Websecurity - Веб безпека

У січні, 10.01.2013, майже через півтора місяці після виходу Google Chrome 23, вийшов Google Chrome 24.

В браузері зроблено декілька нововведень та виправлені помилки. В тому числі оновлений Flash-плагін. А також виправлено 24 уразливості, з яких 11 позначені як небезпечні, 8 - помірні і 5 - незначні. Це значно більше ніж в попередній версії браузера.

З уразливостей, що мають статус небезпечних, дві проблеми виявлені в движку v8, три в системі для перегляду PDF, одна в коді доступу до файлів, одна в системі IPC, одна в коді роботи з DOM, одна в движку SVG і одна в коді позиціювання у відеопотоці.

Чимало з виправлених уразливостей виявлені за допомогою інструментарію address-sanitizer, призначеного для автоматизованого визначення фактів звертання до звільнених областей пам’яті, виходу за межі границь виділеного буфера і деяких інших типів помилок при роботі з пам’яттю.

• Релиз web-браузера Chrome 24 (деталі)

У січні, 08.01.2013, вийшов Mozilla Firefox 18. Нова версія браузера вийшла через півтора місяця після виходу Firefox 17.

Mozilla офіційно представила реліз веб-браузера Firefox 18, примітний переходом на новий JIT-компілятор IonMonkey. Відповідно до шеститижневого циклу розробки, реліз Firefox 19 намічений на 19 лютого, а Firefox 20 на 2 квітня.

Також були випущені Thunderbird 18, Seamonkey 2.15 і Firefox 18 для платформи Android.

Одночасно з Firefox 18 випущені коригувальні релізи гілок із тривалим терміном підтримки - Firefox 10.0.2 і Firefox 17.0.2, у яких відзначається тільки виправлення уразливостей і серйозних помилок. Оновлення для ESR-гілки Firefox 10 будуть випускатися до 19 лютого до моменту виходу відновлення Firefox 17.0.3, на яке буде запропоновано мігрувати користувачам гілки Firefox 10 (планується автоматичне виконання міграції).

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 18.0 усунуто 21 уразливість, серед яких 12 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (включаючи покращення до одного попереднього патча).

Це найбільша кількість виправлень уразливостей в Firefox та движку Gecko (що використовується й в інших браузерах) в рамках одного випуску. Порівняно з усіма попередніми релізами.

• Релиз Firefox 18 c новым JIT-компилятором IonMonkey (деталі)

У грудні, 20.12.2012, вийшли PHP 5.3.20 та PHP 5.4.10. В яких виправлено біля 15 багів. Дані релізи направлені на покращення стабільності гілок 5.3.x і 5.4.x.

Жодних уразливостей в цих версіях PHP виправлено не було.

По матеріалам http://www.php.net.

У листопаді, 30.11.2012, вийшов Mozilla Firefox 17.0.1. Нова версія браузера вийшла лише через десять днів після виходу Firefox 17 і в ній виправлені деякі баги, допущені в останньому релізі.

Mozilla представила коригувальний випуск Firefox 17.0.1 у якому усунуто декілька недоробок, що впливають на якість роботи. Зокрема вирішені проблеми з рендерингом шрифтів. Також скасовано зміну ідентифікаційного рядка User Agent, що привело до несумісності з деякими сайтами.

• Обновление Firefox 17.0.1 (деталі)

В грудні, 11.12.2012, вийшла нова версія WordPress 3.5.

WordPress 3.5 це перший випуск нової 3.5 серії. В ній додано чимало покращень порівняно з попередніми версіями движка, а також виправлено чимало багів.

Серед головних покращень зокрема можна відзначити покращений аплоадер і менеджер медіа файлів, нова тема Twenty Twelve по замовчуванню та новий вибирач кольору. А також покращені стилі в адмінці, покращена графіка для нових дисплеїв (таких як Retina) та оптимізовані деякі розділи в адмінці.

Окрім покращень для користувачів також були зроблені численні покращення для розробників. Зокрема додане встановлення тегів для вибраних плагінів на wordpress.org, доданий імпортер з Tumblr, додана функція движка switch_to_blog() та JavaScript бібліотеки Underscore і Backbone.

У листопаді, 20.11.2012, вийшов Mozilla Firefox 17. Нова версія браузера вийшла через півтора місяця після виходу Firefox 16 (і майже через місяць після Firefox 16.0.2).

