.2014 хостер закрив donetsk-gov.su, явно через постійні DDoS атаки на сайт.

Таким чином українські хакери висловили протест проти цих незаконних організацій на їх сайтах. Один з яких припинив роботу.

Виявлені численні уразливості безпеки в Apache Tomcat.

Уразливі версії: Apache Tomcat 6.0, Tomcat 7.0, Tomcat 8.0.

Витоки інформації, DoS.

• CVE-2014-0119 Apache Tomcat information disclosure (деталі)
• CVE-2014-0097 Apache Tomcat information disclosure (деталі)
• CVE-2014-0096 Apache Tomcat information disclosure (деталі)
• CVE-2014-0095 Apache Tomcat denial of service (деталі)
• CVE-2014-0075 Apache Tomcat denial of service (деталі)

Виявлені уразливості безпеки в Apache mod-wsgi.

Уразливі версії: Apache mod_wsgi 4.5.

Підвищення привілеїв, витік інформації.

• mod-wsgi security update (деталі)

Раніше я писав про квітневі DDoS атаки в Україні, а зараз розповім про ситуацію в травні.

В зв’язку з сепаратистськими і терористичними акціями на сході України, а особливо в зв’язку з президентськими і місцевими виборами, в цьому місяці хакерська активність збільшилася. Відбулися наступні DDoS атаки та взломи в Інтернеті.

Проросійськими та іноземними хакерами були атаковані наступні сайти:

espreso.tv - 04.05.2014 - взломали за об’єктивне висвітлення інформації
Взлом FB-аккаунта Володимира Бондаренко - 20.05.2014
www.orto.com.ua - 24.05.2014 - взломали і розмістили рекламу Порошенко
www.mediaport.ua - 24.05.2014 - взломали і розмістили рекламу Порошенко
avakov.com - 24.05.2014 - взломали сайт Авакова і розмістили дезінформацію
DDoS атака на дзеркало сайта cvk.gov.ua - 25.05.2014

Іноземними хакерами були проведені неполітичні взломи державний сайтів:

kremjust.gov.ua - 16.02.2014
www.dabksumy.gov.ua - 25.05.2014
uns.adm-pl.gov.ua - 27.05.2014
www.grad.gov.ua - 27.05.2014
www.zakarpatlis.gov.ua - 27.05.2014
www.fabrika.gov.ua - 27.05.2014 - це вже другий взлом в цьому році
ivankiv-rda-rada.gov.ua - 27.05.2014

Проукраїнськими хакерами були атаковані наступні сайти:

DDoS на www.rada.crimea.ua - 01-31.05.2014 (сайт працював з перервами)
DDoS на www.crimea-portal.gov.ua - 01-31.05.2014
DDoS на www-ki.rada.crimea.ua - 01-31.05.2014 (сайт працював з перервами)
DDoS на сайти ДНР і ЛНР (lugansk-online.info, donetsk-gov.su)

Проукраїнськими хакерами були взломані наступні сайти:

ptn.nr2.ru - 17.05.2014

У травні, 20.05.2014, через півтора місяці після виходу Google Chrome 34, вийшов Google Chrome 35.

В браузері зроблено декілька нововведень. А також виправлено 23 уразливості. Зокрема 3 патчі виправляють небезпечні та 3 патчі виправляють помірні уразливості.

Декілька уразливостей виявлені співробітниками Google у процесі внутрішнього аудиту кодової бази.

• Выпуск web-браузера Chrome 35, перешедшего на графический стек Aura в Linux (деталі)

У травні місяці Microsoft випустила 8 патчів. Що значно більше ніж у квітні.

У травневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 8 бюлетенів по безпеці. Що закривають численні уразливості в програмних продуктах компанії. Два патчі закривають критичні уразливості та шість патчів закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows 2003, Vista, 2008, 7, 2008 R2, 8, 2012, RT, 8.1 та RT 8.1. А також Microsoft Office, Internet Explorer, SharePoint Server та Office Web Apps. Незважаючи на припинення підтримки Windows XP, компанія все ж таки випустила один патч для критичної уразливості в IE для цієї ОС.

22.02.2014

Виявлені численні уразливості безпеки в продуктах Oracle, Sun, MySQL і PeopleSoft.

Уразливі продукти: Oracle 11g, Oracle 12c, MySQL 5.1, 5.5 і 5.6, JDK 7, JRE 7, OpenJDK 7, Solaris 11.1, PeopleSoft Enterprise HRMS 9.2, JRockit 28.2, GlassFish Server 2.1, Oracle HTTP Server 12c, Oracle Portal 11.1, iPlanet Web Server 7.0 та інші продукти Oracle.

144 уразливості у різних додатках виправлено в щоквартальному оновленні.

• Oracle Critical Patch Update Advisory - January 2014 (деталі)
• Security vulnerabilities in Oracle Java Cloud Service (деталі)
• Information on recently-fixed Oracle VM VirtualBox vulnerabilities (деталі)

28.05.2014

Додаткова інформація.

• SQL Injection in Oracle Demantra (деталі)
• Database Credentials Leak in Oracle Demantra (деталі)
• Authentication Bypass in Oracle Demantra (деталі)