Websecurity - Веб безпека

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://chasy.com.ua - інфекція була виявлена 22.11.2016. Зараз сайт входить до переліку підозрілих.
• http://keramhome.com.ua - інфекція була виявлена 22.11.2016. Зараз сайт не входить до переліку підозрілих.
• http://armo.pro - інфекція була виявлена 29.11.2016. Зараз сайт не входить до переліку підозрілих.
• http://sobytiya.com.ua - інфекція була виявлена 29.11.2016. Зараз сайт не входить до переліку підозрілих.
• http://snackproduction.com.ua - інфекція була виявлена 29.11.2016. Зараз сайт не входить до переліку підозрілих.
• http://donbongres.com - інфекція була виявлена 29.11.2016. Зараз сайт входить до переліку підозрілих.
• http://dosk.kiev.ua - інфекція була виявлена 29.11.2016. Зараз сайт не входить до переліку підозрілих.
• http://vita-infinity.com - інфекція була виявлена 29.11.2016. Зараз сайт не входить до переліку підозрілих.
• http://rassvet.dn.ua - інфекція була виявлена 29.11.2016. Зараз сайт не входить до переліку підозрілих.
• http://nevagame.pp.ua - інфекція була виявлена 29.11.2016. Зараз сайт не входить до переліку підозрілих.

В даній добірці експлоіти в веб додатках:

• Nagios XI 5.2.7 - Multiple Vulnerabilities (деталі)
• Sun Secure Global Desktop and Oracle Global Desktop 4.61.915 - Exploit (Shellshock) (деталі)
• Apache Continuum 1.4.2 - Multiple Vulnerabilities (деталі)
• Bomgar Remote Support - Unauthenticated Code Execution (Metasploit) (деталі)
• op5 7.1.9 - Configuration Command Execution (Metasploit) (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Advance Categorizer, F/T/G Social Widgets, Ads In Bottom Right, Google Plus One Button, 1-Click Retweet/Share/Like. Для котрих з’явилися експлоіти.

• WordPress Advance Categorizer 0.3 Cross Site Scripting (деталі)
• WordPress F/T/G Social Widgets 1.3.7 Cross Site Scripting (деталі)
• WordPress Ads In Bottom Right 1.0 Cross Site Scripting (деталі)
• WordPress Google Plus One Button By KMS 1.5.0 CSRF / XSS (деталі)
• WordPress 1-Click Retweet/Share/Like 5.2 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Виявлені численні уразливості безпеки в Microsoft Internet Explorer і Microsoft Edge.

Уразливі продукти: Microsoft Internet Explorer 9, 10, 11 та Edge під Windows Vista, Windows Server 2008, Windows 7, Windows 8, Windows Server 2012, Windows 8.1, Windows 10, Windows Server 2016.

Численні пошкодження пам’яті та виконання коду.

• Microsoft Security Bulletin MS16-144 - Critical Cumulative Security Update for Internet Explorer (3204059) (деталі)
• Microsoft Security Bulletin MS16-145 - Critical Cumulative Security Update for Microsoft Edge (3204062) (деталі)

У грудні, 01.12.2016, вийшов PHP 7.1. У версії 7.1.0 виправлено понад сто багів і декілька уразливостей.

Це перший реліз в новій гілці 7.1.x. В якому зробили багато нововведень і покращень.

У PHP 7.1.0 виправлено:

• Use After Free уразливість в unserialize().
• Stackoverflow в imagefilltoborder на truecolor зображеннях.
• NULL Pointer Dereference в WDDX Packet Deserialization з PDORow в модулі Wddx.
• Витоки пам’яті в модулях.
• Інші уразливості в ядрі та модулях.

По матеріалам http://www.php.net.

В даній добірці уразливості в веб додатках:

• HP StoreVirtual 4000 Storage and StoreVirtual VSA, Remote Disclosure of Information, Elevation of Privilege (деталі)
• N.E.T. E-Commerce Group Cross Site Scripting Vulnerability (деталі)
• Pligg CMS 2.0.2 - Stored XSS (деталі)
• Arbitrary file deletion and multiple XSS vulnerabilities in pfSense (деталі)
• tor security update (деталі)

Сьогодні вийшла нова версія програми DAVOSET v.1.2.9. В новій версії:

• Додав підтримку XXE уразливості в AfterLogic WebMail Pro.
• Додав підтримку XXE уразливості в Oracle BI Publisher.
• Прибрав неробочі сервіси з повного списку зомбі.

Всього в списку міститься 155 зомбі-сервісів, які готові нанести удар проти диктатури.

DDoS attacks via other sites execution tool (DAVOSET) - це інструмент для використання Abuse of Functionality та XML External Entities уразливостей на одних сайтах, для проведення DoS і DDoS атак на інші сайти.

Скачати: DAVOSET_v.1.2.9.rar.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://uzhhorod.man.gov.ua (хакерами з Fallaga Team) - 01.06.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://kakhovka-rada.gov.ua (хакером Xvirus) - 06.07.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://asin.dp.ua (хакером Djamel11154) - 04.04.2016, зараз сайт вже виправлений адмінами
• http://le-gold.dp.ua (хакером Djamel11154) - 04.04.2016, зараз сайт вже виправлений адмінами
• http://harem-kylymy.com.ua (хакером Djamel11154) - 04.04.2016, зараз сайт вже виправлений адмінами

Виявлені уразливості безпеки в PHP.

Уразливі версії: PHP 5.6, PHP 7.0.

Пошкодження пам’яті, виконання коду.

• php5 security update (деталі)

В даній добірці експлоіти в веб додатках:

• SAP NetWeaver AS JAVA 7.1 < 7.5 - Information Disclosure (деталі)
• SAP NetWeaver AS JAVA 7.1 < 7.5 - SQL Injection (деталі)
• AfterLogic WebMail Pro ASP.NET 6.2.6 - Administrator Account Disclosure (via XXE Injection) (деталі)
• AirOS NanoStation M2 5.6-beta - Multiple Vulnerabilities (деталі)
• Apache Struts - REST Plugin With Dynamic Method Invocation Remote Code Execution (Metasploit) (деталі)