Websecurity - Веб безпека

У жовтні, 12.10.2012, вийшов Mozilla Firefox 16.0.1. Нова версія браузера вийшла лише через три дні після виходу Firefox 16 і в ній виправлені чотири уразливості, допущені в останньому релізі.

Mozilla представила коригувальні випуски Firefox 16.0.1, Firefox 10.0.9, Thunderbird 16.0.1 і Seamonkey 2.13.1 з виправленням ще 4 критичних уязвимостей.

Дві уразливості викликані відсутністю належних перевірок у функції defaultValue() і об’єкті location, що можна було використовувати для одержання інформації про відкриті в інших вікнах сайти (можна простежити які URL відкриває користувач - це стосувалося лише останньої версії браузера). Інші дві уразливості пов’язані з можливістю виходу за межі границі буфера, що потенційно дозволяє організувати виконання коду при відкритті спеціально оформлених сторінок.

Це вже не вперше Mozilla випускає черговий реліз браузера з багами чи уразливостями, які потім поспішно латає. Як це мало місце з версіями 15.0.1 і 16.0.1. Останні релізи з виправленими десятками уразливостей та поспішні випуски фікс-релізів свідчать про зростання уразливостей в браузері. А також про стабільно низьку якість підготовки релізів, бо такі проблеми Мозіла постійно має ще з вересня 2008 з версії Firefox 3.0.2.

• Обновление Firefox 16.0.1/10.0.9 и Thunderbird 16.0.1 с устранением уязвимостей (деталі)

У жовтні, 09.10.2012, вийшов Mozilla Firefox 16. Нова версія браузера вийшла через півтора місяця після виходу Firefox 15 (і майже через місяць після Firefox 15.0.1).

Mozilla офіційно представила реліз веб-браузера Firefox 16. Крім того, випущений коригувальний реліз гілки з тривалим терміном підтримки - Firefox 10.0.8, в якій відзначається тільки виправлення уразливостей і серйозних помилок. Реліз Firefox 17 намічений на 20 листопада, а Firefox 18 на першу половину січня.

Також були випущені Thunderbird 16, Seamonkey 2.13 і Firefox 16 для платформи Android.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 16.0 усунуто 15 уразливостей, серед яких 11 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (при детальному дослідженні виявляється, що всього 23 уразливості, з яких 20 критичних).

Зазначу, що в останніх трьох версіях - Firefox 14, 15 і 16 - в браузері виправляється велика кількість уразливостей (порівняно з попередніми версіями). В кожній з цих версій було виправлено від 14 до 17 дірок і це при тому, що в деяких патчах виправляється більше однієї дірки (в даному випуску маємо 14 патчів, що виправляють 23 уразливості).

Таке в Мозіли вже траплялося не раз - це давня практика, але якщо раніше вони лише DoS дірки, що можуть потенційно привести до RCE, таким чином виправляли (Miscellaneous memory safety hazards), то зараз вони почали пачками виправляти heap memory corruption, Use-after-free, buffer overflow та out of bounds read уразливості (таким чином вони почали брати приклад з Microsoft). Окрім того, Мозіла неодноразово приховано виправляла уразливості. Все це свідчить про зростання уразливостей в браузері й компанія не завжди встигає їх знаходити і виправляти (що добре видно по численним виправленням дірок і багів у фікс-релізах, таких як 15.0.1 і 16.0.1).

• Релиз Firefox 16 (деталі)

Серед різних секюріті плагінів для WordPress, про деякі з них я вже розповідав, як то WordPress File Monitor, існує такий плагін як WordPress Attack Scanner.

Цей плагін постачається в двух версіях: безкоштовній (Free) та платній (Pro). WordPress Attack Scanner Free доступний для скачування як з packetstormsecurity.org, так і з офіційного сайта розробника www.attack-scanner.com. Версію Pro можна купити на офіційному сайті.

Даний сканер атак представляє собою детектор атак для WP. У версії Free плагіна доступне лише логування атак, збір статистики та виведення статистики в адмінці. В Pro версії окрім цього також доступне блокування атак, додання IP нападників в блекліст та інші функції (в тому числі підтримка IP Ban list від партнерів). Тобто якщо безкоштовна версія плагіна - це IDS, то платна версія - це не тільки детектор атак, але й IPS або WAF. Повний перелік відмінностей між двома версіями наводиться на сайті.

Зазначу, що чи то в їхньому власному списку заблокованих IP, чи то в партнерському списку додані IP мого провайдера (якщо не всієї України). Бо, по їхнім даним, з цього регіону у них багато абюзу (не вперше зустрічаю таке регіональне блокування). Що призвело до блокування доступу до їхнього сайта, де вони використовують власний плагін (в тому числі це не дозволяє викачати з офіційного сайта Free версію, чи купити Pro версію плагіна). Що є наочною демонстрацією його роботи . Такі дрібниці ні мене, ні будь-кого, хто цього бажає, не зупинить в отриманні доступу до цього сайта, бо це блокування легко обходиться.

У вересні, 26.09.2012, більше ніж через півтора місяці після виходу Google Chrome 21, вийшов Google Chrome 22.

