Websecurity - Веб безпека

Після виходу в серпні PHP 5.6, у жовтні, 02.10.2014, вийшов PHP 5.6.1. У якому виправлено декілька багів. Даний реліз направлений на покращення стабільності гілки 5.6.x.

Жодних уразливостей в цій версії PHP виправлено не було.

По матеріалам http://www.php.net.

У жовтні, 14.10.2014, вийшов Mozilla Firefox 33. Нова версія браузера вийшла через півтора місяці після виходу Firefox 32.

Mozilla офіційно випустила реліз веб-браузера Firefox 33, а також мобільну версію Firefox 33 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 34 намічений на 25 листопада, а Firefox 35 на 13 січня.

Також були випущені Seamonkey 2.30, а перед цим Firefox 32.0.3, та оновлені гілки із тривалим терміном підтримки Firefox 31.2 і Thunderbird 31.2.

Серед покращень безпеки додано новий бекенд CSP (Content Security Policy). Для захисту від XSS атак і включення в сторінки “iframe/javascript src” блоків.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 33.0 усунуто 9 уразливостей, серед яких 3 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 33 (деталі)

У вересні, 19.09.2014, вийшов Mozilla Firefox 32.0.2. Нова версія браузера вийшла через 6 днів після виходу Firefox 32.0.1.

Це коригувальний випуск в якому усунуто проблему, що приводить до краху при спробі виконати оновлення пошкодженої інсталяції Firefox.

У вересні, 25.09.2014, вийшли Mozilla Firefox 32.0.3 та Firefox ESR 24.8.1, 31.1.1, Thunderbird 24.8.1, 31.1.2 і SeaMonkey 2.29.1. А також вийшов Google Chrome 37.0.2062.124.

У нових випусках усунута небезпечна уразливість у бібліотеках, що поставляються в комплекті NSS, що допускає створення підроблених RSA-сертифікатів. Проблема також усунута у оновленнях NSS 3.16.2.1, NSS 3.16.5 і NSS 3.17.1.

Скориставшись даною уразливістю, нападник може сформувати фальсифікований RSA-сертифікат, що може бути застосований для виведення індикатора довіри при організації захищеного з’єднання з підробленим сайтом, закамуфльованим під інший сайт.

У вересні, 13.09.2014, вийшов Mozilla Firefox 32.0.1. Нова версія браузера вийшла через 11 днів після виходу Firefox 32.

Це коригувальний випуск в якому проведена робота над помилками, виявленими після публікації Firefox 32. Зокрема усунута серія проблем, що впливають на стабільність роботи і виявляються на комп’ютерах з декількома графічними картами. Також виправлені численні помилки і вирішена одна проблема в версії для платформи Android.

Хоча офіційно жодних дірок не виправлено (Mozilla типово применшила кількість уразливостей), я відношу проблему з вибиванням браузера на ПК з декількома графічними картами до уразливостей. Це DoS уразливість в браузері.

У серпні, 26.08.2014, через півтора місяці після виходу Google Chrome 36, вийшов Google Chrome 37.

В браузері зроблено багато нововведень. А також виправлено 50 уразливостей.

Сполученню двох уразливостей (CVE-2014-3176, CVE-2014-3177) привласнений статус критичної проблеми, що дозволяє обійти всі рівні захисту браузера і виконати код у системі, за межами sandbox-оточення. 25 уразливостям привласнений високий рівень небезпеки.

• Релиз web-браузера Chrome 37 с устранением 50 уязвимостей (деталі)

У серпні, 28.08.2014, вийшов PHP 5.6. Це перший випуск нової 5.6.x гілки.

У вересні, 18.09.2014, вийшли PHP 5.4.33 і PHP 5.5.17. У версії 5.4.33 виправлено 10 багів, а у версії 5.5.17 виправлено декілька багів. Дані релізи направлені на покращення стабільності гілок 5.4.x і 5.5.x.

Жодних уразливостей в цих версіях PHP виправлено не було.

По матеріалам http://www.php.net.

У серпні, 14, 21 і 22.08.2014, вийшли PHP 5.3.29, PHP 5.5.32 і PHP 5.4.16 відповідно. У версії 5.3.29 виправлено 25 уразливостей (зпортовані з PHP 5.4 та 5.5), у версії 5.5.31 виправлено 9 багів і 7 уразливостей, а у версії 5.4.15 виправлено декілька багів і 5 уразливостей.

PHP 5.3.29 - це остання версія гілки 5.3.x. Дані релізи направлені на покращення безпеки і стабільності гілок 5.3.x, 5.4.x і 5.5.x.

У PHP 5.4.32 і PHP 5.5.16 виправлено:

• Уразливості CVE-2014-3538, CVE-2014-3587, CVE-2014-2497, CVE-2014-5120, CVE-2014-3597.
• Уразливості CVE-2014-4670 і CVE-2014-4698 лише в версії 5.4.32.

По матеріалам http://www.php.net.

У вересні, 04.09.2014, вийшла нова версія WordPress 4.0.

WordPress 4.0 це перший випуск нової 4.0 серії. В ній додано чимало покращень порівняно з попередніми версіями движка, а також виправлено чимало багів.

Серед головних покращень зокрема можна відзначити покращене управління медіа файлами, більше зручний текстовий редактор, зручне включення “ембедів” - від відео з YouTube та інших сервісів, до музики, зображень і твітів. А також новий браузер плагінів та нова тема по замовчуванню

Окрім покращень для користувачів також було зроблено багато покращень для розробників.

У вересні, 02.09.2014, вийшов Mozilla Firefox 32. Нова версія браузера вийшла через півтора місяці після виходу Firefox 31.

Mozilla офіційно випустила реліз веб-браузера Firefox 32, а також мобільну версію Firefox 32 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 33 намічений на 14 жовтня, а Firefox 34 на 25 листопада.

Також були випущені Seamonkey 2.29 і Thunderbird 31.1 та оновлені гілки із тривалим терміном підтримки Firefox 24.8.0 і Thunderbird 24.8.0.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 32.0 усунуто 6 уразливостей, серед яких 3 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 32 (деталі)

У серпні, 06.08.2014, вийшла нова версія WordPress 3.9.2.

WordPress 3.9.2 це багфікс та секюріті випуск нової 3.9 серії. В якому розробники виправили декілька багів та 5 уразливостей. Серед виправлених уразливостей:

• виправлений Denial of Service уразливість в обробнику XML движка (XML Blowup Attack DoS).
• виправлений потенційний Code Execution при обробці віджеті (WordPress не вразливий по замовчування).
• виправлена Information Disclosure через XML entity атаки в GetID3 бібліотеці.
• доданий захист проти підбору CSRF токенів (можливість їх підбору була відома багато років, вже одно разу покращували алгоритм генерації токенів, але знову в WP поскаржилися на слабкість алгоритму і вони знову його покращили).
• виправлена Cross-Site Scripting уразливість в адмінці, що розробники назвали “additional security hardening”.

Також для гілок 3.7.x і 3.8.x були випущені версії 3.7.4 і 3.8.4 з виправленням цих уразливостей.