Websecurity - Веб безпека

Виявлені уразливості безпеки в Apple Safari і Webkit.

Уразливі продукти: Apple Safari 12.

Пошкодження пам’яті, виконання коду, міжсайтовий скриптінг, витік інформації, обхід обмежень.

• APPLE-SA-2019-3-25-4 Safari 12.1 (деталі)

У травні, 21.05.2019, вийшов Mozilla Firefox 67. Нова версія браузера вийшла через півтора місяці після виходу Firefox 66.

Mozilla офіційно випустила реліз веб-браузера Firefox 67, а також мобільну версію Firefox 67 для платформи Android. Відповідно до шеститижневого циклу розробки, Firefox 68 вийде 9 липня.

Також була оновлена гілка із тривалим терміном підтримки Firefox 60.7.

В браузері було зроблено багато нововведень. Та зроблені покращення безпеки.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 67.0 усунуто численні уразливості в 21 патчі, що так само як в попередній версії. Серед яких дві добірки уразливостей позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Mozilla типово виправляє по декілька дір за один патч.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Google Analytics Counter Tracker, MailChimp, Quiz And Survey Master, 404, Private Messages. Для котрих з’явилися експлоіти.

• WordPress Google Analytics Counter Tracker 3.1.5 PHP Object Injection (деталі)
• WordPress MailChimp 3.1.5 / 4.0.10 Cross Site Scripting (деталі)
• WordPress Quiz And Survey Master 4.7.8 / 4.5.4 XSS / CSRF (деталі)
• WordPress 404 1.0 SQL Injection (деталі)
• WordPress Private Messages 1.0.1 SQL Injection (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

В своєму звіті про хакерську активність в Уанеті в 2 півріччі 2018, я згадував, що в першому півріччі було інфіковано 70 сайтів.

Сьогодні я провів дослідження сайтів, що були інфіковані в другому півріччі 2018 року, і на 40 сайтах вдалося виявити движки. Частина з 70 сайтів вже не працювала, частина використовує html (при цьому деякі з них ховають php-додатки за розширенням html), а ще частина використовували власні php-скрипти.

На перевірених сайтах використовуються наступні движки:

Joomla - 15
WordPress - 10
uCoz - 6
DataLife Engine - 3
Magento - 3
Drupal - 2
OpenCart - 1

Тобто майже всі інфіковані сайти, з числа працюючих, використовували (за станом на сьогодні) опенсорс веб додатки.

В даній добірці експлоіти в веб додатках:

• QNAP myQNAPcloud Connect 1.3.4.0317 - ‘Username/Password’ Denial of Service (деталі)
• ManageEngine Applications Manager 14.0 - Authentication Bypass / Remote Command Execution (Metasploit) (деталі)
• Freefloat FTP Server 1.0 - ‘SIZE’ Remote Buffer Overflow (деталі)
• Freefloat FTP Server 1.0 - ‘STOR’ Remote Buffer Overflow (деталі)
• AIS logistics ESEL-Server - Unauthenticated SQL Injection Remote Code Execution (Metasploit) (деталі)

В серпні, 02.08.2018, вийшла версія WordPress 4.9.8. А в грудні, 13.12.2018, вийшла версія WordPress 4.9.9.

WordPress 4.9.8 і 4.9.9 це секюріті та багфікс випуски нової 4.9 серії. В яких розробники виправили 46 багів у першій з них та ще інші в другій версії. У тому числі покращили функції приватності. Та оновили базову тему Twenty Seventeen.

Також в цих версіях зробили звичайні виправлення в движку.

Виявлені численні уразливості безпеки в Mozilla Firefox і Thunderbird.

Уразливі продукти: Mozilla Firefox 66, Firefox ESR 60.6, Thunderbird ESR 60.6.

Пошкодження пам’яті (з яких деякі працюють лише на Windows чи на Linux), виконання коду, витік інформації, обхід обмежень, DoS, підробка системного курсору, приховане встановлення розширень.

• MFSA 2019-13 Security vulnerabilities fixed in Firefox 67 (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://hrytsivrada.gov.ua (хакером Fighter Kamrul) - 15.02.2019 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://finpl.gov.ua (хакером Imam) - 24.03.2019 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://sportforall.gov.ua (хакером MouseSec) - 25.04.2019 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://rajvosevlush.gov.ua (хакером Syed Fida) - 26.04.2019 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://nv-osvita.gov.ua (хакером X-Kokoro_Dz) - 28.05.2019 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://investora.club (хакером Fighter Kamrul) - 25.12.2018 - зараз сайт вже виправлений адмінами
• http://credits24.top (хакером VrCy) - 26.12.2018 - зараз сайт вже виправлений адмінами
• http://fav.com.ua (хакером VrCy) - 26.12.2018 - зараз сайт вже виправлений адмінами
• http://quest-game.org (хакером Fighter Kamrul) - 19.03.2019 - зараз сайт вже виправлений адмінами
• http://novovolynsk.com.ua (хакером X-Kokoro_Dz) - 28.05.2019 - зараз сайт вже виправлений адмінами

Вчора в мене був день народження - мені виповнилося 36 років. З чим вас і себе поздоровляю .

Приготував вам подарунки на цю подію і на свята:

Подарунки на День Незалежності України.

Подарунки на мій день народження.

У квітні, 04.04.2019, вийшли PHP 7.1.28, PHP 7.2.17 і PHP 7.3.4. У версії 7.1.28 виправлено дві уразливості, у версії 7.2.17 виправлено багато багів і уразливостей, у версії 7.3.4 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.1.x, 7.2.x і 7.3.x.

У PHP 7.1.28, 7.2.17 і 7.3.4 виправлено:

• Вибивання.
• Пошкодження пам’яті.
• Переповнення буферу.
• Уразливості в ядрі та модулях.

По матеріалам http://www.php.net.