В браузері зроблено декілька нововведень та виправлені помилки. А також виправлено 26 уразливостей, з яких 2 позначені як критичні, 15 - небезпечні, 6 - помірні і 3 - незначні. Це найбільший показник виправлених уразливостей починаючи з реліза 1.0.

Чимало з виправлених уразливостей виявлені за допомогою інструментарію address-sanitizer, призначеного для автоматизованого визначення фактів звертання до звільнених областей пам’яті, виходу за межі границь виділеного буфера і деяких інших типів помилок при роботі з пам’яттю.

• Релиз web-браузера Chrome 22 (деталі)

Існує такий плагін для WP як WordPress File Monitor, що являє собою монітор файлів.

Цей секюріті плагін подібний до плагінів WordPress Exploit Scanner та Belavir, про які я розповідав раніше. Він проводить перевірку цілісності файлів та сповіщає адміна при будь-яких додаваннях, видаленнях та змінах файлів. Повідомлення відправляються на емайл адміністратора, а також створюється алерт в адмінці. При цьому WordPress File Monitor може сканувати й інші файли, окрім файлів движка - в цьому він краще за вищезгадані плагіни.

Користувачі WP можуть користуватися цим плагіном для виявлення шелів та бекдорів на власних сайтах (після взлому, або якщо часто хакають, або для профілактики - про всяк випадок). Також його можна використати для виявлення розміщення шкідливого коду на сайті, але більш краще використати для цього веб антивіруси, які перевірять також і всі записи сайту (з БД). Для цього існують спеціальні плагіни для WP, про які я вже писав, та численні антивірусні системи, такі як Web Virus Detection System.

У вересні, 13.09.2012, вийшли PHP 5.3.17 та PHP 5.4.7. В яких виправлено більше 20 багів. Дані релізи направлені на покращення стабільності гілок 5.3.x і 5.4.x.

Жодних уразливостей в цих версіях PHP виправлено не було.

По матеріалам http://www.php.net.

У липні, 31.07.2012, більше ніж через місяць після виходу Google Chrome 20, вийшов Google Chrome 21.

В браузері зроблено декілька нововведень та виправлені помилки. А також виправлено 15 уразливостей, з яких 1 позначена як критична, 6 - небезпечні, 5 - помірні і 3 - незначні.

Уразливості, знайденій в коді обробки вкладок, привласнений статус критичної проблеми, що дозволяє обійти всі рівні захисту браузера. Зазначена критична уразливість виявлена співробітником Google і проявляється тільки на платформі Linux. З уразливостей, що мають статус небезпечних, можна відзначити цілочисленне переповнення, вихід за границі буфера і звертання до вже звільненої пам’яті у вбудованому переглядачі PDF, переповнення буфера в декодувальнику WebP, звертання до звільненого блоку пам’яті в коді CSS DOM.

Чимало з виправлених уразливостей виявлені за допомогою інструментарію address-sanitizer, призначеного для автоматизованого визначення фактів звертання до звільнених областей пам’яті, виходу за межі границь виділеного буфера і деяких інших типів помилок при роботі з пам’яттю.

• Релиз web-браузера Chrome 21 (деталі)

У вересні, 06.09.2012, вийшла нова версія WordPress 3.4.2.

WordPress 3.4.2 це секюріті та багфікс випуск нової 3.4 серії. В якому розробники виправили декілька уразливостей та багів. А також зробили деякі секюріті покращення.

Про дірки сказано мало, згадується лише про потенційну privilege escalation та баг пов’язаний з мультисайтовими інсталяціями. Явно під секюріті покращеннями (security hardening) вони приховали виправлення деяких уразливостей, як це вони вже робили раніше.

У вересні, 06.09.2012, вийшов Mozilla Firefox 15.0.1. Нова версія браузера вийшла лише через дев’ять днів після виходу Firefox 15 і в ній виправлена одна уразливість останнього релізу.

Вийшов коригувальний випуск браузера Firefox 15.0.1, у якому усунута помилка, що приводить до некоректної роботи режиму приватного перегляду. Як виявилося, у Firefox 15 інформація про сайти, відкриті при включеному режимі приватного перегляду, зберігалася в браузерному кеші, з якого її можна було легко дістати.

Це вже не вперше Mozilla випускає черговий реліз браузера з багами чи уразливостями, які потім поспішно латає.

• Обновление Firefox 15.0.1 с исправлением неработоспособности режима приватного просмотра (деталі)

У серпні, 28.08.2012, вийшов Mozilla Firefox 15. Нова версія браузера вийшла через півтора місяця після виходу Firefox 14.

Mozilla офіційно представила реліз веб-браузера Firefox 15. Крім того, випущений коригувальний реліз гілки з тривалим терміном підтримки - Firefox 10.0.7, в якій відзначається тільки виправлення уразлиовостей і серйозних помилок. Реліз Firefox 16 намічений на 9 жовтня, а Firefox 17 на 20 листопада.

Також були випущені Thunderbird 15, Seamonkey 2.12 і Firefox 15 для платформи Android.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 15.0 усунуто 16 уразливостей, серед яких 7 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок.

• Релиз web-браузера Firefox 15 (деталі)