Websecurity - Веб безпека

Зробив на GitHub репозитарій для DAVOSET.

У жовтні, 23.10.2014, вийшла нова версія програми DAVOSET v.1.2.1. В новій версії:

• Додав підтримку атак через WordPress (базуючись на підтримці XML у версії 1.1.2).
• Додав нові сервіси в обидва списки зомбі.
• Прибрав неробочі сервіси зі списків зомбі.

Всього в списку міститься 175 зомбі-сервісів, які готові нанести удар проти диктатури. Додав 3 та прибрав 18 зомбі-сервісів. Значно зменшив кількість уразливих сайтів, тому що в літку адміни почали більше виправляти дірки на своїх сайтах.

DDoS attacks via other sites execution tool (DAVOSET) - це інструмент для використання Abuse of Functionality та XML External Entities уразливостей на одних сайтах, для проведення DoS і DDoS атак на інші сайти.

Скачати: DAVOSET_v.1.2.1.rar.

У жовтні, 16.10.2014, вийшли PHP 5.4.34, PHP 5.5.18 і PHP 5.6.2. У версії 5.5.34 виправлено 6 уразливостей, у версії 5.4.18 виправлено декілька багів і 4 уразливості, а у версії 5.6.2 виправлено 4 уразливості.

Дані релізи направлені на покращення безпеки і стабільності гілок 5.4.x, 5.5.x і 5.6.x.

У PHP 5.4.34, 5.5.18 і 5.6.2 виправлено:

• Уразливості CVE-2014-3668, CVE-2014-3669 і CVE-2014-3670.
• Null byte injection уразливість в libcURL.
• Виправлення для OpenSSL, додане в попередніх версіях, що приводило до регресії, повернуто в попередній стан у версіях 5.4.34 і 5.5.18.

По матеріалам http://www.php.net.

Після виходу в серпні PHP 5.6, у жовтні, 02.10.2014, вийшов PHP 5.6.1. У якому виправлено декілька багів. Даний реліз направлений на покращення стабільності гілки 5.6.x.

Жодних уразливостей в цій версії PHP виправлено не було.

По матеріалам http://www.php.net.

У жовтні, 14.10.2014, вийшов Mozilla Firefox 33. Нова версія браузера вийшла через півтора місяці після виходу Firefox 32.

Mozilla офіційно випустила реліз веб-браузера Firefox 33, а також мобільну версію Firefox 33 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 34 намічений на 25 листопада, а Firefox 35 на 13 січня.

Також були випущені Seamonkey 2.30, а перед цим Firefox 32.0.3, та оновлені гілки із тривалим терміном підтримки Firefox 31.2 і Thunderbird 31.2.

Серед покращень безпеки додано новий бекенд CSP (Content Security Policy). Для захисту від XSS атак і включення в сторінки “iframe/javascript src” блоків.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 33.0 усунуто 9 уразливостей, серед яких 3 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 33 (деталі)

У вересні, 19.09.2014, вийшов Mozilla Firefox 32.0.2. Нова версія браузера вийшла через 6 днів після виходу Firefox 32.0.1.

Це коригувальний випуск в якому усунуто проблему, що приводить до краху при спробі виконати оновлення пошкодженої інсталяції Firefox.

У вересні, 25.09.2014, вийшли Mozilla Firefox 32.0.3 та Firefox ESR 24.8.1, 31.1.1, Thunderbird 24.8.1, 31.1.2 і SeaMonkey 2.29.1. А також вийшов Google Chrome 37.0.2062.124.

У нових випусках усунута небезпечна уразливість у бібліотеках, що поставляються в комплекті NSS, що допускає створення підроблених RSA-сертифікатів. Проблема також усунута у оновленнях NSS 3.16.2.1, NSS 3.16.5 і NSS 3.17.1.

Скориставшись даною уразливістю, нападник може сформувати фальсифікований RSA-сертифікат, що може бути застосований для виведення індикатора довіри при організації захищеного з’єднання з підробленим сайтом, закамуфльованим під інший сайт.

У вересні, 13.09.2014, вийшов Mozilla Firefox 32.0.1. Нова версія браузера вийшла через 11 днів після виходу Firefox 32.

Це коригувальний випуск в якому проведена робота над помилками, виявленими після публікації Firefox 32. Зокрема усунута серія проблем, що впливають на стабільність роботи і виявляються на комп’ютерах з декількома графічними картами. Також виправлені численні помилки і вирішена одна проблема в версії для платформи Android.

Хоча офіційно жодних дірок не виправлено (Mozilla типово применшила кількість уразливостей), я відношу проблему з вибиванням браузера на ПК з декількома графічними картами до уразливостей. Це DoS уразливість в браузері.

У серпні, 26.08.2014, через півтора місяці після виходу Google Chrome 36, вийшов Google Chrome 37.

В браузері зроблено багато нововведень. А також виправлено 50 уразливостей.

Сполученню двох уразливостей (CVE-2014-3176, CVE-2014-3177) привласнений статус критичної проблеми, що дозволяє обійти всі рівні захисту браузера і виконати код у системі, за межами sandbox-оточення. 25 уразливостям привласнений високий рівень небезпеки.

• Релиз web-браузера Chrome 37 с устранением 50 уязвимостей (деталі)

У серпні, 28.08.2014, вийшов PHP 5.6. Це перший випуск нової 5.6.x гілки.

У вересні, 18.09.2014, вийшли PHP 5.4.33 і PHP 5.5.17. У версії 5.4.33 виправлено 10 багів, а у версії 5.5.17 виправлено декілька багів. Дані релізи направлені на покращення стабільності гілок 5.4.x і 5.5.x.

Жодних уразливостей в цих версіях PHP виправлено не було.

По матеріалам http://www.php.net.

У серпні, 14, 21 і 22.08.2014, вийшли PHP 5.3.29, PHP 5.5.32 і PHP 5.4.16 відповідно. У версії 5.3.29 виправлено 25 уразливостей (зпортовані з PHP 5.4 та 5.5), у версії 5.5.31 виправлено 9 багів і 7 уразливостей, а у версії 5.4.15 виправлено декілька багів і 5 уразливостей.

PHP 5.3.29 - це остання версія гілки 5.3.x. Дані релізи направлені на покращення безпеки і стабільності гілок 5.3.x, 5.4.x і 5.5.x.

У PHP 5.4.32 і PHP 5.5.16 виправлено:

• Уразливості CVE-2014-3538, CVE-2014-3587, CVE-2014-2497, CVE-2014-5120, CVE-2014-3597.
• Уразливості CVE-2014-4670 і CVE-2014-4698 лише в версії 5.4.32.

По матеріалам http://www.php.net.

У вересні, 04.09.2014, вийшла нова версія WordPress 4.0.

WordPress 4.0 це перший випуск нової 4.0 серії. В ній додано чимало покращень порівняно з попередніми версіями движка, а також виправлено чимало багів.

Серед головних покращень зокрема можна відзначити покращене управління медіа файлами, більше зручний текстовий редактор, зручне включення “ембедів” - від відео з YouTube та інших сервісів, до музики, зображень і твітів. А також новий браузер плагінів та нова тема по замовчуванню

Окрім покращень для користувачів також було зроблено багато покращень для розробників.