Websecurity - Веб безпека

На початку місяця, 03.01.2008, вийшов PHP 4.4.8, у якому виправлено багато помилок та уразливостей. Даний реліз направлений на покращення безпеки та стабільності гілки 4.4.x (котра вже не розвивається і випуск секюріті оновлень буде припинено 8 серпня цього року).

Серед секюріті покращень та виправлень в PHP 4.4.8:

• Покращене виправлення для MOPB-02-2007.
• Виправлене цілочислене переповнення буферу в chunk_split().
• Виправлене цілочислене переповнення буферу в str[c]spn().
• Виправлена регресія в glob при вімкненому open_basedir (що з’явилася після фікса бага #41655).
• Виправлена money_format(), що не приймала багатократні токени %i та %n.
• Додана “max_input_nesting_level” опція в php.ini для обмеження рівнів вкладенності вхідних змінних. Виправлення для MOPB-03-2007.
• Виправлена INFILE LOCAL опція при роботі з MySQL - щоб не дозволяти при активному open_basedir чи safe_mode.
• Виправлені session.save_path та error_log значення, що будуть перевірятися стосовно open_basedir та safe_mode.

По матеріалам http://www.php.net.

Наприкінці грудня, 29.12.2007, вийшла нова версія WordPress 2.3.2 - оновлення для гілки WP 2.3.x.

WordPress 2.3.2 це багфікс та секюріті випуск для 2.3 серії. В даній версії було виправлено багато багів та уразливостей, в тому числі серйозних уразливостей, про які я писав в грудні.

Зазначу, що в офіційному пості на сайті зазначені не всі виправлення, а лише частина - про деякі виправлення зумисно не було повідомлено в пості. Про них можна дізнатися лише подивившися детальну інформацію про зміни в файлах. На сторінці Trac з переліком виправлень також наведені не всі виправлення (зокрема не всі секюріти фікси).

Офіційно розробники WP повідомили, що в WordPress 2.3.2 виправлений баг з витоком інформації про чорнетки, а також пофіксені Information disclosure уразливості (виявлені мною), та були виправлені витоки інформації в XML-RPC та APP реалізаціях. В якості бонуса, в версії 2.3.2 була додана можливість задавати власну сторінку з повідомленнями про помилки в БД.

Як наводиться в Trac були виправлені наступні баги та уразливості:

• Покращена швидкодія роботи системи (оптимізовані функції sanitize_post та sanitize_post_field)
• По замовчуванню не виводяться повідомлення про помилки в БД (поки не встановлено WP_DEBUG в true). Нарешті вони зробили те, про що я просив їх ще в жовтні 2006, коли знайшов перші SQL DB Structure Extraction в WP
• Власна DB Error Page
• Обмежений витік інформації в XML-RPC
• Виправлена дірка в query.php, що приводила до витоку інформації про чорнетки
• Скрипти setup-config.php та install.php тепер перевіряють на коректний зв’язок з MySQL

Але це не вся інформація про секюріти виправлення в WP 2.3.2. Як повідомив Peter Westwood в своєму пості WordPress 2.3.2 in detail, в даній версії було зроблено набагато більше виправлень (ніж повідомлено в офіційному пості).

Він навів 12 найбільш важливих виправлень. Окрім вище наведених (в Trac) 6 виправлень, також відзначу наступні:

• Введені різні правила для різних типів URI
• Виправлена XSS уразливість в wp-mail.php
• Обмежений витік інформації в xmlrpc методі wp.getAuthors
• Додані додаткові перевірки в методах xmlrpc
• Додані додаткові перевірки в APP сервері
• Виправлена функція validate_file() для протидії Directory traversal (на Windows) - про численні Local file include, Directory traversal та інші уразливості (що були виправлені в даній версії) я писав раніше

Зазначу, що хоча в цій версії виправленні численні Directory traversal та Local file include та Information disclosure уразливості (знайдені мною), а також відключене по дефолту виведення помилок роботи з БД (що я пропонував їм зробити ще в 2006 році), розробники жодного разу не згадали про мою допомогу, що є дуже нечемно. Більш того, вони не відповіли на більшість з моїх останніх листів і не подякували мені, лише тихенько виправили дірки (і навіть не про всі з них згадали в офіційному пості), що дуже несерйозно з їхнього боку.

Також зазначу, що дані уразливості, про котрі я писав в грудні, виправлені лише в версії WP 2.3.2 (тобто в гілці 2.3.x). Всі попередні версії, зокрема гілки 2.0.x, 2.1.x та 2.2.x (в тому числі останні версії в цих гілках) є вразливими.

В листопаді минулого року вийшов Invision Power Board v2.3.3, тому всім хто користується движком IPB, раджу звернути увагу на нову версію.

• Русская версия IP.Board 2.3.3 (деталі)

Компанія IBResource офіційно повідомляє про випуск російської версії форуму IР.Воard v2.3.3 (Invision Power Board).

Вихід цієї версії пов’язаний винятково з виправленням декількох десятків помилок, знайдених у версіях 2.3.1 і 2.3.2. Були незначно змінені HTML шаблони в стилях. Але кардинальних змін не було, тому ваші власні стилі від IPB 2.3.1 будуть цілком сумісні з 2.3.3.

