Websecurity - Веб безпека

В даній добірці уразливості в веб додатках:

• Vodafone EasyBox Default WPS PIN Algorithm Weakness (деталі)
• Reflected cross-site scripting (XSS) vulnerability in Mediatrix Web Management Interface login page (деталі)
• Cross Site Scripting (XSS) in Drupal Event calendar module (деталі)
• Multiple Reflected XSS vulnerabilities in JAMon v2.7 (деталі)
• Hikvision IP Cameras Multiple Vulnerabilities (деталі)

За повідомленням www.opennet.ru, оцінка схильності користувачів до запуску потенційно шкідливих програм за гроші.

Група дослідників з Національного інституту стандартів і технологій США (NIST), університету Карнегі-Меллон і університету штату Пенсільванія провели цікавий експеримент, метою якого була оцінка, наскільки жадібність користувачів переважає над здоровим глуздом у питаннях комп’ютерної безпеки і скільки потрібно заплатити, щоб користувач добровільно запустив потенційно шкідливе ПЗ.

Автори експерименту пропонували заплатити користувачу невелику суму в обмін на те, що він запустить на своєму комп’ютері пропоновану для завантаження програму і введе в ній спеціальний код активації.

Всього з пропозицією ознайомилося 2854 користувачів, було завантажено 1714 копій програми, зафіксовано 965 запусків.

За повідомленням threatpost.ru, Gartner про загрозу витоків на мобільних платформах.

Згідно з прогнозом Gartner, до 2017 року основним вогнищем витоків з кінцевого устаткування стануть планшети і смартфони. При цьому в 75% випадків причиною порушення безпеки мобільного пристрою будуть погано налаштовані додатки.

В даний час Gartner спостерігає стійке скорочення продажів ПК, тоді як попит на портативні пристрої знаходиться на підйомі. У той же час атаки на мобільні пристрої стають усе більш витонченими.

За повідомленням www.xakep.ru, уразливість у материнських платах Supermicro видає паролі до серверів.

Як мінімум 32000 веб серверів з материнськими платами Supermicro як і раніше відкриті для несанкціонованого доступу через Інтернет, незважаючи на те, що вийшов патч, який закриває уразливість.

Наявність веб сервера в материнській платі, що відкритий для доступу з Інтернету, відносить її до категорії мережевих пристроїв. Про уразливості в яких пишуть десятиліттями.

Виявлені численні уразливості безпеки в Mozilla Firefox, Thunderbird, Seamonkey.

Уразливі продукти: Mozilla Firefox 29.0, Firefox 24.5, Thunderbird 24.5, Seamonkey 2.26.

Переповнення буфера, пошкодження пам’яті, Clickjacking.

• Mozilla Foundation Security Advisory 2014-48 (деталі)
• Mozilla Foundation Security Advisory 2014-49 (деталі)
• Mozilla Foundation Security Advisory 2014-50 (деталі)
• Mozilla Foundation Security Advisory 2014-51 (деталі)
• Mozilla Foundation Security Advisory 2014-52 (деталі)
• Mozilla Foundation Security Advisory 2014-53 (деталі)
• Mozilla Foundation Security Advisory 2014-54 (деталі)
• Mozilla Foundation Security Advisory 2014-55 (деталі)

11.04.2014

У квітні, 01.04.2013, я виявив численні уразливості в ADSL модемі Zyxel P660RT2 EE. Це Brute Force та Cross-Site Scripting уразливості. Раніше я писав про ADSL роутери Callisto 821+, D-Link DSL-500T та Wi-Fi точку доступу D-Link DAP 1150.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам пристрою.

21.06.2014

Brute Force (WASC-11):

http://192.168.1.1

Немає захисту від Brute Force атак. Немає логіна, тільки пароль. І враховуючи те, що пароль сам підставляється в форму, то при доступі через LAN не потрібно підбирати пароль взагалі.

Cross-Site Scripting (WASC-08):

Атака відбувається через довільне параметр (як існуючий, так і видуманий, як з іменем “1″ в даному прикладі).

Zyxel P660RT2 EE XSS.html

XSS атаку можна провести як через POST, так і через GET запит:

http://192.168.1.1/Forms/rpAuth_1?=%3Cbody%20onload=alert(document.cookie)%3E

Уразлива версія Zyxel P660RT2 EE. ZyNOS Firmware Version: V3.40 (AXN.1). Дана модель з іншими прошивками також повинна бути вразливою. Компанія Zyxel проігнорувала усі уразливості в цьому пристрої й досі їх не виправила.

Продовжуючи розпочату традицію, після попереднього відео про виконання коду в Microsoft Internet Explorer, пропоную нове відео на веб секюріті тематику. Цього разу відео про виконання коду в Mozilla Firefox. Рекомендую подивитися всім хто цікавиться цією темою.

Exploit Mozilla Firefox 5-15 vulnerability URLDownloadToFile + WinExec

В даному відео ролику демонструється віддалене виконання коду в Mozilla Firefox 5-15. Проведення атаки на дану уразливість через Firefox вказаних версій дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в Firefox спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Виявлена можливість підвищення привілеїв у PHP.

Уразливі версії: PHP 5.5.

Слабкі дозволи на unix-socket.

• Vulnerability in PHP (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.zvenrada.gov.ua (хакером eRRoR 7rB) - 13.03.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://forum.korsunr.gov.ua (хакером eRRoR 7rB) - 13.03.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://loza-mebel.com.ua (хакером Erfan Nikotin) - 02.03.2014, зараз сайт вже виправлений адмінами
• http://ulyanka.net.ua (хакером d3b~X) - 07.03.2014, зараз сайт вже виправлений адмінами
• http://dr-petrunin.org.ua (хакером mustireis) - 28.05.2014, зараз сайт вже виправлений адмінами

В даній добірці уразливості в веб додатках:

• Huawei B153 3G/UMTS router WPS weakness (деталі)
• SQL Injection in Sexy Polling Joomla Extension (деталі)
• Multiple vulnerabilities in Nagios (деталі)
• OpenPNE PHP Object Injection Vulnerability (деталі)
• drupal7 security update (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Intouch, WP-Members та NextGen Gallery. Для котрих з’явилися експлоіти. Intouch - це плагін, WP-Members - це фреймворк для управління користувачами сайта, NextGen Gallery - це плагін для створення фото галереї.

• WordPress Intouch 2.0 Cross Site Scripting (деталі)
• WordPress WP-Members 2.8.9 Cross Site Scripting (деталі)
• WordPress NextGen Gallery Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Я вже розповідав про операції Українських Кібер Військ. Зараз розповім вам про інші операції.

В попередні місяці, ще до офіційного створення Українських Кібер Військ, проводилися хакерські операції. А в цьому місяці почали проводитися нові операції (до п’яти раніше загаданих):

• Взломи сайтів сепаратистів і терористів. Зокрема в березні я дефейснув сайт Верховної Ради АР Крим і відмінив референдум в Криму та відправив у відставку Аксьонова і Константинова.
• Відплата - блокування сайтів DDoS атаками. Бійці УКВ регулярно блокують сайти терористів.
• Бендер - дзвінки терористам з погрозами та дезінформацією.
• Кібершторм 2 - відправлення смсок з погрозами, дезінформацією та пропагандою.

Також плануються нові операції, що почнуться найближчим часом. Зокрема дві операції розпочалися вже після даної публікації.

Про діяльність Українських Кібер Військ читайте у мене в Facebook.