Websecurity - Веб безпека

Виявлені уразливості безпеки в Apple Safari і Webkit.

Уразливі продукти: Apple Safari 12.

Пошкодження пам’яті, виконання коду, міжсайтовий скриптінг.

• APPLE-SA-2019-1-22-5 Safari 12.0.3 (деталі)

У березні, 07.03.2019, вийшли PHP 7.1.27, PHP 7.2.16 і PHP 7.3.3. У версії 7.1.27 виправлено вісім уразливостей, у версії 7.2.16 виправлено багато багів і уразливостей, у версії 7.3.3 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.1.x, 7.2.x і 7.3.x.

У PHP 7.1.27, 7.2.15 і 7.3.2 виправлено:

• Обхід обмежень.
• Пошкодження пам’яті.
• Переповнення буферу.
• Уразливості в ядрі та модулях.

По матеріалам http://www.php.net.

Виявлені численні уразливості безпеки в Mozilla Firefox і Thunderbird.

Уразливі продукти: Mozilla Firefox 65, Firefox ESR 60.5, Thunderbird ESR 60.5.

Пошкодження пам’яті, виконання коду, витік інформації, обхід обмежень, DoS.

• MFSA 2019-07 Security vulnerabilities fixed in Firefox 66 (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://zaksoc.gov.ua (хакером nofawkX-al) - 18.02.2019 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://ukravtodor.gov.ua (українським хакером) - 30.04.2019 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://allkherson.com.ua (хакером MR.GREEN) - 16.04.2019 - зараз сайт вже виправлений адмінами
• http://aleksandr-savchuk.com (хакером MouseSec) - 25.04.2019 - зараз сайт вже виправлений адмінами
• http://mockup-angels.com (хакером MouseSec) - 25.04.2019 - зараз сайт вже виправлений адмінами

В даній добірці експлоіти в веб додатках:

• ManageEngine Applications Manager 11.0 < 14.0 - SQL Injection / Remote Code Execution (Metasploit) (деталі)
• Oracle Business Intelligence / XML Publisher 11.1.1.9.0 / 12.2.1.3.0 / 12.2.1.4.0 - XML External Entity Injection (деталі)
• Google Chrome 72.0.3626.121 / 74.0.3725.0 - ‘NewFixedDoubleArray’ Integer Overflow (деталі)
• TP-LINK TL-WR940N / TL-WR941ND - Buffer Overflow (деталі)
• ASUS HG100 - Denial of Service (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Huge IT Portfolio Gallery, Instagram Feed, Canvas Shortcodes, Easy Facebook Like Box, Olimometer. Для котрих з’явилися експлоіти.

• WordPress Huge IT Portfolio Gallery 2.0.77 Cross Site Scripting (деталі)
• WordPress Instagram Feed 1.4.6.2 Cross Site Scripting / Cross Site Request Forgery (деталі)
• WordPress Canvas - Shortcodes 1.92 Cross Site Scripting (деталі)
• WordPress Easy Facebook Like Box 4.3.0 CSRF / XSS (деталі)
• WordPress Olimometer 2.56 SQL Injection (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У березні, 19.03.2019, вийшов Mozilla Firefox 66. Нова версія браузера вийшла через півтора місяці після виходу Firefox 65.

Mozilla офіційно випустила реліз веб-браузера Firefox 66, а також мобільну версію Firefox 66 для платформи Android. Відповідно до шеститижневого циклу розробки, Firefox 67 вийде 21 травня.

Також була оновлена гілка із тривалим терміном підтримки Firefox 60.6.

В браузері було зроблено багато нововведень. Та зроблені покращення безпеки.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 66.0 усунуто численні уразливості в 21 патчі, що значно більше ніж в попередній версії. Серед яких п’ять добірок уразливостей позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Mozilla типово виправляє по декілька дір за один патч.

Виявлені уразливості безпеки в Microsoft Internet Explorer і Microsoft Edge. Що були виправлені у вівторку патчів.

Уразливі продукти: Microsoft Internet Explorer 9, 10, 11 та Edge під Windows Server 2008, Windows 7, Windows Server 2012, Windows 8.1, Windows 10, Windows Server 2016.

Численні пошкодження пам’яті, виконання коду та обхід безпеки.

Розповім вам про Cryptojacking атаки та їх загрозу для веб сайтів.

Cryptojacking - це розміщення майнерів криптовалюти на хакнутих сайтах. Також власники сайтів самі можуть розміщувати їх.

Працює атака наступним чином. Зловмисник компрометує сайт і розміщує на ньому власний код криптомайнера. Потім відвідувачі сайту заходять на нього та генерують криптовалюту для зловмисника. Цей процес буде відбуватися доки код розміщений на сайті на якому є відвідувачі. Можете подивитися на зображення схеми як працює Cryptojacking. Серед виявлених мною українських сайтів з майнерами, були також і державні ресурси.

Іншим різновидом даної атаки є підміна ідентифікатора криптомайнера. Коли зловмисник захоплює сайт, де адмін розмістив свій код майнера та підмінює в ньому id, залишаючи інший код незмінним. Це вже hijacking of cryptominer. Таким чином адмін може тривалий час не підозрювати, що код майнера на його сайті генерує криптовалюту не для нього, а для іншої особи.

Для власники сайтів ризик цих атак у тому, що деякі пошукові системи та інші онлайн сервіси (кількість яких зростає) можуть помічати сайти як шкідливі, через наявність такого коду. А для користувачів сайтів ризик у тому, що процесор їхніх ПК і гаджетів буде перегріватися через роботу майнерів.

Моя система SecurityAlert ще з лютого 2018 року виявляє криптомайнери на веб сайтах. Розробив систему в 2012 році. Від початку вона виявляє взломи сайтів, інфікування, фішинг та інші атаки, потім додав підтримку криптомайнерів. З моєю системою ви завжди в курсі про стан безпеки сайтів.

Як власники сайтів можуть моніторити власні ресурси, так і дослідники безпеки можуть перевіряти довільні сайти. Чи не розмістив хакер чи адмін на них код для видобування криптовалюти. Потрібно слідкувати за відсутністю будь-яких шкідливих кодів на сайтах.

У березні, 13.03.2019, через півтора місяці після виходу Google Chrome 72, вийшов Google Chrome 73.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Виправлено 60 уразливостей. З яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer і AFL. Це більше ніж в попередній версії.

• Релиз web-браузера Chrome 73 (деталі)