Websecurity - Веб безпека

Виявлена Memory Corruption уразливість в VBScript Scripting Engine, що використовується в Microsoft Internet Explorer та інших продуктах.

Уразливі продукти: VBScript Scripting Engine під Microsoft Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7, Windows 8, Windows 2012 Server, Windows 8.1.

Пошкодження пам’яті в движку VBScript.

• Microsoft Security Bulletin MS14-084 - Critical Vulnerability in VBScript Scripting Engine Could Allow Remote Code Execution (3016711) (деталі)

В даній добірці уразливості в веб додатках:

• OpenStack Horizon vulnerability (деталі)
• Xalan-Java vulnerability (деталі)
• Dotclear <= 2.6.2 (XML-RPC Interface) Authentication Bypass Vulnerability (деталі)
• Dotclear <= 2.6.2 (Media Manager) Unrestricted File Upload Vulnerability (деталі)
• OpenStack Keystone vulnerability (деталі)

У січні, 05.01.2015, я виявив Abuse of Functionality та Cross-Site Request Forgery уразливості в Asus O!Play.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам пристрою.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://intel-eco.nenc.gov.ua (хакером N1Gh7 F0x) - 27.11.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.utic5.gov.ua (хакерами з Middle East Cyber Army) - 02.12.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.polit.univ.kiev.ua (хакером elza3ym)
• http://www.bidmu-kpu.com.ua (хакером Nofawkx Al) - 15.12.2014, зараз сайт вже виправлений адмінами
• http://www.extrimzashchita.org.ua (хакером Nofawkx Al) - 15.12.2014, зараз сайт вже виправлений адмінами

Виявлені численні уразливості безпеки в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 6, 7, 8, 9, 10, 11 під Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7, Windows 8, Windows 2012 Server, Windows 8.1.

Численні пошкодження пам’яті.

• Microsoft Security Bulletin MS14-080 - Critical Cumulative Security Update for Internet Explorer (3008923) (деталі)

В даній добірці експлоіти в веб додатках:

• Technicolor DT5130 V2.05.C29GV - Multiple Vulnerabilities (деталі)
• Soitec SmartEnergy 1.4 SCADA Login SQL Injection Authentication Bypass Exploit (деталі)
• GNU bash Environment Variable Command Injection Vulnerability (деталі)
• Bash Environment Variables Code Injection Exploit (деталі)
• Microsoft Exchange IIS HTTP Internal IP Address Disclosure (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Random Banner, Easy Banners і My Login. Для котрих з’явилися експлоіти. Random Banner - це плагін для розміщення банерів, Easy Banners - це плагін для розміщення банерів, My Login - це тема движка.

• WordPress Random Banner 1.1.2.1 Cross Site Scripting (деталі)
• WordPress Easy Banners 1.4 Cross Site Scripting (деталі)
• WordPress Theme My Login 6.3.9 Local File Inclusion (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Українські Кібер Війська з червня займаються розвідкою. Це аудіо і відео розвідка. Раніше я наводив відео Українських Кібер Військ, що демонструють можливості Українських Кібер Військ по спостереженню за терористами.

Ось 7 нових відео, що зроблені в рамках розвідувальної операції:

Українські Кібер Війська: військова техніка в Донецьку та Криму за 25.12.2014 - УКВ записали військову техніку в Донецьку та Криму.

Українські Кібер Війська: військова техніка терористів в Донецьку за 26.12.2014 - УКВ записали переміщення військової техніки терористів в Донецьку.

Українські Кібер Війська: військова техніка терористів в Донецьку за 27.12.2014 - УКВ записали переміщення військової техніки терористів в Донецьку.

Українські Кібер Війська: терорист купує коштовності в Донецьку - УКВ записали покупку коштовностей в магазині Донецька.

Українські Кібер Війська: військова техніка в Донецьку та Криму за 30.12.2014 - УКВ записали військову техніку в Донецьку та Криму.

Українські Кібер Війська: відео з російського обмінника - УКВ записали роботу обмінника в Підмосков’ї.

Українські Кібер Війська: військова техніка в Донецьку за 04-05.01.2015 - УКВ записали переміщення військової техніки терористів в Донецьку.

Виявлені численні уразливості безпеки в Mozilla Firefox, Thunderbird, Seamonkey.

Уразливі продукти: Mozilla Firefox 34, Thunderbird 31.1, SeaMonkey 2.31.

Пошкодження пам’яті, обхід обмежень, ін’єкція заголовків.

• Mozilla Foundation Security Advisory 2015-01 (деталі)
• Mozilla Foundation Security Advisory 2015-02 (деталі)
• Mozilla Foundation Security Advisory 2015-03 (деталі)
• Mozilla Foundation Security Advisory 2015-04 (деталі)
• Mozilla Foundation Security Advisory 2015-05 (деталі)
• Mozilla Foundation Security Advisory 2015-06 (деталі)
• Mozilla Foundation Security Advisory 2015-07 (деталі)
• Mozilla Foundation Security Advisory 2015-08 (деталі)
• Mozilla Foundation Security Advisory 2015-09 (деталі)

В даній добірці уразливості в веб додатках:

• OpenVAS Manager And OpenVAS Administrator Vulnerable To Partial Authentication Bypass (деталі)
• ruby-actionpack-3.2 security update (деталі)
• Revive Adserver 3.0.5 fixes CSRF vulnerability (деталі)
• Construtiva CIS Manager CMS POST SQLi (деталі)
• sup-mail security update (деталі)