GNU/Linux

Пользователи uBlock Origin заметили применение рекламными сетями и системами web-аналитики новой техники отслеживания перемещений и подстановки рекламных блоков, которая не блокируется в uBlock Origin и других дополнениях для отсеивания нежелательного контента.

Суть метода в том, что владельцы сайтов, желающие разместить код для отслеживания или показа рекламы, создают в DNS отдельный поддомен, ссылающийся на сервер рекламной сети или web-аналитики (например, создаётся CNAME-запись f7ds.liberation.fr, указывающая на сервер трекинга liberation.eulerian.net). Таким образом, рекламный код формально загружается с того же первичного домена, что и сайт, и поэтому не подвергается блокировке. Имя для поддомена выбирается в форме случайного идентификатора, что затрудняет блокировку по маске, так как связываемый с рекламной сетью поддомен трудно отличить от поддоменов для загрузки других локальных ресурсов страницы.

Разработчик uBlock Origin предложил использовать резолвинг имени в DNS для определения связанного через CNAME хоста. Метод реализован в выпуске uBlock Origin 1.24.2 для Firefox. Для активации проверки в расширенных настройках следует установить значение cnameAliasList в "*", в этом случае все проверки по чёрным спискам будут дублироваться и для имён, определяемых через CNAME. При установке обновления потребуется предоставить полномочия для получения сведений из DNS.

Для Chrome проверка CNAME не может быть добавлена, так как API dns.resolve() доступен только для дополнений в Firefox и не поддерживается в Chrome. С точки зрения производительности определение CNAME не должно привести к появлению дополнительных накладных расходов, кроме трат процессорных ресурсов на повторное применение правил для другого имени, так как при обращении к ресурсу браузер уже выполнил резолвинг и значение должно быть прокешировано. Метод защиты может быть обойдён при помощи прямой привязки имени к IP без применения CNAME, но такой подход усложняет сопровождение (в случае смены IP-адреса рекламной сети нужно будет добиться изменения данных на всех DNS-серверах издателей) и может быть обойдён через создание чёрного списка IP-адресов трекеров.

В ночных сборках Firefox, которые лягут в основу намеченного на 7 января выпуска Firefox 72, по умолчанию включена защита от отслеживания пользователей с помощью методов скрытой идентификации ("browser fingerprinting"). Защита от скрытого отслеживания включена в применяемом по умолчанию стандартном режиме блокировки нежелательного контента и осуществляется по дополнительным категориям в списке Disconnect.me, включающим хосты, уличённые в использовании скриптов для скрытой идентификации.

Под скрытой идентификацией подразумевается хранение идентификаторов в областях, не предназначенных для постоянного хранения информации ("Supercookies"), а также генерация идентификаторов на основе косвенных данных, таких как разрешение экрана, список поддерживаемых MIME-типов, специфичные параметры в заголовках (HTTP/2 и HTTPS), анализ установленных плагинов и шрифтов, доступность определённых Web API, специфичные для видеокарт особенности отрисовки при помощи WebGL и Canvas, манипуляции с CSS, анализ особенностей работы с мышью и клавиатурой.

Павел Черемушкин из Лаборатории Касперского проанализировал различные реализации системы удалённого доступа VNC (Virtual Network Computing) и выявил 37 уязвимостей, вызванных проблемами при работе с памятью. Выявленные в реализациях VNC-серверов уязвимости могут быть эксплуатированы только аутентифицированным пользователем, а атаки на уязвимости в клиентском коде возможны при подключении пользователя к серверу, контролируемому злоумышленником.

Наибольшее число уязвимостей обнаружено в пакете UltraVNC, доступном только для платформы Windows. Всего в UltraVNC выявлены 22 уязвимости. 13 уязвимостей могут потенциально привести к выполнению кода в системе, 5 к утечке содержимого областей памяти и 4 к отказу в обслуживании. Уязвимости устранены в выпуске 1.2.3.0.

В открытой библиотеке LibVNC (LibVNCServer и LibVNCClient), которая используется в VirtualBox, выявлено 10 уязвимостей. 5 уязвимостей (CVE-2018-20020, CVE-2018-20019, CVE-2018-15127, CVE-2018-15126, CVE-2018-6307) вызваны переполнением буфера и могут потенциально привести к выполнению кода. 3 уязвимости могут привести к утечке информации, 2 к осуществлению отказа в обслуживании. Все проблемы уже устранены разработчиками - большинство исправлений включено в выпуск LibVNCServer 0.9.12, но полностью все исправления пока отражены только в master-ветке и в формируемых дистрибутивами обновлениях.

В TightVNC (тестировалась кросс-платформенная устаревшая ветка 1.3, так как актуальная версия 2.x выпускается только для Windows), обнаружено 4 уязвимости. Три проблемы (CVE-2019-15679, CVE-2019-15678, CVE-2019-8287) вызваны переполнением буфера в функциях InitialiseRFBConnection, rfbServerCutText и HandleCoRREBBP, и потенциально могут привести к выполнению кода. Одна проблема (CVE-2019-15680) приводит к отказу в обслуживании. Несмотря на то, что разработчики TightVNC были уведомлены о проблемах ещё в прошлом году, уязвимости так и остаются неисправленными.

