Websecurity - Веб безпека

В даній добірці уразливості в веб додатках:

• EMC Documentum Cross Site Scripting Vulnerability (деталі)
• Directory Traversal Vulnerability in VMTurbo Operations Manager 4.5 or earlier (деталі)
• Vulnerabilities in MediaWiki (деталі)
• SPICE vulnerability (деталі)
• EMC Documentum eRoom Multiple Cross Site Scripting Vulnerabilities (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах SCv1, Member Approval і JW Player. Для котрих з’явилися експлоіти. SCv1 - це тема движка, Member Approval - це плагін для підтвердження користувачів сайта, JW Player - це аудіо та відео плеєр.

• WordPress SCv1 Local File Disclosure (деталі)
• WordPress Member Approval Cross Site Request Forgery (деталі)
• WordPress JW Player 2.1.2 Cross Site Request Forgery (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Раніше я писав про листопадові DDoS атаки та взломи в Україні, а зараз розповім про ситуацію у грудні.

В зв’язку з сепаратистськими і терористичними акціями на сході України хакерська активність була значною. Відбулися наступні DDoS атаки та взломи в Інтернеті.

Іноземними хакерами були атаковані наступні сайти:

DDoS атака на n1.tcphost.net (невідомими хакерами) - 05.12.2014

Іноземними хакерами були проведені неполітичні взломи:

bioenergy.gov.ua (хакером DrSHA67) - 07.12.2014

Проукраїнськими хакерами були атаковані наступні сайти:

cabinet.mil.ru (Українські Кібер Війська) - 12.12.2014 - взломали сайт Міністерства Оборони РФ
livestarobelsk.org (Українські Кібер Війська) - 19.12.2014
Грудневі DDoS атаки на сайти ДНР і ЛНР

Сайти ДНР і ЛНР були атаковані неодноразово на протязі грудня.

Українські Кібер Війська закрили наступні сайти:

Закритий сайт ukrnod.org (через скаргу хостеру) - 12.2014
Закритий сайт aanalitik.com.ua (через скаргу хостеру) - 12.2014
Закритий сайт opolchenie.eu (через скаргу хостеру) - 12.2014

У грудні, 26.12.2014, я дав інтерв’ю Радіо Свобода. Що транслювалося по радіо, а також було записане на відео і оформлене у вигляді статті.

Відео сюжет був розміщений на сайті 31.12.2014. В сюжеті йшлося про Українські Кібер Війська та проведення мною анти-терористичної операції в Інтернеті.

Я оприлюднював дані зі зламаного сайту Міноборони Росії – очільник «кібер військ»

Всі бажаючі, хто чув чи бачив цю передачу на Радіо Свобода і хто ні, можуть подивитися сюжет зі мною.

Поздоровляю вас з Новим роком та Різдвом Христовим!

У зв’язку з Новим роком та Різдвом пропоную вам подивитися мої святкові листівки на флеші. На українській мові, російській мові та англійські мові.

Бажаю вам всього найкращого .

У грудні місяці Microsoft випустила 7 патчів. Що менше ніж у листопаді.

У грудневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 7 бюлетенів по безпеці. Що закривають численні уразливості в програмних продуктах компанії. Три патчі закривають критичні уразливості та чотири патчі закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows 2003, Vista, 2008, 7, 2008 R2, 8, 2012, RT, 8.1 та RT 8.1. А також Microsoft Office, Internet Explorer, SharePoint Server та Exchange Server.

У грудні, 18.12.2014, вийшла нова версія WordPress 4.1.

WordPress 4.1 це перший випуск нової 4.1 серії. В ній додано чимало покращень порівняно з попередніми версіями движка, а також виправлено чимало багів.

Серед головних покращень зокрема можна відзначити нову тему по замовчуванню, покращене візуальне редагування, що не відволікає, підтримка багатьох локалізацій і зміна мови в налаштуваннях сайту, в адмінці можна зробити повний логаут (щоб вихід був зроблений для всіх пристроїв, з яких заходили в акаунт), підтримка включення відео з Vine та рекомендації плагінів в інсталяторі плагінів.

Окрім покращень для користувачів також було зроблено багато покращень для розробників.

Виявлена DoS уразливість в СУБД Firebird.

Уразливі версії: Firebird 2.5.

Звертання по нульовому вказівнику.

• firebird2.5 security update (деталі)

02.08.2014

У січні, 28.01.2014, я знайшов Cross-Site Scripting та Cross-Site Request Forgery уразливості в CMS Пилот. Це українська комерційна CMS від Delta-X. Про що найближчим часом повідомлю розробникам системи.

Причому я знайшов ці уразливості на сайті Азарова .

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам.

26.12.2014

Cross-Site Scripting (WASC-08):

Приклад XSS для IE:

http://site/index_admin_login.php?return_path=%27%22%20style=xss:expression(alert(document.cookie))%201

Cross-Site Request Forgery (WASC-09):

http://site/index_admin_login.php

Відсутність захисту в логін формі, такого як капча, призводить до можливості проведення CSRF атаки, про що я писав в статті Атаки на незахищені логін форми. Це дозволяє проводити віддалений логін. Але форма не вразлива до Brute Force, бо капча з’являється після першої спроби.

Це також можна використати для редирекції. Для цих атак потрібно мати робочий логін і пароль.

Уразливі всі версії CMS Пилот.

Виявлений витік даних у Mozilla NSS.

Уразливі продукти: Mozilla NSS 3.17 та інші продукти Mozilla з цією бібліотекою.

Витік інформації в декодуванні QuickDER та уразливість POODLE.

• Vulnerabilities in NSS (деталі)