Websecurity - Веб безпека

В даній добірці уразливості в веб додатках:

• HP Operations Orchestration, Unauthorized Access to Information (деталі)
• mediawiki security update (деталі)
• Apache Hive Authorization vulnerability (деталі)
• Apache Continuum affected by Remote Command Execution (деталі)
• HP Operations Orchestration, Cross-Site Scripting (XSS) and Cross-Site Request Forgery (CSRF) (деталі)

У лютому, 09.02.2015, я знайшов Brute Force, Cross-Site Scripting та Cross-Site Request Forgery уразливості в ZyXEL Keenetic Lite. Це Wireless Router і AP.

Раніше я писав про уразливості в ADSL модемі Zyxel P660RT2 EE.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам пристрою.

У березні, 05.03.2014, вийшов Mozilla Firefox 36.0.1. Нова версія браузера вийшла після виходу Firefox 36.

Це коригувальний випуск в якому виправлені баги, а також два вибивання браузера. Мозіла не зарахувала ці crash до уразливостей, а до багів, як вона це дуже часто робить.

У березні, 16.03.2014, вийшов Mozilla Firefox 36.0.2. Ця версія вийшла лише для мобільних пристроїв (Firefox для Android). В ній виправлені баги - два вибивання браузера. Один crash з Flash відео та інший з пристроями HTC One M8 на Android 5.0.1.

У березні, 20.03.2014, вийшов Mozilla Firefox 36.0.3. В ній виправлена одна критична уразливість Mozilla Foundation Security Advisory 2015-29.

У березні, 21.03.2014, вийшов Mozilla Firefox 36.0.4. В ній виправлена одна критична уразливість Mozilla Foundation Security Advisory 2015-28. Спочатку цей патч вийшов у версії 36.0.3, але він виявився недостатнім, тому випустили нову версію в 36.0.4.

Наприкінці березня вийшов Firefox 37.

16.12.2014

Виявлені уразливості безпеки в libmagic, file, fileinfo і PHP.

Уразливі продукти: PHP 5.4, PHP 5.5, PHP 5.6, libmagic, file, fileinfo.

Уразливості при розборі ELF.

• Multiple vulnerabilities in file and libmagic (деталі)

04.04.2015

Додаткова інформація.

• file security update (деталі)

В даній добірці експлоіти в веб додатках:

• IBM Endpoint Manager 9.1.x / 9.2.x Cross Site Scripting Vulnerability (деталі)
• NetGear WNDR Authentication Bypass / Information Disclosure Vulnerabilities (деталі)
• Internet Explorer OLE Automation Array Remote Code Execution Exploit (деталі)
• Internet Explorer OLE Automation Array Remote Code Execution (msf) Exploit (деталі)
• Lantronix xPrintServer Remote Command Execution / CSRF Vulnerabilities (деталі)

В жовтні, 11.10.2014, я знайшов Cross-Site Scripting та Redirector уразливості на сайті Яндекс.Деньги https://money.yandex.ru. Про що найближчим часом сповіщу адміністрацію пошуковця.

Раніше я вже писав про уразливості на money.yandex.ru.

Детальна інформація про уразливості з’явиться пізніше.

У березні, 19-20.03.2015, вийшли PHP 5.4.39, PHP 5.5.23 і PHP 5.6.7. У версії 5.4.39 виправлено 6 уразливостей, у версіях 5.5.23 і 5.6.7 виправлено декілька багів і 4 уразливості.

Дані релізи направлені на покращення безпеки і стабільності гілок 5.4.x, 5.5.x і 5.6.x.

У PHP 5.4.39, 5.5.23 і 5.6.7 виправлено:

• Use after free уразливість в unserialize().
• Налаштування для директорій переважали налаштування конфігурації php.ini.
• NULL byte дозволялися в move_uploaded_file.
• Heap overflow уразливість в regcomp.c.
• Помилка з типізацією SoapClient __call() через unserialize().
• Integer Overflow уразливість в модулі ZIP.

По матеріалам http://www.php.net.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, зокрема про DoS і DDoS атаки (статті з Вікіпедії):

• Ping flood
• Ping of death
• Robust random early detection
• Regular expression denial of service (ReDoS)
• Slashdot effect

В даній добірці уразливості в веб додатках:

• HP B-series SAN Network Advisor, Remote Code Execution (деталі)
• Vulnerabilities in otrs (деталі)
• CodeIgniter <= 2.1.4 Session Decoding Vulnerability (деталі)
• icinga security update (деталі)
• EMC NetWorker Information Disclosure Vulnerability (деталі)

У березні, 31.03.2015, вийшов Mozilla Firefox 37. Нова версія браузера вийшла через півтора місяці після виходу Firefox 36.

Mozilla офіційно випустила реліз веб-браузера Firefox 37, а також мобільну версію Firefox 37 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 38 намічений на 12 травня, а Firefox 39 на 30 червня.

Також були випущені Seamonkey 2.34 та оновлені гілки із тривалим терміном підтримки Firefox 31.6 і Thunderbird 31.6.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 37.0 усунуто 13 уразливостей, серед яких 4 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 37 (деталі)