Websecurity - Веб безпека

У грудні, 28.12.2014, я виявив Information Leakage та Insufficient Authorization уразливості в HP LaserJet. Це сталося після виявлення уразливостей в Samsung SyncThru Web Service і вони подібні до них.

Це панель керування МФУ і принтерів HP, зокрема я знайшов HP LaserJet 400 MFP M425dn та HP LaserJet M1522n MFP. Про що найближчим часом повідомлю розробникам.

Information Leakage (WASC-13):

http://site/info_deviceStatus.html

Можливий доступ без авторизації до інформації про всі налаштування принтера (для читання, але можна знайти принтери з можливістю зміни налаштувань).

Insufficient Authorization (WASC-02):

В розділі “Печать информационных страниц” (Print Information Pages) можна друкувати тестові документи без авторизації. Таким чином без знання логіна і паролю можна витратити папір і картридж принтера.

http://site/info_specialPages.html?tab=Home&menu=InfoPages

Уразливі мережеві МФУ і принтери HP з версіями прошивки 20130415 та попередні версії.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://academpress.kiev.ua - інфекція була виявлена 09.12.2014. Зараз сайт входить до переліку підозрілих.
• http://neocm.com - інфекція була виявлена 21.12.2014. Зараз сайт не входить до переліку підозрілих.
• http://budmeh.com.ua - інфекція була виявлена 25.12.2014. Зараз сайт не входить до переліку підозрілих.
• http://npu.edu.ua - інфекція була виявлена 06.12.2014. Зараз сайт не входить до переліку підозрілих.
• http://goldfleece.com.ua - інфекція була виявлена 21.12.2014. Зараз сайт не входить до переліку підозрілих.

Виявлена можливість проведення DoS атаки проти Microsoft Network Policy Server.

Уразливі продукти: Microsoft Windows 2003 Server, Windows 2008 Server, Windows 2012 Server.

Відмова при обробці імені користувача в запитах RADIUS.

• Microsoft Security Bulletin MS15-007 - Important Vulnerability in Network Policy Server RADIUS Implementation Could Cause Denial of Service (3014029) (деталі)

В даній добірці експлоіти в веб додатках:

• CIK Telecom VoIP router SVG6000RW - Privilege Escalation / Command Execution (деталі)
• SysAid Server Arbitrary File Disclosure Vulnerability (деталі)
• NetIQ Access Manager 4.0 SP1 - Multiple Vulnerabilities (деталі)
• IPFire <= 2.15 core 82 Authenticated cgi Remote Command Injection Exploit (деталі)
• Moab Workload Manage 7.2.9 / 8 User Impersonation Vulnerability (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Blogstand Smart Banner, NextGEN Gallery та WordPress Themes. Для котрих з’явилися експлоіти. Blogstand Smart Banner - це плагін для розміщення банерів, NextGEN Gallery - це плагін для створення фото галереї, а також теми движка Awake, Construct, Dejavu, Echelon, Elegance, Fusion, Infocus, Mega, Method, Modular, MyRiad, Oakrealty, Persuasion і Binary.

• WordPress Blogstand Smart Banner 1.0 Cross Site Scripting (деталі)
• WordPress NextGEN Gallery 2.0.63 Shell Upload (деталі)
• WordPress Themes File Download / Deletion (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Виявлені численні уразливості безпеки в продуктах Oracle, Sun, PeopleSoft і MySQL.

Уразливі продукти: Oracle 12.1, MySQL 5.5 і 5.6, Oracle Java SE 8, Solaris 10 і 11, WebLogic Server 12.1, E-Business Suite 12.2, JRockit 28.3, GlassFish Server 3.1, iLearning 6.1, WebLogic Portal 10.3 та інші продукти Oracle.

Більше 150 уразливостей у різних додатках виправлено в щоквартальному оновленні.

• Oracle Critical Patch Update Advisory - January 2015 (деталі)

Українські Кібер Війська з червня займаються розвідкою. Це аудіо і відео розвідка. Раніше я наводив відео Українських Кібер Військ, що демонструють можливості Українських Кібер Військ по спостереженню за терористами.

Ось 7 нових відео, що зроблені в рамках розвідувальної операції:

Українські Кібер Війська: військова техніка в Донецьку за 06.01.2015 - УКВ записали переміщення військової техніки терористів в Донецьку.

Українські Кібер Війська: як святкували Різдво в Луганську - УКВ записали святкування в магазині Луганська.

Українські Кібер Війська: секретна зйомка в Донецьку - УКВ записали відео з секретної квартири в Донецьку.

Українські Кібер Війська: військова техніка в Донецьку за 08.01.2015 - УКВ записали переміщення військової техніки терористів в Донецьку.

Українські Кібер Війська: військова техніка в Донецьку за 09-10.01.2015 - УКВ записали переміщення військової техніки терористів в Донецьку.

Українські Кібер Війська: військова техніка в Донецьку за 11.01.2015 - УКВ записали переміщення військової техніки терористів в Донецьку.

Українські Кібер Війська: військова техніка в Донецьку за 12-13.01.2015 - УКВ записали переміщення військової техніки терористів в Донецьку.

У грудні, 01.12.2014, вийшов Mozilla Firefox 34.0.5. Нова версія браузера вийшла в той же день після виходу Firefox 34. За півтора місяці до виходу Firefox 35.

Ця версії доступна лише для користувачів в Північній Америці, в усіх інших країнах оновлення відбувається до версії 34.0.

В Firefox 34.0.5 по замовчуванню використовується пошукова система Yahoo замість Google. У січні вийшов Firefox 35.

26.07.2014

У липні, 13.07.2014, я знайшов уразливості в Hikvision DS-7204HWI-SH. Це DVR - відеореєстратор (пристрій подібний до веб камери). Зокрема Abuse of Functionality та Brute Force уразливості.

Раніше я писав про уразливості у веб камерах, зокрема в D-Link DCS-2103 і Dahua IP Camera.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам пристрою.

23.01.2015

Abuse of Functionality (WASC-42):

Логін постійний: admin.

Brute Force (WASC-11):

В формі логіна http://site/doc/page/login.asp немає захисту від Brute Force атак. Дані відправляється через GET запит з Basic Authorization.

Відсутність захисту від Brute Force (такого як капча) також призводить до можливості проведення CSRF атаки, про що я писав в статті Атаки на незахищені логін форми. Це дозволяє проводити віддалений логін. Але вони захистилися від CSRF атаки через використання Basic Authorization.

Сьогодні я дав інтерв’ю Громадське радіо. Що транслювалося на першому каналі Українського радіо.

Прямий ефір був розміщений 24.01.2015 як аудіо сюжет. В сюжеті йшлося про Українські Кібер Війська, про проведення мною анти-терористичної операції в Інтернеті та відео розвідку через веб камери в АТО.