Websecurity - Веб безпека

Виявлені численні уразливості безпеки в OpenSSL.

Уразливі версії: OpenSSL 0.9, OpenSSL 1.0.

DoS і зниження версії протоколу в сервері і клієнті, пошкодження пам’яті і витік інформації в клієнті.

• OpenSSL Security Advisory (деталі)

В даній добірці уразливості в веб додатках:

• Multiple vulnerabilities in five Zoom ADSL Modem/Routers (деталі)
• SQL Injection in Orbit Open Ad Server (деталі)
• Сross-Site Request Forgery (CSRF) in XCloner Standalone (деталі)
• SQL Injection in mAdserve (деталі)
• Multiple vulnerabilities on D-Link Dir-505 devices (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах VideoWhisper, Kidoo та DZS VideoGallery. Для котрих з’явилися експлоіти. VideoWhisper - це плагін для трансляції відео, Kidoo - це тема движка, DZS VideoGallery - це плагін для створення відео галерей.

• Multiple Vulnerabilities in VideoWhisper Live Streaming Integration WP Plugin (деталі)
• WordPress Kidoo Shell Upload (деталі)
• WordPress DZS-VideoGallery Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У липні, 24.07.2014, вийшли PHP 5.4.31 і PHP 5.5.15. У версії 5.4.31 виправлено біля 10 багів, а у версії 5.5.15 виправлено декілька багів. Дані релізи направлені на покращення стабільності гілок 5.4.x і 5.5.x.

Жодних уразливостей в цих версіях PHP виправлено не було.

По матеріалам http://www.php.net.

В даній добірці експлоіти в веб додатках:

• IBM Algorithmics RICOS 4.5.0 - 4.7.0 - Multiple Vulnerabilities (деталі)
• Netgear WNR1000v3 - Password Recovery Credential Disclosure Vulnerability (деталі)
• Bitdefender GravityZone 5.1.5.386 - Multiple Vulnerabilities (деталі)
• Heartbleed OpenSSL - Information Leak Exploit (2) - DTLS Support (деталі)
• Kolibri 2.0 GET Request - Stack Buffer Overflow (деталі)

Сьогодні я дав інтерв’ю каналу Еспресо.TV. Виступив в прямому ефірі даного телеканалу. Це продовження попередньої публікації.

Ефір відбувся з 15:40 до 16:15. В ньому я розповів про Українські Кібер Війська та проведення мною анти-терористичної операції в Інтернеті.

Всі бажаючі, хто бачив прямий ефір на Еспресо.TV і хто не бачив його, можуть подивитися відео фрагменти мого виступу. Це наступні чотири відео:

Сьогодні я дав інтерв’ю каналу Еспресо.TV. Виступив в прямому ефірі даного телеканалу. Продовження.

Ефір відбувся з 15:40 до 16:15. В ньому я розповів про Українські Кібер Війська та проведення мною анти-терористичної операції в Інтернеті.

Всі бажаючі, хто бачив прямий ефір на Еспресо.TV і хто не бачив його, можуть подивитися відео фрагменти мого виступу. Це перші три відео:

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://sergeevka.org.ua - інфекція була виявлена 18.08.2014. Зараз сайт входить до переліку підозрілих.
• http://gr.biz.ua - інфекція була виявлена 10.07.2014. Зараз сайт не входить до переліку підозрілих.
• http://meta.ua - інфекція була виявлена 16.08.2014. Зараз сайт не входить до переліку підозрілих.
• http://kust.net.ua - інфекція була виявлена 18.08.2014. Зараз сайт не входить до переліку підозрілих.
• http://childlibrary.donetsk.ua - інфекція була виявлена 26.05.2014. Зараз сайт не входить до переліку підозрілих.

В даній добірці уразливості в веб додатках:

• Multiple XSS vulnerabilities in Roundcube (деталі)
• Multiple Vulnerabilities in OpenDocMan (деталі)
• Cross-Site Scripting (XSS) in Open Classifieds (деталі)
• Cross-Site Scripting (XSS) in CMSimple (деталі)
• Microsoft Security Bulletin MS13-066 - Important Vulnerability in Active Directory Federation Services Could Allow Information Disclosure (2873872) (деталі)

Продовжуючи розпочату традицію, після попереднього відео про викрадення файлів в Google Chrome, пропоную нове відео на веб секюріті тематику. Цього разу відео про атаку на веб браузер на Android. Рекомендую подивитися всім хто цікавиться цією темою.

Compromise Android phone with XSSF and exploit

В даному відео ролику демонструється атака на веб браузер (Safari) на смартфоні під ОС Android з використанням Metasploit та Cross-Site Scripting Framework (XSSF). Аналогічна атака також може бути проведена на браузери на iOS та інших мобільних і настільних ОС. Через XSS уразливість на сайті розміщується експлоіт, на який заманюється жертва, що дозволяє нападнику взяти під контроль браузер користувача.

Атака відбувається при відвідуванні в браузері спеціально створеного веб сайта або сайта з XSS уразливістю, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.