Websecurity - Веб безпека

Нещодавно, 11.06.2009, вийшов Firefox 3.0.11. В якому було виправлено 9 уразливостей: чотири критичні, одна високого, дві середнього та дві низького рівня ризику.

Про численні уразливості в Mozilla Firefox, які були виправлені в даній версії, я вже писав детально.

Жодна зі знайдених мною уразливостей (зокрема цьогорічних), ні Properties not-inheritance уразливість, що дозволяє проводити XSS атаки, ні DoS уразливості виправлені не були. Що є типовим для Мозіли.

Ryan Dewhurst розробив дуже уразливий веб додаток - Damn Vulnerable Web App (DVWA). Цей проект може стати в нагоді веб секюріті професіоналам, а також студентам і тим, кто тільки почав займатися в галузі веб безпеки, для перевірки та покращення власних умінь.

DVWA - це дуже дірявий веб додаток. Його головними задачами є мала вага, легкість у використанні та велика кількість уразливостей для експлуатації.

Серед наявних уразливостей: SQL Injection, XSS (Cross Site Scripting), LFI (Local File Inclusion), RFI (Remote File Inclusion), Command Execution, Upload Script, Login Brute Force та інші.

Скачати DVWA можна з SourceForge.net.

Зазначу, що хоча даний проект є достатньо цікавим, але подібні веб додатки далекі від реальних умов. Тому варто перевіряти власні знання на реальних веб додатках.

Компанія Google представила нову версію браузера Chrome - Chrome 2, у якій були враховані ряд побажань користувачів. Зміни торкнулися в першу чергу керування сторінкою нової вкладки, повноекранного режиму й автозаповнення форм.

На відміну від попередньої версії, у користувачів є можливість керувати міні-копіями сторінок, а також видаляти “розважальні” сайти в браузері робочого комп’ютера, створюючи видимість зайнятої справою людини. Сховати адресний/пошуковий рядок можна, натиснувши клавішу F11 і перейшовши в повноекранний режим.

Для полегшення заповнення форм у Google Chrome 2 включена функція автозаповнення: введені раніше дані (ім’я, прізвище, адреса електронної пошти) можна вибрати з випадающого меню, а видалити їх можна з меню “Інструменти” чи просто виділивши в списку і натиснувши клавішу Delete.

Крім цього повідомляється, що з моменту запуску було виправлено більш 300 багів, що викликають збій у роботі програми. Завдяки новій версії WebKit і поліпшеному движку JavaScript - V8 - інтерактивні сторінки тепер працюють ще швидше, навіть при великій кількості відкритих вкладок.

По матеріалам http://ain.com.ua.

P.S.

Гугл достаньо швидко, лише через п’ять місяців після Chrome 1.0, випустив другу версію браузера. Подивимося як нова версія браузера покаже себе в плані безпеки (бо, як я писав, що версії 0.x, що 1.x мали чимало уразливостей).

Сьогодні вийшла нова версія програми Perl Pas Interpreter v.1.4.9. В новій версії:

• Додане виведення назви програми (Program) в дебаг режимі.
• Покращена робота div з real числами в операторі присвоєння і функціях.
• Покращена робота div з real числами в операторі if.
• Покращена робота write та writeln зі складними виразами.

Деталі на сайті інтерпретатора. Тема для обговорення програми на форумі.

Додаткова інформація про Perl Pas Interpreter в розділі Онлайн інструменти.

Нещодавно, 27.04.2009, вийшов Firefox 3.0.10. В якому була виправлена одна критична уразливість.

Нова версія Firefox вийшла лише через шість днів, після того як 21.04.2009 вийшов Firefox 3.0.9, в якому були виправлені численні уразливості. Необхідність випуску нової версії полягала в уразливості яка була допущена в версії 3.0.9, тобто при виправлені попередніх дірок, Мозіла допустила нову дірку в своєму браузері (що і було виявлено через деякий час після випуску попередньої версії і виправлено в новій версії браузеру).

Це вже не перший раз, коли Mozilla після випуску чергового релізу браузера швидко випускає нову версію. Подібне вже було з Firefox 3.0.3, що виправляв баг в версії 3.0.2, а також подібні випадки були і в попередніх версіях браузера.