Mozilla офіційно представила реліз веб-браузера Firefox 17, який віднесений до категорії гілок із тривалим терміном підтримки (ESR), оновлення для яких випускаються протягом року. Крім того, випущений коригувальний реліз гілки з тривалим терміном підтримки - Firefox 10.0.11, в якій відзначається тільки виправлення уразливостей і серйозних помилок. Реліз Firefox 18 намічений на перший тиждень січня, а Firefox 19 на 19 лютого.

Також були випущені Thunderbird 17, Seamonkey 2.14 і Firefox 17 для платформи Android.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 17.0 усунуто 16 уразливостей, серед яких 6 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі.

Зазначу, що в останніх версіях Firefox (з 14 по 17) в браузері виправляється велика кількість уразливостей. Для версії Firefox 17 випущено 16 патчів - це на один патч більше ніж у версії 16. І це при тому, що в деяких патчах виправляється більше однієї дірки.

• Релиз Firefox 17 (деталі)

Учора, 22.11.2012, вийшли PHP 5.3.19 та PHP 5.4.9. В яких виправлено більше 15 багів. Дані релізи направлені на покращення стабільності гілок 5.3.x і 5.4.x.

Жодних уразливостей в цих версіях PHP виправлено не було.

По матеріалам http://www.php.net.

Серед різних секюріті плагінів для WordPress, про деякі з них я вже розповідав, як то Сканер атак для WordPress, існує такий плагін як Wordfence Security.

Раніше я вже писав про уразливості в Wordfence Security.

Сам плагін Wordfence Security для WordPress є безкоштовним. Але є додаткові платні послуги, які можна придбати на офіційному сайті. Для цього на сайті www.wordfence.com потрібно отримати Wordfence API Key, який ділиться на безкоштовну та три платні версії (пакети послуг).

Wordfence представляє собою хмарний сервіс, реалізований у вигляді плагіна для WP. Він має чимало можливостей (а при купівлі преміум пакета - ще більше), з яких виділю головні.

• Захист від атак (firewall), в тому числі від Brute Force атак. Як раз в firewall модулі я знайшов вищезгадані уразливості в цьому плагіні.
• Антивірусний сканер (сканування malware на сайтах).
• Сканер шкідливих URL.
• Живий аналіз трафіку з геолокацією.
• Перевірка та виправлення ядра, тем і плагінів движка (від вірусів та бекдорів).

По наявності функції сканування malware на сайтах цей сервіс є безпосереднім конкурентом моїй Web VDS. По функції захисту від атак він подібний до вищезгаданого WordPress Attack Scanner. А по функції виявлення бекдорів він подібний до WordPress File Monitor та багатьох інших плагінів до WP, про які я вже писав.

У листопаді, 06.11.2012, через півтора місяці після виходу Google Chrome 22, вийшов Google Chrome 23.

В браузері зроблено декілька нововведень та виправлені помилки. А також виправлено 14 уразливостей, з яких 6 позначені як небезпечні, 7 - помірні і 1 - незначні. З уразливостей, що мають статус небезпечних, дві проблеми викликані помилками драйверів для платформи Mac OS X, дві проблеми пов’язані зі звертанням до звільненого блоку пам’яті в обробнику SVG-фільтрів і в коді виведення відео, одна проблема пов’язана з виходом за припустимі границі пам’яті в коді обробки текстур і одна проблема виявлена в движку v8.

Чимало з виправлених уразливостей виявлені за допомогою інструментарію address-sanitizer, призначеного для автоматизованого визначення фактів звертання до звільнених областей пам’яті, виходу за межі границь виділеного буфера і деяких інших типів помилок при роботі з пам’яттю.

• Увидел свет web-браузер Chrome 23 (деталі)

В минулому місяці, 26.10.2012, компанія Microsoft випустила фінальну версію браузера Internet Explorer 10. Компанія випустила його разом з Windows 8, в поставку якої він і входить (версія для Windows 7 буде випущена окремо). Вихід нової версії відбувся через півтора роки після виходу IE9.

Незважаючи на заяви Microsoft про підвищену безпеку нових Windows 8 та IE10, не встигли вони вийти, як їх швидко взломали. Експлоіт був розроблений компанією Vupen Security. Що цілком типово для програмних продуктів Microsoft.