Websecurity - Веб безпека

У березні, 07.03.2018, через півтора місяці після виходу Google Chrome 64, вийшов Google Chrome 65.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Виправлено 45 уразливостей. З яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer і AFL. Що менше ніж в попередній версії.

• Релиз web-браузера Chrome 65 (деталі)

У березні, 16.03.2018, вийшов Mozilla Firefox 59.0.1. Нова версія браузера вийшла через три дні після виходу Firefox 59.

Це секюріті випуск в якому виправлені уразливості CVE-2018-5146: Out of bounds memory write in libvorbis та CVE-2018-5147: Out of bounds memory write in libtremor.

• MFSA 2018-08 Out of bounds memory write while processing Vorbis audio data (деталі)

У березні, 29.03.2018, вийшли PHP 7.0.29, PHP 7.1.16 і PHP 7.2.4. У версії 7.1.16 виправлена одна уразливість, у версії 7.1.16 виправлено багато багів і уразливостей, у версії 7.2.4 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.0.x, 7.1.x і 7.2.x.

У PHP 7.0.29, 7.1.16 і 7.2.4 виправлено:

• Обхід обмежень.
• Пошкодження пам’яті.
• Уразливості в ядрі та модулях.

По матеріалам http://www.php.net.

У березні, 13.03.2018, вийшов Mozilla Firefox 59. Нова версія браузера вийшла через два місяці після виходу Firefox 58.

Mozilla офіційно випустила реліз веб-браузера Firefox 59, а також мобільну версію Firefox 59 для платформи Android. Відповідно до шеститижневого циклу розробки, Firefox 60 вийде 9 травня.

Також була оновлена гілка із тривалим терміном підтримки Firefox 52.7.

В браузері було зроблено багато нововведень. Та зроблені покращення безпеки, зокрема припинена підтримка відкриття в основній сторінці URL “data:” для захисту від фішингу, в тому числі лінки та редиректи на data:, в приватному режимі при звернені до зовнішнього ресурсу в заголовку Referer тепер передається лише ім’я хоста, більше не виводиться діалог HTTP-аутентифікації при завантаженні зображень з зовнішніх ресурсів.

Нарешті вони виправили уразливість в браузері, про яку я повідомив Mozilla в березні 2011 року. Це уразливість, що стосується різних браузерів (Bug 647010 - Only present HTTP authentication dialogs if it is the top-level document initiating the auth). Вони спочатку виправили її в Firefox 40, але потім відмінили виправлення через те, що воно змінювало роботу багатьох старих сайтів, адміни яких звикли до такої поведінки браузера. І ось вони знову вирішили виправити дірку - але лише частково, бо заборонили виведення діалогу аутентифікації лише для зображень, але не інших ресурсів. При цьому, як і минулого разу, вони не зробили адвізорі для неї, тому насправді в цій версії Firefox має бути 19 Security Advisory.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 59.0 усунуто 18 уразливостей + моя дірка, що менше ніж в попередній версії. Серед яких дві позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч). Зокрема в цих двох критичних патчах виправлена 21 уразливість.

• Релиз Firefox 59 (деталі)

У січні, 25.01.2018, через півтора місяці після виходу Google Chrome 63, вийшов Google Chrome 64.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Виправлено 53 уразливостей. З яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer, MemorySanitizer, Control Flow Integrity і LibFuzzer. Що значно більше ніж в попередній версії.

• Выпуск web-браузера Chrome 64 (деталі)

У березні, 01.03.2018, вийшли PHP 7.1.15 і PHP 7.2.3. У версії 7.1.15 виправлено багато багів і уразливостей, у версії 7.2.3 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.1.x і 7.2.x.

У PHP 7.1.15 і 7.2.3 виправлено:

• Пошкодження пам’яті.
• Численні вибивання в різних функціях (DoS).
• Уразливості в ядрі та модулях.

По матеріалам http://www.php.net.

У січні, 29.01.2018, вийшов Mozilla Firefox 58.0.1. Нова версія браузера вийшла через тиждень після виходу Firefox 58.

Це секюріті випуск в якому виправлена уразливість CVE-2018-5124: Sanitize HTML fragments created for chrome-privileged documents.

• MFSA 2018-05 Arbitrary code execution through unsanitized browser UI (деталі)

В січні, 16.01.2018, вийшла нова версія WordPress 4.9.2.

WordPress 4.9.2 це багфікс та секюріті випуск нової 4.9 серії. В якому розробники виправили 21 баг та 1 уразливість. Була виправлена XSS уразливість в Flash fallback файлах в MediaElement.

Також в цій версії зробили звичайні виправлення в движку.

У грудні, 07.12.2017, вийшов Mozilla Firefox 57.0.2. Нова версія браузера вийшла більше ніж через пів місяця після виходу Firefox 57.

Це секюріті випуск в якому виправлена уразливість CVE-2017-7845: Buffer overflow when drawing and validating elements with ANGLE library using Direct 3D 9. Після цього в грудні вийшла версія Firefox 57.0.3 з виправленням багів.

У січні, 04.01.2018, вийшов Mozilla Firefox 57.0.4. Це секюріті випуск в якому виправлена уразливість, що стосується сучасних процесорів Speculative execution side-channel attack - ця атака отримала назву “Spectre”. Вона також була виправлена в Firefox 52 ESR.

• MFSA 2017-29 Security vulnerabilities fixed in Firefox 57.0.2 (деталі)
• MFSA 2018-01 Speculative execution side-channel attack (”Spectre”) (деталі)

Торік, 29.11.2017, вийшла нова версія WordPress 4.9.1.

WordPress 4.9.1 це багфікс та секюріті випуск нової 4.9 серії. В якому розробники виправили 11 багів та 4 уразливості. Це покращення в CMS, що мають захистити від багатовекторної атаки. Зроблені ескейпінги в декількох функціоналах проти потенційних XSS, для ключа newbloguser зроблене генерування повноцінного хешу та прибрана можливість завантаження JavaScript файлів для непривілейованих користувачів системи.

Також в цій версії зробили звичайні виправлення в движку.