• Mozilla Foundation Security Advisory 2009-23 (деталі)

В минулому місяці, 19.03.2009, компанія Microsoft випустила фінальну версію браузера Internet Explorer 8.

Про вихід IE7 я розповідав раніше і так само розповім вам про вихід IE8, зокрема згадаю про його покращення в плані безпеки.

Internet Explorer 8 побудований на основі нового движка і має масу переваг перед попередніми версіями. Браузер уже не виглядає так мляво на фоні конкурентів, як це було з 7-ю версією, і цілком здатний задовольнити запити більшості користувачів. Новий движок набагато швидше завантажує й відрисовує веб-сторінки і більш сумісний з новими технологіями. Значно дороблена підтримка веб-стандартів і поліпшена обробка HTML, CSS (з повною підтримкою CSS 2.1) і JavaScript.

Серед самих помітних нових функцій варто відзначити:

• Веб-фрагменти (Web Slices).
• Прискорювачі (Accelerators).
• Автоматичне відновлення після збоїв (Automatic Crash Recovery).

Також в Internet Explorer 8 наявна маса інших функціональних покращень: потужна система пошуку, покращена панель з обраним, групування зв’язаних вкладок, розширені можливості маштабування сторінки, покращений пошук по сторінці з маркіруванням кожного екземпляра шуканого слова чи фрази, інтелектуальний адресний рядок і багато інших удосконалень.

Ясна річ, у новинці багато уваги приділено безпеці і конфіденційності. У програму внесений ряд внутрішніх поліпшень для забезпечення безпечної роботи. Серед зовнішніх поліпшень необхідно відзначити новий режим InPrivate, що забезпечує конфіденційність при покупках через Інтернет, а поліпшений фільтр SmartScreen захищає від недобрих сайтів прагнучих тим чи іншим способом нашкодити чи того гірше обманути користувача. Також SmartScreen містить засоби для захисту від шпигунського і рекламного ПЗ. Ще одним нововведенням є функція виділення домена в адресному рядку, завдяки чому завжди ясно на якому саме сайті знаходиться користувач.

Також зазначу, що в IE8 доданий вбудований XSS-фільтр, який призначений для захисту користувачів браузеру від XSS атак. Але ще до виходу браузеру (аналізуючи його бета версії), секюріті дослідники відзначили слабку ефективність XSS-фільтру.

По матеріалам http://www.internet.ru.

Нещодавно, 08.04.2009, вийшов PHP 5.2.9-2 (для Windows).

Даний реліз виправляє уразливості, що мали місце в бібліотеці OpenSSL (CVE-2009-0590, CVE-2009-0591 та CVE-2009-0789). Бібліотека OpenSSL була оновлена до версії 0.9.8k. Тільки Windows пакети PHP є вразливими.

По матеріалам http://www.php.net.

Сьогодні вийшла нова версія програми Perl Pas Interpreter v.1.4.8. В новій версії:

• Покращені анти-DoS фільтри.
• Додана можливість визначення некоректного ітератора в циклі for.
• Додана можливість визначення нескінченних циклів в циклах while і repeat until.
• Введене обмеження на розмір строкових даних (255 символів).
• Обмеження розміру строкових даних додане в функції concat та insert.

Деталі на сайті інтерпретатора. Тема для обговорення програми на форумі.

Додаткова інформація про Perl Pas Interpreter в розділі Онлайн інструменти.

Сьогодні вийшла нова версія програми Perl Pas Interpreter v.1.4.7. В новій версії:

• Додана підтримка операторів div та mod в циклах for.
• Додана підтримка операторів div та mod в циклах while.
• Додана підтримка операторів div та mod в циклах repeat until.
• Виправлена робота write і writeln з функціями.

Деталі на сайті інтерпретатора. Тема для обговорення програми на форумі.

Додаткова інформація про Perl Pas Interpreter в розділі Онлайн інструменти.

Нещодавно, 10.03.2009, через деякий час після виходу PHP 5.2.9, вийшов PHP 5.2.9-1 (для Windows).

Даний реліз виправляє уразливість, що мала місце в бібліотеці cURL (CVE-2009-0037). Тільки Windows пакети PHP є вразливими.

По матеріалам http://www.php.net.