Websecurity - Веб безпека

У травні, 15.05.2012, через півтора місяці після виходу Google Chrome 18, вийшов Google Chrome 19.

В браузері зроблено ряд нововведень. А також виправлено 20 уразливостей, з яких 8 позначені як небезпечні, 7 - помірні і 5 - незначні. Чимало з виправлених уразливостей виявлені за допомогою інструментарію address-sanitizer, призначеного для автоматизованого визначення фактів звертання до звільнених областей пам’яті, виходу за межі границь виділеного буфера і деяких інших типів помилок при роботі з пам’яттю.

Серед небезпечних уразливостей: звертання до вже звільненої пам’яті через маніпуляції з елементом style, через API Indexed DB, при обробці таблиць і PDF-файлів, некоректний запис даних у реалізації регулярних виразів движка v8, запис за границі буфера при роботі OGG-контейнерів, вихід за границі буфера в PDF-переглядачі. Окремо відзначені уразливості, що проявляються через проблеми в сторонніх компонентах: уразливість через помилку в Linux-драйвері для відеокарт NVIDIA і вихід за границі буфера в libxml.

• Релиз web-браузера Chrome 19 (деталі)

У травні, 08.05.2012, через п’ять днів після виходу PHP 5.3.12 та PHP 5.4.2, вийшли PHP 5.3.13 та PHP 5.4.3. В яких виправлені дві уразливості. Дані релізи направлені на покращення безпеки гілок 5.3.x і 5.4.x.

Cеред секюріті виправлень в PHP 5.3.13 та PHP 5.4.3:

• Повністю виправлена можливість відправки довільних команд PHP інтерпретатору (що була лише частково виправлена в версіях 5.3.12 та 5.4.2).

Як я вже зазначав, до цієї атаки уразливі деякі CGI-орієнтовані інсталяції (Apache+mod_php і nginx+php-fpm не є вразливими).

Cеред секюріті виправлень лише в PHP 5.4.3:

• Виправлена Buffer Overflow уразливість в apache_request_headers() (яка стосується лише гілки 5.4.x).

По матеріалам http://www.php.net.

Минулого місяця, 24.04.2012, вийшов Mozilla Firefox 12. Нова версія браузера вийшла через півтора місяця після виходу Firefox 11.

Mozilla офіційно представила реліз веб-браузера Firefox 12. Крім того, випущений коригувальний реліз гілки з тривалим терміном підтримки - Firefox 10.0.4, підтримка гілки 3.6.x припинена. Реліз Firefox 13 очікується в середині червня, а Firefox 14 вийде в кінці липня.

Також був випущений Thunderbird 12, а згодом і Firefox 12 for Android та Seamonkey 2.9. Нагадаю, що версія Firefox 11 for Android була пропущена через неготовність реліза.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 12.0 усунуто 8 уразливостей, серед яких присутні 3 проблеми, що мають високий ступінь небезпеки, і 2 критичні проблеми, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Критичні уразливості знайдені в коді перевірки шрифтів OpenType і в реалізації WebGL-функції textImage2D.

• Релиз web-браузера Firefox 12 и почтового клиента Thunderbird 12 (деталі)

У травні, 03.05.2012, вийшли PHP 5.3.12 та PHP 5.4.2. В яких виправлена критична уразливість. Дані релізи направлені на покращення безпеки гілок 5.3.x і 5.4.x.

Cеред секюріті виправлень в PHP 5.3.12 та PHP 5.4.2:

• Виправлена можливість відправки довільних команд PHP інтерпретатору.

До цієї атаки уразливі деякі CGI-орієнтовані інсталяції (Apache+mod_php і nginx+php-fpm не є вразливими). Команди передаються PHP інтерпретатору через спеціальні GET або HEAD запити. Зокрема за допомогою команди (ключа) “-s” можна читати вихідні коди скриптів.

Для перевірки на наявність даної уразливості в PHP на сервері потрібно відправити наступний запит:
http://site_on_php/?-s

Окрім патча, розробники PHP також запроновували метод захисту від цієї атаки за допомогою правил mod_rewrite. Але ці правила виявилися неефективними й їх можна було легко обійти, тому вже через три дні вони випустили новий варіант правил mod_rewrite для захисту від цієї атаки.

По матеріалам http://www.php.net.

В квітні, 20.04.2012, вийшла нова версія WordPress 3.3.2.

WordPress 3.3.2 це секюріті та багфікс випуск нової 3.3 серії. В якому розробники виправили 5 уразливостей і 5 багів та зробили 3 секюріті покращення.

Серед покращень були оновлені бібліотеки Plupload, SWFUpload та SWFObject, в яких покращена безпека. Відповідно в WordPress включені нові та безпечніші версії даних бібліотек.

Серед уразливостей були виправлені обмежена Privilege Escalation та три Cross-Site Scripting уразливостей. А також Redirector уразливість, про яку вони традиційно не згадали в офіційній публікації. Про дві з цих уразливостей, Redirector і Cross-Site Scripting, я писав раніше.

У квітні, 26.04.2012, вийшли PHP 5.3.11 та PHP 5.4.1. В яких виправлено більше 60 помилок, в тому числі й чимало уразливостей. Дані релізи направлені на покращення стабільності та безпеки гілок 5.3.x і 5.4.x.

