Websecurity - Веб безпека

В даній добірці експлоіти в веб додатках:

• PHP Imagick 3.3.0 - disable_functions Bypass (деталі)
• IPFire < 2.19 Core Update 101 - Remote Command Execution (деталі)
• NetCommWireless HSPA 3G10WVE Wireless Router - Multiple Vulnerabilities (деталі)
• Oracle Application Testing Suite (ATS) - Arbitrary File Upload (Metasploit) (деталі)
• HP Data Protector A.09.00 - Arbitrary Command Execution (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://lugansk.man.gov.ua (хакерами з Fallaga Team) - 01.06.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://lviv.man.gov.ua (хакерами з Fallaga Team) - 01.06.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://mykolaiv.man.gov.ua (хакерами з Fallaga Team) - 01.06.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://sevastopol.man.gov.ua (хакерами з Fallaga Team) - 01.06.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://scinn.nas.gov.ua (хакером Red hell sofyan) - 03.09.2016 - похаканий державний сайт, хоча він вже виправлений, але на сайті все ще залишилася сторінка хакерів
• http://gas-on.com.ua (хакером Xvirus) - 06.07.2016, зараз сайт вже виправлений адмінами
• http://atlas-plast.com.ua (хакером Xvirus) - 06.07.2016, зараз сайт вже виправлений адмінами
• http://khimic.dp.ua (хакером Djamel11154) - 04.04.2016, зараз сайт вже виправлений адмінами
• http://grafika.dp.ua (хакером Djamel11154) - 04.04.2016, зараз сайт вже виправлений адмінами
• http://artmebel.dp.ua (хакером Djamel11154) - 04.04.2016, зараз сайт вже виправлений адмінами

Виявлені уразливості безпеки в PHP.

Уразливі версії: PHP 5.6, PHP 7.0.

Пошкодження пам’яті, виконання коду.

• php5 security update (деталі)

У вересні, 23.09.2016, вийшов Mozilla Firefox 49.0.1, де усунутий баг з плагіном Websense (вибивання браузера). У жовтні, 20.10.2016, вийшов Mozilla Firefox 49.0.2. Нова версія браузера вийшли через місяць після виходу Firefox 49.

Це багфікс та секюріті випуск в якому зроблені покращення. У версії 49.0.2 виправлені як баги, так і уразливості. Зроблений асинхронний рендеринг Flash вмісту - це має виправити вибивання браузера при перегляді флеш файлів (що можна віднести до DoS уразливості, але Mozilla типово не відносить це до уразливостей, а до багів). Та виправлені use-after-free уразливість і витік інформації з кешу браузера.

• MFSA 2016-87 Security vulnerabilities fixed in Firefox 49.0.2 (деталі)

В даній добірці уразливості в веб додатках:

• Multiple critical vulnerabilities in Bitdefender GravityZone (деталі)
• Vulnerabilities in zarafa (деталі)
• Multiple Vulnerabilities in my little forum (деталі)
• Pandora FMS v5.1 SP1 - SQL Injection Web Vulnerability (деталі)
• Parameter Tampering in Nessus Web UI - Remote Information Disclosure (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах GD bbPress Attachments, WP-SwimTeam, Floating Social Bar, PowerPlay Gallery. Для котрих з’явилися експлоіти.

• WordPress GD bbPress Attachments 2.1 Local File Inclusion (деталі)
• WordPress GD bbPress Attachments 2.1 Cross Site Scripting (деталі)
• WordPress WP-SwimTeam 1.44.10777 Arbitrary File Download (деталі)
• WordPress Floating Social Bar 1.1.5 Cross Site Scripting (деталі)
• WordPress WP-PowerPlayGallery 3.3 File Upload / SQL Injection (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Раніше я писав про вересневі DDoS атаки та взломи в Україні, а зараз розповім про ситуацію у жовтні.

В зв’язку з сепаратистськими і терористичними акціями на сході України хакерська активність була значною. Відбулися наступні DDoS атаки та взломи в Інтернеті.

Іноземні хакери провели неполітичні взломи державних сайтів:

dndekc.mvs.gov.ua (хакером Sxtz) - 02.10.2016
chasovrada.gov.ua (хакером AlfabetoVirtual) - 05.10.2016
bc-mvs.gov.ua (хакером Turan Ordusu) - 08.10.2016

Російські хакери провели атаки на державні ресурси:

Взлом FB сторінки прес-центру штабу АТО (хакерами з Sprut) - 05.10.2016
DDoS атака на public.nazk.gov.ua - 29.10.2016

Проукраїнськими хакерами були атаковані наступні сайти:

Жовтневі DDoS атаки на сайти ДНР і ЛНР

Сайти ДНР і ЛНР були атаковані неодноразово на протязі місяця.

Українські Кібер Війська закрили наступні сайти:

Закритий сайт slavyanka.union-portal.com (через скаргу хостеру) - 10.2016

Виявлені численні уразливості безпеки в Mozilla Firefox і Thunderbird.

Уразливі продукти: Mozilla Firefox 48, Firefox ESR 45.3, Thunderbird 45.3.

Пошкодження пам’яті, переповнення буфера, вибивання, витік інформації, обхід обмежень.

• MFSA-85 Security vulnerabilities fixed in Firefox 49 (деталі)

В даній добірці експлоіти в веб додатках:

• Gemtek CPE7000 - WLTCS-106 Administrator SID Retriever (Metasploit) (деталі)
• EMC ViPR SRM - Cross-Site Request Forgery (деталі)
• Merit Lilin IP Cameras - Multiple Vulnerabilities (деталі)
• PowerFolder Server 10.4.321 - Remote Code Execution (деталі)
• Ubiquiti airOS - Arbitrary File Upload (Metasploit) (деталі)

Українські Кібер Війська з червня 2014 року займаються розвідкою. Це аудіо і відео розвідка. Раніше я наводив відео Українських Кібер Військ, що демонструють можливості Українських Кібер Військ по спостереженню за терористами.

Ось 5 нових відео, що зроблені в рамках розвідувальної операції:

Українські Кібер Війська: полковник терористів в Алчевську - УКВ записали відео зі штаб-квартири терористів в Алчевську.

Українські Кібер Війська: російська військова техніка в Криму - УКВ записали переміщення військової техніки в Севастополі та Керчі.

Українські Кібер Війська: полковник терористів в Алчевську - УКВ записали відео зі штаб-квартири терористів в Алчевську.

Українські Кібер Війська виявили цікаву пропаганду терористів - УКВ захопили відео з розвантаження російського гумконвою в Донецьку.

Українські Кібер Війська захопили секретні відео російського гумконвою на Донбасі - УКВ захопили відео з розвантаження російського гумконвою в Донецьку.