Websecurity - Веб безпека

Нещодавно, 14 листопада, вийшли PHP 5.4.22 і PHP 5.5.6. У версії 5.5.6 виправлено декілька багів та покращена швидкодія, а у версії 5.4.22 виправлено біля 10 багів. Дані релізи направлені на покращення стабільності гілок 5.4.x і 5.5.x.

Жодних уразливостей в цих версіях PHP виправлено не було.

По матеріалам http://www.php.net.

У жовтні, 29.10.2013, вийшла нова версія WordPress 3.7.1.

WordPress 3.7.1 це багфікс випуск нової 3.7 серії. В якому розробники виправили 11 багів.

Офіційно жодних уразливостей не виправлено, лише баги. Але насправді було виправлено декілька уразливостей, що розробники зробили приховано, як це вони зазвичай і роблять. Лише в цьому році я виявив десятки приховано виправлених уразливостей в WP, про що я писав раніше.

Це Full path disclosure уразливості (причому в повідомленнях усіх трьох типів, що є в PHP: fatal error, warning і notice). Розробники WP в більшості випадків не згадують про FPD в переліку виправлених уразливостей, таким чином занижуючи реальну кількість виправлених дірок.

В жовтні, 24.10.2013, вийшла нова версія WordPress 3.7.

WordPress 3.7 це перший випуск нової 3.7 серії. В ній додано чимало покращень порівняно з попередніми версіями движка, а також виправлено чимало багів.

Серед головних покращень зокрема можна відзначити автоматичні оновлення, рекомендації сильних паролів та кращу глобальну підтримку (що виражена в більш швидкій і більш повній розробці перекладів WP на різні мови).

Окрім покращень для користувачів також були зроблені численні покращення для розробників. Деякі з покращень стосуються безпеки.

Зокрема автоматичний апдейт передбачає відсутність потреби користувачу ініціювати оновлення движка - цей процес повністю автоматизований. З однієї сторони це дозволить встановлювати на сайти з WP виправлення безпеки автоматично, а з іншої сторони, якщо взломають сервера WordPress (що вже декілька разів мало місце), то в код движка можна буде включити бекдор чи шкідливий код і він буде поширений на всіх нових версіях WP автоматизованим чином. А новий індикатор стійкості паролів більш точно оцінює їх надійність (враховуючи різні поширені приклади паролів).

У жовтні, 29.10.2013, вийшов Mozilla Firefox 25. Нова версія браузера вийшла через півтора місяця після виходу Firefox 24.

Mozilla офіційно випустила реліз веб-браузера Firefox 25, а також мобільну версію Firefox 25 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 26 намічений на 10 грудня, а Firefox 27 на 21 січня.

Також був випущений Seamonkey 2.22 та оновлені гілки із тривалим терміном підтримки Firefox 24.1.0 і Thunderbird 24.1.0. А також минулих ESR-гілок Firefox 17 і Thunderbird 17, що будуть оновлятися до моменту виходу Firefox 24.2.0, запланованого на 10 грудня.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 25.0 усунуто 10 уразливостей, серед яких 5 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 25 (деталі)

Нещодавно, 16 і 17 жовтня, вийшли PHP 5.4.21 і PHP 5.5.5. У версії 5.5.5 виправлено біля 20 багів, а у версії 5.4.21 виправлено біля 10 багів. Дані релізи направлені на покращення стабільності гілок 5.4.x і 5.5.x.

Жодних уразливостей в цих версіях PHP виправлено не було.

По матеріалам http://www.php.net.

У жовтні, 01.10.2013, через півтора місяці після виходу Google Chrome 29, вийшов Google Chrome 30.

В браузері зроблено декілька нововведень та виправлені помилки. А також виправлено 19 уразливостей, 10 з яких позначені як небезпечні, а 6 як помірні. Загальна кількість дірок менша, зате кількість небезпечних дірок більша ніж у попередній версії браузера. А з врахуванням уразливостей знайдених під час внутрішнього аудиту, то це рекорд серед усіх релізів.

Уразливості, що мають статус небезпечних, пов’язані зі звертанням до вже звільненої області пам’яті в коді DOM, рендеринга inline-блоків, завантаження ресурсів, розбору XSLT і XML, реалізації PPAPI, діалозі вибору кольору на платформі Windows. Також усунуте пошкодження пам’яті в движку V8 і можливість підміни вмісту адресного рядка. Окремо згадується виправлення ще 27 уразливостей, виявлених у результаті внутрішнього аудиту, 17 з яких позначені як небезпечні.

• Выпуск web-браузера Chrome 30 (деталі)

У вересні, 17.09.2013, вийшов Mozilla Firefox 24. Нова версія браузера вийшла через півтора місяця після виходу Firefox 23.

Mozilla офіційно випустила реліз веб-браузера Firefox 24, а також мобільну версію Firefox 24 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 25 намічений на 29 жовтня, а Firefox 26 на 10 грудня. Випуск віднесений до категорії гілок із тривалим терміном підтримки (ESR), оновлення для яких випускаються протягом року. Одночасно вийшов Thunderbird 24, що також віднесений до випусків із тривалим терміном підтримки.

Також був випущений Seamonkey 2.20 та оновлений коригувальний реліз гілки із тривалим терміном підтримки Firefox 17.0.9.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 24.0 усунуто 17 уразливостей, серед яких 7 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 24 (деталі)

Сьогодні вийшли PHP 5.4.20 і PHP 5.5.4. У версії 5.5.4 виправлено декілька багів, а у версії 5.4.20 виправлено біля 30 багів. Дані релізи направлені на покращення стабільності гілок 5.4.x і 5.5.x.

Жодних уразливостей в цих версіях PHP виправлено не було.

По матеріалам http://www.php.net.

У вересні, 11.09.2013, вийшла нова версія WordPress 3.6.1.

WordPress 3.6.1 це секюріті та багфікс випуск нової 3.6 серії. В якому розробники виправили декілька уразливостей і 13 багів. Причому окрім трьох дірок, вони зробили одне покращення безпеки (security hardening) в аплоадері, не зараховуючи його до виправлень уразливостей (як це вони полюбляють робити), хоча це також уразливість. До того ж виправлення в аплоадері лише часткові: вони передовсім стосуються обмежених акаунтів, а через акаунт адміна все ще можна проводити атаки.

Стосовно покращення безпеки, то були виправлені наступні уразливості: Remote Code Execution через небезпечну десеріалізацію PHP, Link Injection (Open Redirect) та Privilege Escalation. А також оновлені секюріті обмеження в аплоадері для протидії Cross-Site Scripting атакам.

У серпні, 22.08.2013, вийшли версії PHP 5.4.19 і PHP 5.5.3. В яких виправлені один баг (збій при компіляцїї з включеним ZTS) та одна уразливість. Дані релізи направлені на покращення безпеки та стабільності гілок 5.4.x і 5.5.x.

Серед секюріті виправлень в PHP 5.4.19 і PHP 5.5.3:

• Виправлений UMR в патчі для уразливості в OpenSSL модулі (CVE-2013-4248), що був зроблений в версіях PHP 5.4.18 і 5.5.2.

По матеріалам http://www.php.net.