Сьогодні вийшла нова версія програми Perl Pas Interpreter v.1.3.6. В новій версії:

• Додана функція inc.
• Додана функція dec.
• Покращена підтримка арифметичних виразів в операторі while.
• Покращена робота оператора div та функції random з масивами (з індексом-змінною).

Деталі на сайті інтерпретатора. Тема для обговорення програми на форумі.

Додаткова інформація про Perl Pas Interpreter в розділі Онлайн інструменти.

Вчора вийшла нова версія програми Perl Pas Interpreter v.1.3.5. В новій версії:

• Додана підтримка циклів while.
• В операторі while підтримуються арифметичні вирази.
• Обмеження ($loop) дійсне для циклів while так само як для міток.
• Покращена робота оператора div в арифметичних виразах.
• Покращена робота функцій frac та odd з масивами (з індексом-змінною).

Деталі на сайті інтерпретатора. Тема для обговорення програми на форумі.

Додаткова інформація про Perl Pas Interpreter в розділі Онлайн інструменти.

Нещодавно, 08.11.2007, вийшов PHP 5.2.5, у якому виправлено більше 60 помилок, в тому числі уразливостей. Даний реліз направлений на покращення стабільності гілки 5.2.x.

Серед секюріті покращень та виправлень в PHP 5.2.5:

• Виправлений dl(), щоб приймати тільки імена файлів.
• Виправлений dl(), для обмеження розміру аргументу до MAXPATHLEN.
• Виправлені htmlentities та htmlspecialchars, щоб не приймати деякі мультибайтні послідовності.
• Виправлені переповнення буфера в glibc імплементації функцій fnmatch(), setlocale() та glob().
• Виправлена “mail.force_extra_parameters” директива php.ini, щоб не бути модифікованою в .htaccess.
• Виправлений баг #42869 (пов’язаний з тим, що автоматичне включення session id додає його до нелокальних форм).
• Виправлений баг #41561 (пов’язаний з тим, що значення встановлені з php_admin_* в httpd.conf можуть бути переписані з ini_set()).

По матеріалам http://www.php.net.

Нещодавно, 26.10.2007, вийшла нова версія WordPress 2.3.1 - оновлення для гілки WP 2.3.x.

WordPress 2.3.1 це багфікс та секюріті випуск для 2.3 серії. В даній версії було виправлено більше 20 багів та декілька уразливостей.

Серед виправлень додана відтримка тегів Windows Live Writer, виправлений баг з логіном, пришвидшена робота таксономії, пофіксений імпортер лінків. Серед секюріті проблем була виправлена XSS уразливість.

Позавчора вийшла нова версія програми Perl Pas Interpreter v.1.3.4. В новій версії:

• Додана функція arctan.
• Додана підтримка оператора div в write та writeln.
• Покращена робота оператора присвоєння з масивами.
• Покращена робота функцій exp та ln з масивами (з індексом-змінною).

Деталі на сайті інтерпретатора. Тема для обговорення програми на форумі.

Додаткова інформація про Perl Pas Interpreter в розділі Онлайн інструменти.

Нещодавно, 25.09.2007, вийшла нова версія WordPress 2.3.

Дана версія WordPress 2.3 - це значне оновлення движка. В цьому релізі додана підтримка тегування, оповіщень про оновлення плагінів, покращене управління URL та багато іншого.

Серед нових функцій даної версії:

1. Вбудована підтримка тегування (tagging), котру можна використовувати разом з категоріями (для своїх записів). Також додані імпортери для декількох Вордпресових плагінів для підтримки тегів, щоб можна було перенести дані з них до нової системи тегів.
2. Нова система оповіщення про оновлення плагінів.
3. Покращені механізми управління URL записів та сторінок (додана підтримка канонічних URL). Що зробить сайт більш зручним як для користувачів, так і пошукових систем.
4. Нова функція очікування огляду запису для блогів, котрі ведуть декілька авторів.
5. Новий просунутий WYSIWYG функціонал.

Нові функції для розробників:

1. Повна підтримка Atom 1.0, включно з протоколом публікації.
2. Використання jQuery, який на “800% швидше”.
3. За системою тегування, котру бачать користувачі, стоїть потужна система тахономії, що додає багато гнучкості.
4. Імпортери були перероблені, для кращого використання пам’яті. І тепер можна додавати імпортери через плагіни.
5. Через хуки та фільтри тепер можна перевизначити багато функціоналу (більше ніж раніше).
6. Новий $wpdb->prepare() підхід до виконання SQL запитів.
7. Виправлено чимало багів і зроблено чимало покращень.

Вчора вийшла нова версія програми Perl Pas Interpreter v.1.3.3. В новій версії:

• Додане персонофіковане збереження текста програми (в онлайн інтерпретаторі).
• Зроблені кнопки “Прочитати” та “Зберегти”. Збереження відбувається в кукіс.
• Додана підтримка оператора mod в write та writeln.
• Покращена робота функцій round та trunc з масивами (з індексом-змінною).

Деталі на сайті інтерпретатора. Тема для обговорення програми на форумі.

Додаткова інформація про Perl Pas Interpreter в розділі Онлайн інструменти.