В кросс-платформенном пакете TurboVNC (форк TightVNC 1.3, использующий библиотеку libjpeg-turbo), найдена только одна уязвимость (CVE-2019-15683), но она является опасной и при наличии аутентифицированного доступа к серверу, даёт возможность организовать выполнение своего кода, так как при переполнении буфера имеется возможность контролировать адрес возврата. Проблема устранена 23 августа и не проявляется в актуальном выпуске 2.2.3.

Компания Mozilla объявила о расширении инициативы по выплате денежных вознаграждений за выявление проблем с безопасностью в элементах инфраструктуры, связанных с разработкой Firefox. Размер премий за выявление уязвимостей на сайтах и в сервисах Mozilla увеличен в два раза, а премия за выявление уязвимостей, которые могут привести к выполнению кода на ключевых сайтах, доведена до 15 тысяч долларов.

За определение метода обхода аутентификации и подстановку SQL-кода можно получить вознаграждение в 6 тысяч долларов, а за межсайтовый скриптинг и CSRF - 5 тысяч долларов. К ключевым сайтам отнесены firefox.com/org, mozilla.com/org, addons.mozilla.org, getfirefox.com, bugzilla.mozilla.org, search.services.mozilla.com, archive.mozilla.org, download.mozilla.org и ещё несколько десятков сайтов, связанных с дополнениями, обновлениями, загрузкой, синхронизацией и статистикой.

Для базовых сайтов размер премии примерно в два раза меньше. К базовым сайтам отнесены observatory.mozilla.org, getpocket.com, premium.firefox.com, hg.mozilla.org и некоторые внутренние сервисы для разработчиков.

По сравнению с ранее действующими условиями, в число ключевых сайтов и сервисов добавлены:

Autograph (сервис цифровых подписей),

Lando (сервис автоматического размещения кода из Phabricator в репозиториях),

Phabricator (инструментарий управления кодом, применяемый для рецензирования изменений),

Taskcluster (фреймворк для выполнения задач, поддерживающий систему непрерывной интеграции и процессы формирования релизов).

Из новых базовых сайтов отмечены:

Firefox Monitor (monitor.firefox.com),

Платформа локализации (l10n.mozilla.org),

Сервис Payment Subscription (обвязка над платёжной системой Stripe),

Firefox Private Network (дополнение с прокси для защиты трафика),

Ship It (система трансляции запросов на формирование релизов),

Speak To Me (система распознавания речи, лежащая в основе Speech Recognition API).

Дополнительно можно отметить намерение активировать в намеченном на 7 января релизе Firefox 72 методы борьбы с назойливыми запросами на предоставление сайту дополнительных полномочий. Многие сайты злоупотребляют предоставляемой в браузерах возможностью запроса полномочий, главным образом путём периодического вывода запросов на получение push-уведомлений. Анализ телеметрии показал, что 97% подобных запросов отклоняются, в том числе в 19% случаях пользователь сразу закрывает страницу не нажимая кнопку согласия или отклонения. В Firefox 72 подобные запросы будут блокироваться, если не зафиксировано взаимодействие пользователя со страницей (клик мышью или нажатие клавиш).

Из грядущих изменений в Firefox 72 также выделяется использование цвета фона текущей страницы для полосы прокрутки и удаление возможности привязки открытых ключей (PKP, Public Key Pinning), позволяющей при помощи HTTP-заголовка Public-Key-Pins явно определить сертификаты каких удостоверяющих центров допустимо использовать для заданного сайта. В качестве причины называется низкая востребованность данной функции, риск проблем с совместимостью (поддержка PKP прекращена в Chrome) и возможность заблокировать собственный сайт из-за привязки не тех ключей или утери ключей (например, случайное удаление или компрометация в результате взлома).

Сформирован выпуск основной ветки nginx 1.17.6, в рамках которой продолжается развитие новых возможностей (в параллельно поддерживаемой стабильной ветке 1.16 вносятся только изменения, связанные с устранением серьёзных ошибок и уязвимостей).

Основные изменения:

Добавлены новые переменные $proxy_protocol_server_addr и $proxy_protocol_server_port, которые содержат адрес и порт сервера, полученные из заголовка протокола PROXY;

Добавлена директива limit_conn_dry_run, переводящая модуль ngx_http_limit_conn_module в режим пробного запуска, при котором число соединений не ограничивается, но учитывается.

В модуле ngx_stream_limit_conn_module добавлена переменная $limit_conn_status, которая хранит результат ограничения числа соединений: PASSED, REJECTED или REJECTED_DRY_RUN;

В модуле ngx_http_limit_req_module добавлена переменная $limit_req_status, которая хранит результат ограничения скорости поступления запросов: PASSED, DELAYED, REJECTED, DELAYED_DRY_RUN или REJECTED_DRY_RUN.

Дополнительно можно отметить выпуск njs 0.3.7, интерпретатора языка JavaScript для веб-сервера nginx. Интерпретатор njs реализует стандарты ECMAScript и позволяет расширять возможности nginx по обработке запросов с помощью скриптов в конфигурации. Скрипты могут использоваться в файле конфигурации для определения расширенной логики обработки запросов, формирования конфигурации, динамической генерации ответа, модификации запроса/ответа или быстрого создания заглушек с решением проблем в web-приложениях.

В новом выпуске добавлена поддержка методов Object.assign() и Array.prototype.copyWithin(). В console.time() обеспечена возможность использования меток. Переработан код для взаимодействия со внешними объектами и обработки данных в формате JSON. Из CLI удалён вызов console.help().