Websecurity - Веб безпека

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах amtyThumb, Advanced Post Type Ratings, In Link, Emag Marketplace Connector, Yoast SEO. Для котрих з’явилися експлоіти.

• WordPress amtyThumb 8.1.3 Cross Site Scripting (деталі)
• WordPress Advanced Post Type Ratings 1.1 Cross Site Scripting (деталі)
• WordPress In Link 1.0 SQL Injection (деталі)
• WordPress Emag Marketplace Connector 1.0 Cross Site Scripting (деталі)
• WordPress Yoast SEO Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У грудні, 15.12.2020, вийшов Mozilla Firefox 84. Нова версія браузера вийшла майже через місяць після виходу Firefox 83.

Mozilla офіційно випустила реліз веб-браузера Firefox 84, а також мобільну версію Firefox 84 для платформи Android. Відповідно до циклу розробки, Firefox 85 вийде 26 січня.

В браузері було зроблено багато нововведень. Та зроблені покращення безпеки.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 84.0 усунуто численні уразливості в 14 патчах, що менше ніж в попередній версії. Серед яких є одна критична, що може призвести до віддаленого виконання коду зловмисника. Mozilla типово виправляє по декілька дір за один патч.

В даній добірці експлоіти в веб додатках:

• KevinLAB BEMS 1.0 - Unauthenticated SQL Injection / Authentication Bypass (деталі)
• KevinLAB BEMS 1.0 - File Path Traversal Information Disclosure (Authenticated) (деталі)
• Microsoft SharePoint Server 2019 - Remote Code Execution (деталі)
• PHP 7.3.15-3 - ‘PHP_SESSION_UPLOAD_PROGRESS’ Session Data Injection (деталі)
• Neo4j 3.4.18 - RMI based Remote Code Execution (RCE) (деталі)

Пропоную ознайомитися зі звітом про хакерську активність в Уанеті в другому півріччі 2020 року.

За другу половину поточного року хакери в Уанеті ведуть себе достатньо активно, як і в аналогічному періоді 2019 року. 400 атак на веб сайти проти 400 - це аналогічна активність. Але атакованих сайтів явно значно більше і хакерська активність постійно зростає. Що видно з великої кількості інфікованих сайтів (які я не відношу до взломаних, бо напевно невідомо, що їх взломали, але це дуже вірогідно). Дані про злами сайтів наведу після завершення аналізу масових дефейсів.

Також були інфіковані 70 сайтів, які вірогідно були похакані в цьому році. Що ідентично до 70 інфікованих сайтів за аналогічний період минулого року.

Інфіковані сайти у другій половині 2020 року: footmir.com, cs-hack.fun, avtoshoolvsa.zt.ua, delfa-test.mk.ua, sodeistvie-pmr.com, ramprulad.com.ua, windows-soft.at.ua, kupi-vip.com.ua, flatout.at.ua, 221b.com.ua, autopartsnetwork.com.ua, voprosnik.top, gooood.zzz.com.ua, nord.adr.com.ua, orion-sparta.com, medsvit.com.ua, wow-ok.at.ua, chiptuner.ucoz.ua, thelegendarypike.zzz.com.ua, trulolo.zzz.com.ua, thekorol.zzz.com.ua, net.dn.ua, filin.at.ua, zero.kl.com.ua, road2pro.at.ua, activation.zzz.com.ua, transform.zzz.com.ua, plaza777.co.ua, s21.cshost.com.ua, fps.zzz.com.ua, china-tefon.at.ua, sirogasoft.zzz.com.ua, letsz0ck3r.zzz.com.ua, hooligan8.at.ua, guanpro.com, 000.at.ua, prof-xaker.at.ua, solocrd.zzz.com.ua, shtorm.inf.ua, professionalshippngng.com, ritual-k.in.ua, vbi.od.ua, guanpro.com, phoenix-mg.ucoz.com, jokoli.ucoz.net, msvcnet.ucoz.net, netnetget.ucoz.net, booksonline.com.ua, diagnoz.net.ua, referatu.net.ua, info-library.com.ua, radnuk.info, domahi.net, unbib.mk.ua, eenu.edu.ua, palata.fm, samcore.pro, paintball-bears.com.ua, cybersports.pro, soos.kvant.if.ua, knopka-b.kvant.if.ua, ns.digicom.net.ua, 60seconds.in.ua, rusanovka.triolan.com.ua, blockbuster.ua, vipclub-casino.com, 9journal.com.ua, maids.ua, ndiop.kiev.ua, s1.pcw.pp.ua.

Серед них є сайти з криптомайнерами. Найближчим часом підведу підсумки активності хакерів в Уанеті за 2020 рік.

