Websecurity - Веб безпека

У січні, 21.01.2015, через два місяці після виходу Google Chrome 39, вийшов Google Chrome 40.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Також зроблено наступні покращення безпеки: додана можливість блокування профілю в браузері для запобігання доступу сторонніх до облікового запису (коли це потрібно) та додана підтримка нових директив, представлених у другій версії специфікації Content Security Policy (CSP).

Виправлені 62 уразливості, з яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer і MemorySanitizer. Що значно більше ніж в попередній версії.

• Релиз web-браузера Chrome 40 (деталі)

У січні, 22.01.2015, вийшли PHP 5.4.37, PHP 5.5.21 і PHP 5.6.5. У версії 5.4.37 виправлено 6 уразливостей, у версіях 5.5.21 і 5.6.5 виправлено декілька багів і 8 уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 5.4.x, 5.5.x і 5.6.x.

У PHP 5.4.37, 5.5.21 і 5.6.5 виправлено:

• Use after free уразливість в unserialize().
• Читання out of bounds призводило до вибивання php-cgi.
• Уразливість при роботі з EXIF.
• Дві уразливості в розширені Fileinfo.
• Обхід перевірки сертифікатів в розширені OpenSSL.
• Explicit double free уразливість (в PHP 5.5.21 і 5.6.5).
• Вибивання при некоректних HTTP запитах (в PHP 5.5.21 і 5.6.5).
• Buffer overflow уразливість розширені GD (в PHP 5.5.21 і 5.6.5).
• Також оновлена бібліотека crypt_blowfish до версії 1.3 (в PHP 5.5.21 і 5.6.5).

По матеріалам http://www.php.net.

У лютому, 18.02.2015, вийшла нова версія WordPress 4.1.1.

WordPress 4.1.1 це багфікс випуск нової 4.1 серії. В якому розробники виправили 21 баг.

Офіційно жодних уразливостей не виправлено, лише баги. Але треба враховувати, що розробники WP полюбляють виправляти дірки приховано. Лише в 2013 році я виявив десятки приховано виправлених уразливостей в WP, про що я писав раніше.

У лютому, 24.02.2015, вийшов Mozilla Firefox 36. Нова версія браузера вийшла через півтора місяці після виходу Firefox 35.

Mozilla офіційно випустила реліз веб-браузера Firefox 36, а також мобільну версію Firefox 36 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 37 намічений на 31 березня, а Firefox 38 на 12 травня.

Також були випущені Seamonkey 2.33 та оновлені гілки із тривалим терміном підтримки Firefox 31.5 і Thunderbird 31.5.

В цій версії додана підтримка протоколу HTTP/2.0. Серед покращень безпеки відбувся перехід до другої фази припинення підтримки сертифікатів на основі 1024-розрядних ключів RSA та був визнаний небезпечним шифр RC4.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 36.0 усунуто 17 уразливостей, серед яких 3 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 36 с поддержкой HTTP/2.0 (деталі)

У листопаді, 18.11.2014, через півтора місяці після виходу Google Chrome 38, вийшов Google Chrome 39.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Також зроблено наступні покращення безпеки: втілений у життя перший етап плану по припиненню довіри до сертифікатів, підписаним із застосуванням SHA-1; внесені зміни, спрямовані на блокування атак, що приводять до відкоту на використання протоколу SSLv3, що містить фундаментальні уразливості; припинена підтримка NPAPI-плагінів для 32-розрядних версій Windows (в Linux це було зроблено раніше).

Виправлені 42 уразливості, з яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer і MemorySanitizer.

• Релиз web-браузера Chrome 39 (деталі)

У грудні, 01.12.2014, вийшов Mozilla Firefox 34.0.5. Нова версія браузера вийшла в той же день після виходу Firefox 34. За півтора місяці до виходу Firefox 35.

Ця версії доступна лише для користувачів в Північній Америці, в усіх інших країнах оновлення відбувається до версії 34.0.

В Firefox 34.0.5 по замовчуванню використовується пошукова система Yahoo замість Google. У січні вийшов Firefox 35.

У січні, 13.01.2015, вийшов Mozilla Firefox 35. Нова версія браузера вийшла через півтора місяці після виходу Firefox 34.

Mozilla офіційно випустила реліз веб-браузера Firefox 35, а також мобільну версію Firefox 35 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 36 намічений на 24 лютого, а Firefox 37 на 7 квітня.

Також були випущені Seamonkey 2.32 та оновлені гілки із тривалим терміном підтримки Firefox 31.4 і Thunderbird 31.4.

Серед покращень безпеки реалізовано HTTP-розширення для механізму прив’язки відкритих ключів (Public Key Pinning), що дозволяє явно визначити сертифікати яких центрів, що засвідчують, можливо використовувати для заданого сайта.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 35.0 усунуто 9 уразливостей, серед яких 3 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 35 (деталі)

У грудні, 18.12.2014, вийшли PHP 5.4.36, PHP 5.5.20 і PHP 5.6.4. У версії 5.4.36 виправлено 2 уразливості, у версіях 5.5.20 і 5.6.4 виправлено декілька багів і 1 уразливість.

Дані релізи направлені на покращення безпеки і стабільності гілок 5.4.x, 5.5.x і 5.6.x.

У PHP 5.4.36, 5.5.20 і 5.6.4 виправлено:

• Уразливість NULL pointer dereference в unserialize().
• Уразливість Use after free в unserialize().
• Також оновлена бібліотека crypt_blowfish до версії 1.3 (в PHP 5.4.36).

По матеріалам http://www.php.net.

У жовтні, 24.10.2014, вийшов Mozilla Firefox 33.0.1. Нова версія браузера вийшла через 10 днів після виходу Firefox 33.

Це коригувальний випуск в якому усунуто проблему, коли показувалася пуста сторінка при запуску браузера з деякими графічними драйверами.

У жовтні, 28.10.2014, вийшов Mozilla Firefox 33.0.2.

Це коригувальний випуск в якому усунуто проблему, що приводить до краху при запуску браузера з деяким обладнанням і драйверами.

У грудні, 18.12.2014, вийшла нова версія WordPress 4.1.

WordPress 4.1 це перший випуск нової 4.1 серії. В ній додано чимало покращень порівняно з попередніми версіями движка, а також виправлено чимало багів.

Серед головних покращень зокрема можна відзначити нову тему по замовчуванню, покращене візуальне редагування, що не відволікає, підтримка багатьох локалізацій і зміна мови в налаштуваннях сайту, в адмінці можна зробити повний логаут (щоб вихід був зроблений для всіх пристроїв, з яких заходили в акаунт), підтримка включення відео з Vine та рекомендації плагінів в інсталяторі плагінів.

Окрім покращень для користувачів також було зроблено багато покращень для розробників.