Cеред секюріті покращень та виправлень в PHP 5.3.11 та PHP 5.4.1:

• Виправлений баг #54374 (Недостатня перевірка імені завантаженого файла призводить до пошкодження індекса $_FILES). (CVE-2012-1172).
• Додані open_basedir перевірки в readline_write_history і readline_read_history.

Cеред секюріті покращень та виправлень лише в PHP 5.3.11:

• Виправлений баг #61043 (регресія в magic_quotes_gpc виправленні до CVE-2012-0831).

По матеріалам http://www.php.net.

Продовжуючи тему антивірусів для сайтів, розповім вам про ще один подібний сервіс. Це StopTheHacker. Що є безпосереднім конкурентом моїй Web VDS.

В лютому, коли я знайшов цей онлайновий сервіс, я виявив уразливості на stopthehacker.com, про які вже писав. Це лише кілька з багатьох уразливостей, що мають місце на основному сайті та на сайті з акаунтами користувачів StopTheHacker - дірок там вистачає (і забивати на безпеку є типовим для секюріті проектів) й розробникам вистачить роботи по їх виправленню. На що я звернув їх увагу і вони планують цим зайнятися.

Це комерційний сервіс, що призначений для сканування сайтів на предмет шкідливого коду та хакерських атак. Тобто він лише частково перетинається з моєю Web VDS, а також він має додатковий фунціонал по перевірці сайтів (по функціоналу він ближче до моєї SecurityAlert). Він може використовуватися власниками сайтів для захисту від вірусів та інших проблем з безпекою на власних сайтах.

Веб сервіс StopTheHacker схожий більше на сервіс HackAlert V3, ніж на такі сервіси як McAfee SiteAdvisor чи Norton Safe Web від Symantec. Він призначений для використання саме власниками сайтів. В цьому його відмінність від публічних сервісів, які можуть використовуватися безпосередньо Інтернет-користувачами для захисту від інфікованих сайтів.

Безпосередньо на зовнішіх сторінках сайта скористатися даним сервісом не вийде (на відміну від деякий інших сервісів). Щоб це зробити потрібно зареєструвати акаунт на сайті й протестувати в ньому цей сервіс. В тому числі є один безкоштовний тип акаунта, який робить перевірку лише по базі WOT (в комерційних типах акаунтів можливості перевірки значно більші).

У березні, 28.03.2012, через півтора місяці після виходу Google Chrome 17, вийшов Google Chrome 18.

В браузері зроблено ряд нововведень. А також виправлено 9 уразливостей, з яких 3 позначені як небезпечні, 5 - помірні і 1 - незначні. Деякі з уразливостей були виявлені розробниками браузера в результаті ініціювання додаткового аудиту коду, після виявлення в Chrome декількох критичних проблем, продемонстрованих на змаганні Pwnium.

Три з виправлених дев’яти уразливостей виявлені за допомогою інструментарію address-sanitizer, призначеного для автоматизованого визначення фактів звертання до звільнених областей пам’яті, виходу за межі границь виділеного буфера і деяких інших типів помилок при роботі з пам’яттю.

• Релиз web-браузера Chrome 18 (деталі)

Окрім раніше згаданого сервіса DNS Health для перевірки DNS серверів, у Pingdom є ще інші сервіси. Це Full Page Test та Ping and Traceroute - онлайнові сервіси перевірки швидкодії серверів. Про уразливості в даних сервісах на tools.pingdom.com я вже писав.

За допомогою сервіса Full Page Test можна перевірити швидкодію вашого сайта. Цей сервіс перевіряє швидкість завантаження сторінки веб сайта і надає детальну статистику по всім аспектам, що впливають на швидкість завантаження веб сторінки. Таким чином можна перевірити як швидкодію сервера, так і веб додатку, а також оцінити ступінь оптимізованності контенту на сторінці (за для його найшвидшого завантаження).

За допомогою сервіса Ping and Traceroute можна перевірити швидкодію вашого сервера. Цей сервіс дозволяє відправити ping та traceroute запити до довільного сервера для оцінки його швидкодії.

Як і попередній сервіс Pingdom, дані онлайн інструменти є безкоштовними. При цьому компанія пропонує платний акаунт з більшими можливостями перевірки серверів, але для швидкої перевірики серверів цих безкоштовних інструментів цілком вистачить.

Нещодавно, 14.03.2012, вийшов Mozilla Firefox 11. Нова версія браузера вийшла через півтора місяця після виходу Firefox 10.

Mozilla офіційно представила реліз веб-браузера Firefox 11. Реліз Firefox 12 очікується через 6 тижнів, на початку травня, а Firefox 13 вийде в середині червня. Крім того, також були випущені Firefox 10.0.3 і Firefox 3.6.28, а згодом і Thunderbird 11.0 та Seamonkey 2.8. А також мав вийти Firefox 11 for Android, але ця версія була пропущена через неготовність реліза.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 11.0 усунуто 11 уразливостей три з яких мають високий ступінь небезпеки, а вісім позначені як критичні, тобто можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок.

• Релиз web-браузера Firefox 11 (деталі)