Websecurity - Веб безпека

В даній добірці експлоіти в веб додатках:

• AlienVault OSSIM/USM < 5.3.1 - Remote Code Execution (Metasploit) (деталі)
• Grails PDF Plugin 0.6 - XML External Entity Injection (деталі)
• PHPMailer < 5.2.19 - Sendmail Argument Injection (Metasploit) (деталі)
• OpenText Documentum D2 - Remote Code Execution (деталі)
• Disk Savvy Enterprise 9.4.18 - Remote Buffer Overflow (SEH) (деталі)

У липні, 29.07.2018, я знайшов Brute Force та Cross-Site Request Forgery уразливості в Philips Envision Gateway. Це система керування розумним будинком.

Раніше я писав про уразливості в сотнях тисяч різних мережевих пристроїв, в тому числі Smart Home системах.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам пристрою.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://vinjust.gov.ua (хакером Alarg53) - 14.01.2018 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://jna.bio.gov.ua (хакером B0c4H_Id30T) - 06.02.2018 - похаканий державний сайт, файл хакера все ще на сайті
• http://karoff.com.ua (хакером KkK1337) - 02.01.2018, зараз сайт вже виправлений адмінами
• http://pas-pereviznuk.com.ua (хакерами з Guardiran Security Team) - 14.02.2018, зараз сайт вже виправлений адмінами
• http://dkt.dp.ua (хакером ZoRRoKiN) - 19.08.2018, зараз сайт вже виправлений адмінами

Виявлені уразливості безпеки в Microsoft SQL Server. Що були виправлені у вівторку патчів у серпні.

Уразливі продукти: Microsoft SQL Server 2016 SP1, SQL Server 2016 SP2, SQL Server 2017.

Обхід безпеки та витік інформації.

У травні, 30.05.2018, через півтора місяці після виходу Google Chrome 66, вийшов Google Chrome 67.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Виправлено 34 уразливості. З яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer і AFL. Що менше ніж в попередній версії.

• Релиз web-браузера Chrome 67 (деталі)

Виявлені численні уразливості безпеки в Mozilla Firefox і Thunderbird.

Уразливі продукти: Mozilla Firefox 60, Firefox ESR 52.8, Thunderbird 52.8.

Пошкодження пам’яті, переповнення буферу, виконання коду, обхід SOP через воркери і редирекцію, обхід обмежень, CSRF атака через NPAPI плагіни такі як Flash, витік інформації, виконання файлів з розширенням SettingContent-ms в Windows 10 (користувач сам клікне і запустить файл, бо немає попереджень, або віддалено через WebExtensions), підняття привілеїв у WebExtensions, обхід CSRF захисту при виході з Reader View.

• MFSA 2018-15 Security vulnerabilities fixed in Firefox 61 (деталі)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://deju.com.ua - інфекція була виявлена 21.02.2018. Зараз сайт не входить до переліку підозрілих
• http://brovary3d.com.ua - інфекція була виявлена 23.03.2018. Зараз сайт не входить до переліку підозрілих
• http://tara-navigator.com.ua - інфекція була виявлена 23.03.2018. Зараз сайт не входить до переліку підозрілих
• http://luxmdf.com.ua - інфекція була виявлена 23.03.2018. Зараз сайт не входить до переліку підозрілих
• http://meest-tour.com.ua - інфекція була виявлена 23.03.2018. Зараз сайт не входить до переліку підозрілих

Виявлені уразливості безпеки в Microsoft Office, а також в серверних продуктах SharePoint Server. Що були виправлені у вівторку патчів у серпні.

Уразливі продукти: Microsoft SharePoint Server 2013 SP1, SharePoint Enterprise Server 2013 SP1, SharePoint Enterprise Server 2016, Word Automation Services on SharePoint Server.

Обхід безпеки та виконання коду.

У серпні, 31.08.2018, вийшла нова версія програми DAVOSET v.1.3.6. В новій версії:

• Додав підтримку SSRF уразливості в Splunk Enterprise.
• Додав нові сервіси в списки зомбі.
• Прибрав неробочі сервіси зі списків зомбі.

Всього в списку міститься 210 зомбі-сервісів.

DDoS attacks via other sites execution tool (DAVOSET) - це інструмент для використання Abuse of Functionality та XML External Entities уразливостей на одних сайтах, для проведення DoS і DDoS атак на інші сайти.

Скачати: DAVOSET_v.1.3.6.rar.

В даній добірці експлоіти в веб додатках:

• Sawmill Enterprise 8.7.9 - Authentication Bypass (деталі)
• DIGISOL DG-HR1400 Wireless Router - Cross-Site Request Forgery (деталі)
• Sonicwall 8.1.0.2-14sv - ‘viewcert.cgi’ Remote Command Injection (Metasploit) (деталі)
• ProjectSend r754 - Insecure Direct Object Reference (деталі)
• Teradici Management Console 2.2.0 - Privilege Escalation (деталі)