Websecurity - Веб безпека

Сьогодні я опублікував відео про мою систему Web Virus Detection System (Web VDS). Це система виявлення вірусів на веб сайтах.

Більш детально про Web Virus Detection System ви можете прочитати в розділі мого сайту.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://georg.kiev.ua - інфекція була виявлена 28.03.2015. Зараз сайт входить до переліку підозрілих.
• http://vsvete.com.ua - інфекція була виявлена 03.02.2015. Зараз сайт не входить до переліку підозрілих.
• http://osvita-nv.kh.ua - інфекція була виявлена 26.03.2015. Зараз сайт входить до переліку підозрілих.
• http://screenshot.com.ua - інфекція була виявлена 13.04.2015. Зараз сайт не входить до переліку підозрілих.
• http://staroverovka.ucoz.ua - інфекція була виявлена 22.01.2015. Зараз сайт не входить до переліку підозрілих.

В даній добірці уразливості в веб додатках:

• HP Operations Orchestration, Unauthorized Access to Information (деталі)
• mediawiki security update (деталі)
• Apache Hive Authorization vulnerability (деталі)
• Apache Continuum affected by Remote Command Execution (деталі)
• HP Operations Orchestration, Cross-Site Scripting (XSS) and Cross-Site Request Forgery (CSRF) (деталі)

У лютому, 09.02.2015, я знайшов Brute Force, Cross-Site Scripting та Cross-Site Request Forgery уразливості в ZyXEL Keenetic Lite. Це Wireless Router і AP.

Раніше я писав про уразливості в ADSL модемі Zyxel P660RT2 EE.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам пристрою.

У березні, 05.03.2014, вийшов Mozilla Firefox 36.0.1. Нова версія браузера вийшла після виходу Firefox 36.

Це коригувальний випуск в якому виправлені баги, а також два вибивання браузера. Мозіла не зарахувала ці crash до уразливостей, а до багів, як вона це дуже часто робить.

У березні, 16.03.2014, вийшов Mozilla Firefox 36.0.2. Ця версія вийшла лише для мобільних пристроїв (Firefox для Android). В ній виправлені баги - два вибивання браузера. Один crash з Flash відео та інший з пристроями HTC One M8 на Android 5.0.1.

У березні, 20.03.2014, вийшов Mozilla Firefox 36.0.3. В ній виправлена одна критична уразливість Mozilla Foundation Security Advisory 2015-29.

У березні, 21.03.2014, вийшов Mozilla Firefox 36.0.4. В ній виправлена одна критична уразливість Mozilla Foundation Security Advisory 2015-28. Спочатку цей патч вийшов у версії 36.0.3, але він виявився недостатнім, тому випустили нову версію в 36.0.4.

Наприкінці березня вийшов Firefox 37.

16.12.2014

Виявлені уразливості безпеки в libmagic, file, fileinfo і PHP.

Уразливі продукти: PHP 5.4, PHP 5.5, PHP 5.6, libmagic, file, fileinfo.

Уразливості при розборі ELF.

• Multiple vulnerabilities in file and libmagic (деталі)

04.04.2015

Додаткова інформація.

• file security update (деталі)

В даній добірці експлоіти в веб додатках:

• IBM Endpoint Manager 9.1.x / 9.2.x Cross Site Scripting Vulnerability (деталі)
• NetGear WNDR Authentication Bypass / Information Disclosure Vulnerabilities (деталі)
• Internet Explorer OLE Automation Array Remote Code Execution Exploit (деталі)
• Internet Explorer OLE Automation Array Remote Code Execution (msf) Exploit (деталі)
• Lantronix xPrintServer Remote Command Execution / CSRF Vulnerabilities (деталі)

В жовтні, 11.10.2014, я знайшов Cross-Site Scripting та Redirector уразливості на сайті Яндекс.Деньги https://money.yandex.ru. Про що найближчим часом сповіщу адміністрацію пошуковця.

Раніше я вже писав про уразливості на money.yandex.ru.

Детальна інформація про уразливості з’явиться пізніше.

У березні, 19-20.03.2015, вийшли PHP 5.4.39, PHP 5.5.23 і PHP 5.6.7. У версії 5.4.39 виправлено 6 уразливостей, у версіях 5.5.23 і 5.6.7 виправлено декілька багів і 4 уразливості.

Дані релізи направлені на покращення безпеки і стабільності гілок 5.4.x, 5.5.x і 5.6.x.

У PHP 5.4.39, 5.5.23 і 5.6.7 виправлено:

• Use after free уразливість в unserialize().
• Налаштування для директорій переважали налаштування конфігурації php.ini.
• NULL byte дозволялися в move_uploaded_file.
• Heap overflow уразливість в regcomp.c.
• Помилка з типізацією SoapClient __call() через unserialize().
• Integer Overflow уразливість в модулі ZIP.

По матеріалам http://www.php.net.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, зокрема про DoS і DDoS атаки (статті з Вікіпедії):

• Ping flood
• Ping of death
• Robust random early detection
• Regular expression denial of service (ReDoS)
• Slashdot effect