Websecurity - Веб безпека

У серпні, 18.08.2015, вийшла нова версія WordPress 4.3.

WordPress 4.3 це перший випуск нової 4.3 серії. В ній додано чимало покращень порівняно з попередніми версіями движка, а також виправлено чимало багів.

Серед головних покращень зокрема можна відзначити налаштування меню, скорочення форматування, редактор іконок сайта, покращена процедура генерування безпечних паролів та деякі покращення в адмінці.

Окрім покращень для користувачів також було зроблено багато покращень для розробників.

Виявлені численні уразливості безпеки в Google Chrome і Oxide.

Уразливі продукти: Google Chrome 45, Oxide 1.9.

Обхід обмежень, DoS, пошкодження пам’яті, розкриття інформації.

• Chrome and Oxide vulnerabilities (деталі)

В даній добірці експлоіти в веб додатках:

• Magento eCommerce - Remote Code Execution (деталі)
• IP.Board 4.X - Stored XSS (деталі)
• Jenkins 1.626 - Cross Site Request Forgery / Code Execution (деталі)
• Flash Broker-Based Sandbox Escape via Unexpected Directory Lock (деталі)
• Flash Broker-Based Sandbox Escape via Forward Slash Instead of Backslash (деталі)

У вересні, 22.09.2015, вийшов Mozilla Firefox 41. Нова версія браузера вийшла через півтора місяці після виходу Firefox 40.

Mozilla офіційно випустила реліз веб-браузера Firefox 41, а також мобільну версію Firefox 41 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 42 намічений на 3 листопада, а Firefox 43 на 15 грудня.

Також був випущений Seamonkey 2.38 та були оновлені гілки із тривалим терміном підтримки Firefox 38.3 і Thunderbird 38.3.

В цій версії зроблений показ попереджень про використання непідписаних доповнень. Хоча розробники планували вимкнути такі доповнення по замовчуванню, але відклали це до версії 43.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 41.0 усунуто 19 уразливостей, серед яких 4 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 41 (деталі)

Виявлені уразливості безпеки в Apache Subversion.

Уразливі версії: Apache Subversion 1.8.

Обхід аутентифікації, несанкціонований доступ до файлів.

• Subversion vulnerabilities (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.busk-rada.gov.ua (хакером Phenomene Dz) - 20.06.2015 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.stryirairada.gov.ua (хакером Phenomene Dz) - 20.06.2015 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://higashishop.com (хакером BrazilObscure) - 19.05.2015, зараз сайт закритий
• http://aikikai.com.ua (хакерами з SecurityCrewz) - 03.06.2015, зараз сайт вже не працює
• http://www.arktur.com.ua (хакером Phenomene Dz) - 21.06.2015, зараз сайт закритий

В даній добірці уразливості в веб додатках:

• RSA Authentication Manager Cross Frame Scripting Vulnerability (деталі)
• OctavoCMS reflected XSS vulnerability (деталі)
• Weak Local Database Credentials in Infoblox Network Automation (деталі)
• OS Command Injection Infoblox Network Automation (деталі)
• HP StoreOnce, Remote Unauthorized Access (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Twitter, PWG Random, gSlideShow, SimpleFlickr, twimp-wp. Для котрих з’явилися експлоіти.

• WordPress Twitter 0.7 CSRF / XSS (деталі)
• WordPress PWG Random 1.11 CSRF / XSS (деталі)
• WordPress gSlideShow 0.1 CSRF / XSS (деталі)
• WordPress SimpleFlickr 3.0.3 CSRF / XSS (деталі)
• WordPress twimp-wp Cross Site Request Forgery / Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У серпні, 27.08.2015, вийшов Mozilla Firefox 40.0.3. Нова версія браузера вийшла через пів місяці після виходу Firefox 40.

Це секюріті випуск в якому виправлені дві уразливості (причому помилка в реалізації елемента canvas є критичною діркою). А також виправлені деякі помилки, в тому числі два вибивання браузера, що пов’язані з GStreamer на Linux і DisplayLink на Windows. Мозіла не зарахувала ці crash до уразливостей, а до багів, як вона це дуже часто робить.

• MFSA 2015-94 Use-after-free when resizing canvas element during restyling (деталі)
• MFSA 2015-95 Add-on notification bypass through data URLs (деталі)

Виявлені уразливості безпеки в PHP.

Уразливі версії: PHP 5.4, PHP 5.5, PHP 5.6.

Переповнення буфера, DoS при роботі з файлами phar.

• php5 security update (деталі)