Websecurity - Веб безпека

У грудні, 07.12.2017, через півтора місяці після виходу Google Chrome 62, вийшов Google Chrome 63.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Виправлено 37 уразливостей, одна з них критична. З яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer, MemorySanitizer, Control Flow Integrity і LibFuzzer. Що більше ніж в попередній версії.

• Выпуск web-браузера Chrome 63 (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://osvita-kp.gov.ua (хакером Ayyildiz Tim-maress) - 10.07.2017 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://belozirmvk.gov.ua (хакером Shade) - 19.10.2017 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://evrik.com.ua (хакером ReC0ded) - 23.09.2017, зараз сайт вже виправлений адмінами
• http://www.pferd.com.ua (хакером HerCulano)
• http://militaryaviation.in.ua (хакером Mister Spy) - 27.01.2018, зараз сайт вже виправлений адмінами

У серпні, 28.08.2017, я виявив Cross-Site Scripting та Cross-Site Request Forgery уразливості в D-Link DGS-3000-10TC. Це третя частина дірок в цьому комутаторі.

Раніше я писав про уразливості в пристроях даної компанії, зокрема в D-Link DAP-1360 та D-Link DGS-3000-10TC.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам пристрою.

У лютому місяці Microsoft випустила нові патчі.

У лютневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло багато патчів, але починаючи з квітня 2017 року бюлетені по безпеці не випускаються, тому їх кількість невідома. Компанія вказує лише назви продуктів та номера патчів, а не кількість і деталі бюлетенів (патчів). Вони закривають уразливості в програмних продуктах компанії.

Дані патчі стосуються поточних операційних систем компанії Microsoft - Windows 7, 8.1, RT 8.1, 10 та 2016. А також Microsoft Office, Internet Explorer і Edge, SharePoint Server і Project Server.

Також Microsoft випустила патч для уразливостей в Adobe Flash Player, що постачається з Windows.

В даній добірці експлоіти в веб додатках:

• Adobe Connect 9.5.7 - Cross-Site Scripting (деталі)
• CS-Cart 4.3.10 - XML External Entity Injection (деталі)
• Atlassian Confluence AppFusions Doxygen 1.3.0 - Directory Traversal (деталі)
• Sync Breeze Enterprise 9.1.16 - ‘Login’ Remote Buffer Overflow (деталі)
• Dup Scout Enterprise 9.1.14 - ‘Login’ Remote Buffer Overflow (деталі)