В недавно состоявшемся релизе офисного пакета Apache OpenOffice 4.1.4 без лишней огласки было устранено три критических уязвимости, позволяющих выполнить код при открытии определённым образом оформленных файлов: CVE-2017-9806 - отсутствие проверки на выход за границы буфера в конструкторе класса WW8Fonts может привести к выполнению кода при обработке в OpenOffice Writer DOC-файла со специально оформленным встроенным шрифтом; CVE-2017-12607 - ошибка в компоненте PPTStyleSheet из состава OpenOffice Draw из-за возможности записи за пределы буфера может привести к выполнению кода при открытии определённым образом оформленного файла в формате PPT; CVE-2017-12608 - запись за границы буфера в классе WW8RStyle::ImportOldFormatStyles может привести к выполнению кода при открытии специально оформленного DOC-файла.
Доступен релиз HTTP-сервера Apache 2.4.29, в котором представлено 8 изменений. В новом выпуске: Изменён метод генерации уникальных идентификаторов в mod_unique_id (вместо IP-адреса и PID текущего процесса задействован генератор псевдослучайных чисел); Обновлён модуль mod_http2, в котором отключены оптимизации обработки мютексов из-за возникновения сбоев при определённом стечении обстоятельств. В mod_rewrite добавлена поддержка запуска внешних программ перезаписи URL под отдельным непривилегированным пользователем (имя и группа передаются в третьем аргументе директивы RewriteMap); С целью снижения потребления памяти переписан фильтр для заголовка Content-Length, который теперь более часто генерирует Chunked-ответы; В mod_ssl улучшена совместимость с OpenSSL 1.1.
Некоммерческий удостоверяющий центр Let’s Encrypt, контролируемый сообществом и предоставляющий сертификаты безвозмездно всем желающим, представил выпуск mod_md 1.0, модуля к http-серверу Apache для автоматизации получения и обслуживания сертификатов с использованием протокола ACME (Automatic Certificate Management Environment). При помощи mod_md можно упростить процесс сопровождения сертификатов на серверах с большим числом сайтов или в системах массового хостинга. При наличии mod_md пользователям не нужно заботиться об обновлении сертификатов, модуль сам получит необходимые сертификаты в сервисе Let’s Encrypt при первом запуске, организует их загрузку в mod_ssl (указание директив SSLCertificate* не требуется) и периодически будет обновлять сертификаты при приближении к истечению срока действия. Модуль mod_md уже принят в экспериментальную ветку Apache httpd и запланирован к бэкпортированию в стабильную ветку 2.4.x. Из нововведений экспериментальной ветки httpd также отмечается новая
Вышел релиз HTTP-сервера Apache 2.4.28, в котором представлено 15 изменений, среди которых устранение уязвимости CVE-2017-9798, о которой сообщалось ранее. Уязвимость проявляется на системах с разрешённым HTTP-методом OPTIONS и позволяет через манипуляции с настройками в файле .htaccess инициировать утечку отрывков памяти, содержащих остаточные данные от обработки текущим процессом запросов от других клиентов системы совместного хостинга. Среди других изменений: налаживание совместимости с LibreSSL в mod_ssl, устранение проблем с добавлением заголовков через директиву ProxyAddHeaders в mod_proxy, возможность динамического обновления протокола в mod_proxy_wstunnel, исправление остановки обработки при записи более 32KB в приостановленный поток mod_http2. Также можно отметить выпуск проекта cowboy 2.0, в рамках которого развивается компактный и быстрый http-сервер, ориентированный на предоставление полноценного HTTP-сетка для проектов на Erlang/OTP и оптимизированного для минимизации задержек и сокращения
В http-сервере Apache выявлена уязвимость (CVE-2017-9798), которая опубликована под кодовым именем Optionsbleed. Уязвимость проявляется на системах с разрешённым HTTP-методом OPTIONS и может привести к утечке отрывков памяти, содержащих остаточные данные от обработки текущим процессом запросов от других клиентов системы совместного хостинга. Для тестирования подверженности своих систем проблеме подготовлен прототип эксплоита. Проблема актуальна только для систем хостинга, на которых размещаются сайты разных пользователей, так как для атаки требуется изменение настроек через файл .htaccess. В частности, утечка данных из памяти возникает при выполнении запроса OPTIONS, если в директиве Limit задано ограничение для несуществующего или незарегистрированного HTTP-метода. В этом случае при выполнении запроса OPTIONS отдаётся содержимое уже освобождённого блока памяти, в котором могут находиться конфиденциальные данные от выполнения прошлых запросов. Несмотря на специфичные условия проявления проблемы
