Websecurity - Веб безпека

Компанія Google представила нову версію браузера Chrome - Chrome 2, у якій були враховані ряд побажань користувачів. Зміни торкнулися в першу чергу керування сторінкою нової вкладки, повноекранного режиму й автозаповнення форм.

На відміну від попередньої версії, у користувачів є можливість керувати міні-копіями сторінок, а також видаляти “розважальні” сайти в браузері робочого комп’ютера, створюючи видимість зайнятої справою людини. Сховати адресний/пошуковий рядок можна, натиснувши клавішу F11 і перейшовши в повноекранний режим.

Для полегшення заповнення форм у Google Chrome 2 включена функція автозаповнення: введені раніше дані (ім’я, прізвище, адреса електронної пошти) можна вибрати з випадающого меню, а видалити їх можна з меню “Інструменти” чи просто виділивши в списку і натиснувши клавішу Delete.

Крім цього повідомляється, що з моменту запуску було виправлено більш 300 багів, що викликають збій у роботі програми. Завдяки новій версії WebKit і поліпшеному движку JavaScript - V8 - інтерактивні сторінки тепер працюють ще швидше, навіть при великій кількості відкритих вкладок.

По матеріалам http://ain.com.ua.

P.S.

Гугл достаньо швидко, лише через п’ять місяців після Chrome 1.0, випустив другу версію браузера. Подивимося як нова версія браузера покаже себе в плані безпеки (бо, як я писав, що версії 0.x, що 1.x мали чимало уразливостей).

Сьогодні вийшла нова версія програми Perl Pas Interpreter v.1.4.9. В новій версії:

• Додане виведення назви програми (Program) в дебаг режимі.
• Покращена робота div з real числами в операторі присвоєння і функціях.
• Покращена робота div з real числами в операторі if.
• Покращена робота write та writeln зі складними виразами.

Деталі на сайті інтерпретатора. Тема для обговорення програми на форумі.

Додаткова інформація про Perl Pas Interpreter в розділі Онлайн інструменти.

Нещодавно, 27.04.2009, вийшов Firefox 3.0.10. В якому була виправлена одна критична уразливість.

Нова версія Firefox вийшла лише через шість днів, після того як 21.04.2009 вийшов Firefox 3.0.9, в якому були виправлені численні уразливості. Необхідність випуску нової версії полягала в уразливості яка була допущена в версії 3.0.9, тобто при виправлені попередніх дірок, Мозіла допустила нову дірку в своєму браузері (що і було виявлено через деякий час після випуску попередньої версії і виправлено в новій версії браузеру).

Це вже не перший раз, коли Mozilla після випуску чергового релізу браузера швидко випускає нову версію. Подібне вже було з Firefox 3.0.3, що виправляв баг в версії 3.0.2, а також подібні випадки були і в попередніх версіях браузера.

• Mozilla Foundation Security Advisory 2009-23 (деталі)

В минулому місяці, 19.03.2009, компанія Microsoft випустила фінальну версію браузера Internet Explorer 8.

Про вихід IE7 я розповідав раніше і так само розповім вам про вихід IE8, зокрема згадаю про його покращення в плані безпеки.

Internet Explorer 8 побудований на основі нового движка і має масу переваг перед попередніми версіями. Браузер уже не виглядає так мляво на фоні конкурентів, як це було з 7-ю версією, і цілком здатний задовольнити запити більшості користувачів. Новий движок набагато швидше завантажує й відрисовує веб-сторінки і більш сумісний з новими технологіями. Значно дороблена підтримка веб-стандартів і поліпшена обробка HTML, CSS (з повною підтримкою CSS 2.1) і JavaScript.

Серед самих помітних нових функцій варто відзначити:

• Веб-фрагменти (Web Slices).
• Прискорювачі (Accelerators).
• Автоматичне відновлення після збоїв (Automatic Crash Recovery).

Також в Internet Explorer 8 наявна маса інших функціональних покращень: потужна система пошуку, покращена панель з обраним, групування зв’язаних вкладок, розширені можливості маштабування сторінки, покращений пошук по сторінці з маркіруванням кожного екземпляра шуканого слова чи фрази, інтелектуальний адресний рядок і багато інших удосконалень.

Ясна річ, у новинці багато уваги приділено безпеці і конфіденційності. У програму внесений ряд внутрішніх поліпшень для забезпечення безпечної роботи. Серед зовнішніх поліпшень необхідно відзначити новий режим InPrivate, що забезпечує конфіденційність при покупках через Інтернет, а поліпшений фільтр SmartScreen захищає від недобрих сайтів прагнучих тим чи іншим способом нашкодити чи того гірше обманути користувача. Також SmartScreen містить засоби для захисту від шпигунського і рекламного ПЗ. Ще одним нововведенням є функція виділення домена в адресному рядку, завдяки чому завжди ясно на якому саме сайті знаходиться користувач.

