Websecurity - Веб безпека

В даній добірці експлоіти в веб додатках:

• SMART iPBX SQL Injection Vulnerability (деталі)
• Binatone DT 850W Wireless Router - Multiple CSRF Vulnerabilities (деталі)
• D-Link Cross Site Scripting / Information Disclosure Vulnerability (деталі)
• Sophos Web Protection Appliance Command Execution Exploit (деталі)
• eScan Web Management Console Command Injection Exploit (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.nspp.gov.ua (хакерами з ToP-TeaM) - 23.03.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.grad.gov.ua (хакером Phantomghost) - 01.06.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://shpola.ck.ua (хакером Anonsec) - 13.03.2014, зараз сайт вже виправлений адмінами
• http://shpola1school.org.ua (хакером mustireiSc) - 13.03.2014, зараз сайт вже виправлений адмінами
• http://hlebzavod.org (хакером d3b~X) - 16.03.2014, зараз сайт вже виправлений адмінами

Розповім про ефективність роботи про блокуванню рахунків терористів.

З початку червня я займаюся блокуванням рахунків терористів в електронних платіжних системах. Зокрема в системах WebMoney, Яндекс.Деньги, QIWI і PayPal.

В цьому місяці я неодноразово читав про заяви ДНР, ЛНР та їх прихильників про блокування рахунків. Як написали на початку липня терористи в себе на сайті, в них було заблоковано 295000 рублів на рахунках PayPal і Яндекс.Деньги.

Так що окрім рахунків терористів де зовсім не було або було мало коштів, також трапляються рахунки заповнені коштами. І з кожним днем блокується все більше коштів терористів. Так що робота по блокуванню рахунків в електронних платіжних системах є ефективною і вона буде тривати й надалі.

У червні, 26 і 27.06.2014, вийшли PHP 5.5.30 і PHP 5.4.14 відповідно. У версії 5.5.30 виправлено біля 20 багів і 8 уразливостей, а у версії 5.4.14 виправлено декілька багів і 8 уразливостей. Дані релізи направлені на покращення безпеки та стабільності гілок 5.4.x і 5.5.x.

У PHP 5.4.30 і PHP 5.5.14 виправлено:

• Уразливості CVE-2014-3981, CVE-2014-0207, CVE-2014-3478, CVE-2014-3479, CVE-2014-3480, CVE-2014-3487, CVE-2014-4049, CVE-2014-3515.

По матеріалам http://www.php.net.

В даній добірці уразливості в веб додатках:

• Barracuda LB, SVF, WAF & WEF - Multiple Vulnerabilities (деталі)
• Joomla! JomSocial component < 3.1.0.1 - Remote code execution (деталі)
• Security advisory, LedgerSMB 1.3.0-1.3.36 (деталі)
• Publish-It Buffer Overflow Vulnerability (деталі)
• Multiple vulnerabilities on Sitecom N300/N600 devices (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах E-Commerce і Seo Link Rotator та WordPress 3.6. Для котрих з’явилися експлоіти. E-Commerce - це плагін для створення онлайн-магазину, Seo Link Rotator - це плагін для розміщення лінок. А також опис URL Redirection (URL Redirector Abuse) уразливості в WordPress 3.6.

• WordPress E-Commerce 3.8.9.5 File Upload / XSS / CSRF / Code Execution (деталі)
• WordPress Seo Link Rotator Cross Site Scripting (деталі)
• WordPress 3.6 URL Redirection (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

В своєму звіті про атаки на державні сайти України в 2001-2013 роках, я навів статистику атак на державні сайти України за останні 13 років. Зараз наведу графік атак.

За 2001 - 2013 роки всього було атаковано 568 українських державних сайтів (включаючи взломи сайтів та DDoS атаки). Це без врахування інфікованих gov.ua сайтів, яких було виявлено чимало за час моїх досліджень інфікованих сайтів в Уанеті.

Статистика від 2 атакованих веб сайтів в 2001 році до 149 атакованих веб сайтів в 2013 році.

Виявлена можливість виконання коду в Python бібліотеці python-GPG.

Уразливі версії: python-gnupg 2.3.

Можливі шел-ін’єкції.

• python-gnupg security update (деталі)

В даній добірці експлоіти в веб додатках:

• BarracudaDrive 6.7.2 Cross Site Scripting Vulnerability (деталі)
• SafeNet Sentinel Protection Server 7.0 - 7.4 and Sentinel Keys Server 1.0.3 - 1.0.4 Directory Traversal (деталі)
• HP Release Control Authenticated XXE Exploit (деталі)
• OpenSSL 1.0.1f TLS Heartbeat Extension - Memory Disclosure (Multiple SSL/TLS versions) (деталі)
• OpenSSL Heartbeat (Heartbleed) Information Leak Exploit (деталі)

Виявлені численні уразливості в програмах з пакету Microsoft Office, зокрема в SharePoint Server та Office Web Apps.

Уразливі продукти: Microsoft SharePoint Server 2010, SharePoint Server 2013, Office Web Apps 2010, Office Web Apps 2013.

Пошкодження пам’яті, переповнення буфера, обхід захисту.

• Microsoft Security Bulletin MS14-017 - Critical Vulnerabilities in Microsoft Word and Office Web Apps Could Allow Remote Code Execution (2949660) (деталі)