На сайте с информацией о взломе Equifax, в результате которого произошла утечка персональных данных 44% населения США, появилось подтверждение сведений, что для атаки была применена уязвимость CVE-2017-5638. Данная уязвимость была устранена в мартовском обновлении Apache Struts, в то время как атака на Equifax была проведена с мая по июль, т.е. причиной взлома стала халатность персонала, которые не установили обновление с исправлением критической уязвимости. Примечательно, что в аргентинском отделении Equifax выявлена ещё более знаковая оплошность - оказалось, что на портал для сотрудников Equifax, предназначенный для управления кредитными спорами, можно было войти при помощи логина/пароля admin/admin. Воспользовавшись данной учётной записью исследователям удалось получить персональные данные о всех сотрудниках аргентинского отделения и сведения о более 14 тысячах кредитных спорах, в которых приведены персональные данные получателей кредитов (в том числе номера телефонов и DNI). Более того, были получены
Исследователи безопасности из компании Cisco предупредили о фиксации новой волны атак на системы, использующие уязвимые версии Apache Struts. Для получения контроля над системами в атаках используется обнародованная несколько дней назад критическая уязвимость (CVE-2017-9805), позволяющая выполнить код на сервере. В зафиксированной вредоносной активности преобладают POST-запросы к ресурсу /struts2-rest-showcase/orders/3 с отправкой информации об уязвимой системе на хосты wildkind.ru и st2buzgajl.alifuzz.com. Кроме того, сообщается о подверженности уязвимостям в Apache Struts многих продуктов Cisco, в которых применяется данный фреймворк. Уязвимость подтверждена в продуктах Cisco Digital Media Manager, Cisco MXE 3500 Series Media Experience Engines, Cisco Unified Contact Center Enterprise, Cisco Unified Intelligent Contact Management Enterprise и Cisco Network Performance Analysis. В процессе анализа находятся продукты, в которых имеются подозрения на проявление уязвимости: Cisco Unified MeetingPlace
Опубликовано обновление web-фреймворка Apache Struts 2.5.13, применяемого для создания web-приложений на языке Java с использованием парадигмы Model-View-Controller. Apache Struts в основном распространён для создания корпоративных web-приложений. В состав выпуска включено исправление критической уязвимости (CVE-2017-9805), позволяющей выполнить код на стороне сервера. Уязвимость проявляется при использовании плагина REST с обработчиком XStream для десериализации XML-блоков (применяются по умолчанию). Проблема пока остаётся неисправленной в дистрибутивах Debian, EPEL-7, Ubuntu (в SUSE, Fedora и RHEL Struts 2 не поставляется). Если нет возможности обновить версию Struts в качестве обходного пути блокирования уязвимости предлагается удалить плагин Struts REST.
Компания Facebook сообщила, что не имеет возможности отказаться от применяемой ныне лицензии BSD с дополнительным соглашением об использовании патентов ("BSD+Patent"). Представители Facebook пояснили, что отказ от текущего текста приложения о патентах приведёт к ослаблению защиты от патентных троллей и увеличению ресурсов, которые придётся тратить на отражение необоснованных патентных исков. Напомним, что в прошлом месяце Фонд Apache добавил "BSD+Patent" в список несовместимых лицензий, код под которыми не разрешается использовать в проектах Apache. До 31 августа проектам Apache предписано избавиться от зависимостей под лицензией "BSD+Patent", таких как JavaScript-фреймворк React, применяемый в том числе в Apache CouchDB. Как вариант выхода из сложившейся ситуации Facebook было предложено перелицензировать код React под более современной лицензией Apache 2.0, которая близка к используемой в Facebook связке и включает пункты для минимизации рисков от патентных исков (лицензия отзывается в случае патентного
Администраторы ресурсов, использующих имена хостов с символом подчёркивания, столкнулись с проблемами, проявляющимися в новых выпусках systemd и Apache httpd, и вызванными неоднозначной трактовкой требований к именам в DNS. В соответствии с RFC 1123 в DNS запрещено использовать символ подчёркивания в именах хостов, но разрешено в именах меток. Т.е. в записях типа "A" и "MX", а также в содержимом полей "SOA" и "NS", символы подчёркивания недопускаются, но, в соответствии с RFC-2782, разрешены во вспомогательных полях, подобных "TXT" и "SRV", что активно используется, например, в системе DomainKeys. Обычно клиентское и серверное ПО достаточно лояльно относится к символу "_" в именах хостов, не требуя жесткого следования RFC, поэтому в обиходе часто встречаются поддомены с символом подчёркивания, например, в популярном на западе сервисе доставки видео Netflix используются имена подобные "ipv6_1-cxl0-c088.1.lhr004.ix.nflxvideo.net", а проект Fedora использует хост "_443._tcp.fedoraproject.org". Проблемы