Також зазначу, що в IE8 доданий вбудований XSS-фільтр, який призначений для захисту користувачів браузеру від XSS атак. Але ще до виходу браузеру (аналізуючи його бета версії), секюріті дослідники відзначили слабку ефективність XSS-фільтру.

По матеріалам http://www.internet.ru.

Нещодавно, 08.04.2009, вийшов PHP 5.2.9-2 (для Windows).

Даний реліз виправляє уразливості, що мали місце в бібліотеці OpenSSL (CVE-2009-0590, CVE-2009-0591 та CVE-2009-0789). Бібліотека OpenSSL була оновлена до версії 0.9.8k. Тільки Windows пакети PHP є вразливими.

По матеріалам http://www.php.net.

Сьогодні вийшла нова версія програми Perl Pas Interpreter v.1.4.8. В новій версії:

• Покращені анти-DoS фільтри.
• Додана можливість визначення некоректного ітератора в циклі for.
• Додана можливість визначення нескінченних циклів в циклах while і repeat until.
• Введене обмеження на розмір строкових даних (255 символів).
• Обмеження розміру строкових даних додане в функції concat та insert.

Деталі на сайті інтерпретатора. Тема для обговорення програми на форумі.

Додаткова інформація про Perl Pas Interpreter в розділі Онлайн інструменти.

Сьогодні вийшла нова версія програми Perl Pas Interpreter v.1.4.7. В новій версії:

• Додана підтримка операторів div та mod в циклах for.
• Додана підтримка операторів div та mod в циклах while.
• Додана підтримка операторів div та mod в циклах repeat until.
• Виправлена робота write і writeln з функціями.

Деталі на сайті інтерпретатора. Тема для обговорення програми на форумі.

Додаткова інформація про Perl Pas Interpreter в розділі Онлайн інструменти.

Нещодавно, 10.03.2009, через деякий час після виходу PHP 5.2.9, вийшов PHP 5.2.9-1 (для Windows).

Даний реліз виправляє уразливість, що мала місце в бібліотеці cURL (CVE-2009-0037). Тільки Windows пакети PHP є вразливими.

По матеріалам http://www.php.net.

В минулому місяці, 26.02.2009, вийшов PHP 5.2.9, у якому виправлено більше 50 помилок, в тому числі й уразливостей. Даний реліз направлений на покращення стабільності та безпеки гілки 5.2.x.

Cеред секюріті покращень та виправлень в PHP 5.2.9:

• Виправлена уразливість в imagerotate() при роботі з не truecolour зображеннями (CVE-2008-5498).
• Виправлений збій при розпакуванні з zip коли імена файлів чи директорій мали відносний шлях.
• Виправлена поведінка explode() з пустими рядками для врахування негативного ліміту.
• Виправлений збій при передачі спеціального рядку до json_decode().

По матеріалам http://www.php.net.

Нещодавно, 03.03.2009, через декілька місяців після виходу Opera 9.63, вийшла Opera 9.64.

Нова версія Opera є оновленням, що покращує безпеку браузера (а також вносить деякі зміни в інтерфейс).

Серед виправлень безпеки в Opera 9.64:

• Fixed an issue where specially crafted JPEG images could be used to execute arbitrary code
• Fixed an issue where plug-ins could be used to allow cross domain scripting
• Fixed a moderately severe issue
• Added support for the following platform-specific features:
  • DEP (Data Execution Prevention) in Microsoft Windows XP with Service Pack 2 and higher and Microsoft Windows Server 2003 with Service Pack 1
  • ASLR (Address Space Layout Randomization) in Microsoft Windows Vista
• Added Untrusted Rootstore Capability:
  • Opera downloads only the detailed information about untrusted (blacklisted) certificates when they are encountered
  • If download fails for certificate information in the list, Opera considers any certificate matching the ID as untrusted
• Added version conditional fetching of certificate dependencies from an online repository
• Fixed a problem downloading the CRL (Certificate Revocation List)
• Fixed a problem that could cause SSL to deadlock in one state, hanging the connection
• Fixed a problem that could cause the incorrect calculation of Certificate IDs
• Implemented Extended Validation (EV) for cross-signed EV Root Certificates not shipped by default
• Implemented preshipping of the Entrust 2048 CA (Certificate Authority)
• Implemented Root Certificate fetching from an online repository when an intermediate matches a certificate in the repository
• Improved support for weak encryption when importing .p12 private certificates
• Prevented security information documents from being written to disk

По матеріалам http://www.opera.com.