У липні, 29.07.2021, вийшли PHP 7.4.21 і PHP 8.0.9. У версії 7.4.22 виправлено багато багів і уразливостей, у версії 8.0.9 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.4.x і 8.0.x.

У PHP 7.4.22 і 8.0.9 виправлено:

• DoS у preg_replace в PCRE.
• Вибивання.
• Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.

Виявлені численні уразливості безпеки в Mozilla Firefox і Thunderbird.

Уразливі продукти: Mozilla Firefox 80, Firefox ESR 78.2, Thunderbird ESR 78.2.

Пошкодження пам’яті, виконання коду, підробка походження викачаного файлу, XSS.

• MFSA 2020-42 Security Vulnerabilities fixed in Firefox 81 (деталі)

Продовжуючи розпочату традицію, після попереднього відео про ботнети з мережевих пристроїв, пропоную нове відео на секюріті тематику. Цього разу відео про взлом різноманітних мережевих пристроїв. Рекомендую подивитися всім хто цікавиться цією темою.

DEFCON 25 - All Your Things Are Belong To Us

В жовтні на конференції DEFCON відбувся виступ Zenofex, 0×00string, CJ 000 та Maximus64. В своєму виступі вони розповіли про атаки на різноманітні мережевих пристроїв - від IP камер до розумних телевізорів. В яких вони виявили численні уразливості, що вони представили в своїй доповіді як 0-day. Тому всі бажаючі могли одразу протестувати ці уразливості в зазначених пристроях.

Вони розповіли про проблеми з безпекою в багатьох мережевих пристроях, тим самим давши зрозуміти, що всі мережеві пристрої можуть бути взломані. Це веб камери, DVR, мережеві принтери, відеофони, мережеві системи зберігання даних (NAS), флешки для медіа стрімінгу, портативні Wi-Fi колонки, Wi-Fi роутери, програвачі Blue-ray дисків з сервісом медіа стрімінгу, системи розумного будинку, Smart TV. Рекомендую подивитися дане відео для розуміння поточного стану безпеки мережевих пристроїв.

У листопаді, 17.11.2020, вийшов Mozilla Firefox 83. Нова версія браузера вийшла майже через місяць після виходу Firefox 82.

Mozilla офіційно випустила реліз веб-браузера Firefox 83, а також мобільну версію Firefox 83 для платформи Android. Відповідно до циклу розробки, Firefox 84 вийде 15 грудня.

В браузері було зроблено багато нововведень. Та зроблені покращення безпеки.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 83.0 усунуто численні уразливості в 21 патчі, що значно більше ніж в попередній версії. Серед яких немає критичних, але чотири уразливостей позначені як високого ризику, що потенційно можуть призвести до віддаленого виконання коду зловмисника. Mozilla типово виправляє по декілька дір за один патч.

Відбувся масовий взлом сайтів на сервері URAN. Він тривав на протязі 2017-2021 років: з 13.04.2017 по 31.07.2021.

Був взломаний сервер української асоціації URAN. Взлом складався з декількох масових дефейсів та багатьох окремих дефейсів. Вони відбулися тоді ж, що й масовий взлом сайтів на сервері Ukraine.

Всього було взломано 837 сайтів на сервері хостера URAN (IP 212.111.212.230). Перелік сайтів можете подивитися на www.zone-h.org. В тому числі державні ресурси npstudies.dnpb.gov.ua, patp.academy.gov.ua, jna.bio.gov.ua, vnv.asv.gov.ua двічі, vtz.asv.gov.ua двічі, journals.dnpb.gov.ua двічі, zbirnyk-nadu.academy.gov.ua двічі, journal.sops.gov.ua двічі та visnyk-nadu.academy.gov.ua.

З них 302 сайтів були взломані хакерами з Katib та інші сайти іншими хакерами.

Масові дефейси хакером з Katib явно були зроблені через взлом серверу хостинг провайдера. У випадку окремих дефейсів по одному чи декілька сайтів, всі вони явно були зроблені при взломах окремих сайтів. Але також можлива атака на інші сайти на даному сервері через взлом одного сайту та використання уразливостей в програмному забезпеченні сервера.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Boozang, Cartogiraffe Map, Affiliate Ads For Clickbank Products, AMP Toolbox, DFD Reddcoin Tips. Для котрих з’явилися експлоіти.

• WordPress Boozang 1.0.0 Cross Site Scripting (деталі)
• WordPress Cartogiraffe Map 1.0 Cross Site Scripting (деталі)
• WordPress Affiliate Ads For Clickbank Products 1.3 XSS (деталі)
• WordPress AMP Toolbox 1.9.4 Cross Site Scripting (деталі)
• WordPress DFD Reddcoin Tips 1.1.1 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.