Websecurity - Веб безпека

У квітні, 29.04.2021, вийшли PHP 7.3.28, PHP 7.4.18 і PHP 8.0.5 (версія 8.0.4 була пропущена). У версії 7.3.28 виправлена одна уразливість, у версії 7.4.18 виправлено багато багів і уразливостей, у версії 8.0.5 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.3.x, 7.4.x і 8.0.x.

У PHP 7.3.28, 7.4.18 і 8.0.5 виправлено:

• Header injection.
• Пошкодження пам’яті.
• Вибивання.
• Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.

Виявлені численні уразливості безпеки в Mozilla Firefox і Thunderbird.

Уразливі продукти: Mozilla Firefox 78, Thunderbird ESR 78.

Пошкодження пам’яті, виконання коду, обхід обмежень, витік інформації, DLL hijacking, підробка інтерфейсу.

• MFSA 2020-24 Security Vulnerabilities fixed in Firefox 79 (деталі)

У березні, 03.03.2021, через півтора місяці після виходу Google Chrome 88, вийшов Google Chrome 89.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Виправлено 47 уразливостей, в тому числі одна (CVE-2021-21166) критична уразливість. З яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer і AFL. Це значно більше ніж в попередній версії.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://mrugeo.ukrdgri.gov.ua (хакером Moroccan Revolution) - 05.05.2020 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://visnyk.naps.gov.ua (хакером Moroccan Revolution) - 05.05.2020 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://energobank.com.ua (хакером Bax 026 Of Iran) - 04.02.2020 - зараз сайт вже виправлений адмінами
• http://knbmarket.com (хакерами з Jiwa Terlena Team) - 01.04.2020 - зараз сайт вже закритий адмінами
• http://applemarket.in.ua (хакерами з Jiwa Terlena Team) - 01.04.2020 - зараз сайт вже закритий адмінами

В даній добірці експлоіти в веб додатках:

• Pure-FTPd 1.0.48 - Remote Denial of Service (деталі)
• Linux Kernel 5.4 - ‘BleedingTooth’ Bluetooth Zero-Click Remote Code Execution (деталі)
• vsftpd 2.3.4 - Backdoor Command Execution (деталі)
• Tenda D151 & D301 - Configuration Download (Unauthenticated) (деталі)
• GNU Wget < 1.18 - Arbitrary File Upload / Remote Code Execution (деталі)

У березні, 04.03.2021, вийшли PHP 7.4.16 і PHP 8.0.3. У версії 7.4.16 виправлено багато багів і уразливостей, у версії 8.0.3 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.4.x і 8.0.x.

У PHP 7.4.16 і 8.0.3 виправлено:

• Пошкодження пам’яті.
• Вибивання.
• Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://avtoshoolvsa.zt.ua - інфекція була виявлена 17.08.2020. Зараз сайт не входить до переліку підозрілих
• http://delfa-test.mk.ua - інфекція була виявлена 21.10.2020. Зараз сайт не входить до переліку підозрілих
• http://sodeistvie-pmr.com - інфекція була виявлена 22.10.2020. Зараз сайт не входить до переліку підозрілих
• http://smart-fun.com.ua - інфекція була виявлена 28.10.2020. Зараз сайт не входить до переліку підозрілих
• http://ecobond.ua - інфекція була виявлена 28.10.2020. Зараз сайт не входить до переліку підозрілих

Виявлені уразливості безпеки в Microsoft Internet Explorer і Microsoft Edge. Що були виправлені у вівторку патчів.

Уразливі продукти: Microsoft Internet Explorer 9, 10, 11 та Edge під Windows Server 2008, Windows 7, Windows Server 2012, Windows 8.1, Windows 10, Windows Server 2016.

Пошкодження пам’яті та виконання коду.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах School Management System, Apartment Management System, TR Easy Google Analytics, Simple Login Log та в самому WordPress. Для котрих з’явилися експлоіти.

• WordPress School Management System SQL Injection (деталі)
• WordPress Apartment Management System SQL Injection (деталі)
• WordPress 4.8.2 Activation Key Failed Expiry (деталі)
• WordPress TR Easy Google Analytics 1.0.0 Cross Site Scripting (деталі)
• WordPress Simple Login Log 1.1.1 SQL Injection (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У вересні, 22.09.2020, вийшов Mozilla Firefox 81. Нова версія браузера вийшла майже через місяць після виходу Firefox 80.

Mozilla офіційно випустила реліз веб-браузера Firefox 81, а також мобільну версію Firefox 81 для платформи Android. Відповідно до шеститижневого циклу розробки, Firefox 82 вийде 20 жовтня.

В браузері було зроблено багато нововведень. Та зроблені покращення безпеки.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 81.0 усунуто численні уразливості в 6 патчах, що так менше ніж в попередній версії. Серед яких немає критичних, але сім уразливостей позначені як високого ризику, що потенційно можуть призвести до віддаленого виконання коду зловмисника. Mozilla типово виправляє по декілька дір за один патч.