Websecurity - Веб безпека

Виявлена Information Disclosure уразливість в Microsoft .NET Framework та Microsoft Windows.

Уразливі продукти: Microsoft .NET Framework 2.0 SP2, 3.5, 3.5.1, 4.5.2, 4.6, 4.6.1.

Витік інформації через завантаження XML файлу у веб додаток. Враховуючи, що це XXE уразливість, то окрім читання локальних файлів, також можна проводити DDoS атаки на віддалені хости. Що можна автоматизувати використовуючи DAVOSET.

• Microsoft Security Bulletin MS16-091 - Important Security Update for .NET Framework (3170048) (деталі)

В період з 19.02.2013 по 20.04.2016 відбувся п’ятий масовий взлом сайтів на сервері Hetzner. Більшість сайтів дефейснули саме в 2016 році. Нещодавно я вже розповідав про інші масові взломи.

Був взломаний сервер німецької компанії Hetzner, на якому хостилося багато українських сайтів. Взлом складався з декількох дефейсів сайтів. Раніше я писав про четвертий масовий взлом сайтів на сервері Hetzner.

Всього було взломано 277 сайтів на сервері компанії Hetzner (IP 5.9.205.233). Перелік сайтів можете подивитися на www.zone-h.org. Серед них українські державні сайти rodnukivka-rada.gov.ua та umanrda.gov.ua. Це черговий державний сайт, що хоститься закордоном.

Якщо невеликі дефейси по одному або кілька сайтів явно були зроблені при взломах окремих сайтів, то стосовно дефейсів SecurityCrewz (202 сайти) та imam (29 сайтів) можна сказати, що враховуючи дефейс великої кількості сайтів за короткий час, немає сумнівів, що вони були взломані через взлом серверу хостінг провайдера. Також не виключена можливість взлому великої групи сайтів в одному акаунті. Коли через взлом одного сайта були атаковані інші сайти на даному сервері.

Виявлені уразливості безпеки в Microsoft Office, а також в серверних продуктах Office Web Apps і SharePoint Server.

Уразливі продукти: Microsoft Office Web Apps 2010 SP2, Office Web Apps Server 2013 SP1, Office Online Server, SharePoint Server 2016, Word Automation Services on SharePoint Server 2010 SP2 і 2013 SP1.

Пошкодження пам’яті, обхід захисту.

• Microsoft Security Bulletin MS16-088 - Critical Security Update for Microsoft Office (3170008) (деталі)

Виявлені уразливості безпеки в Microsoft JScript і VBScript, що використовуються в Internet Explorer та інших продуктах.

Уразливі продукти: Microsoft JScript 5.8, VBScript 5.7 і 5.8.

Виконання коду, пошкодження пам’яті.

• Microsoft Security Bulletin MS16-086 - Critical Cumulative Security Update for JScript and VBScript (3169996) (деталі)

Виявлені численні уразливості безпеки в Microsoft Internet Explorer і Microsoft Edge.

Уразливі продукти: Microsoft Internet Explorer 7, 8, 9, 10, 11 та Edge під Windows Vista, Windows 2008 Server, Windows 7, Windows 8, Windows 2012 Server, Windows 8.1, Windows 10.

Численні пошкодження пам’яті та виконання коду.

• Microsoft Security Bulletin MS16-084 - Critical Cumulative Security Update for Internet Explorer (3169991) (деталі)
• Microsoft Security Bulletin MS16-085 - Critical Cumulative Security Update for Microsoft Edge (3169999) (деталі)

Виявлені численні уразливості безпеки в Mozilla Firefox, Thunderbird, Seamonkey.

Уразливі продукти: Mozilla Firefox 46, Firefox ESR 45.1, Thunderbird 45.1, SeaMonkey 2.39.

Пошкодження пам’яті, переповнення буфера, підвищення привілеїв, підробка адресного рядку, витік інформації, обхід обмежень.

• MFSA-49 Miscellaneous memory safety hazards (rv:47.0 / rv:45.2) (деталі)
• MFSA-50 Buffer overflow parsing HTML5 fragments (деталі)
• MFSA-51 Use-after-free deleting tables from a contenteditable document (деталі)
• MFSA-52 Addressbar spoofing though the SELECT element (деталі)
• MFSA-53 Out-of-bounds write with WebGL shader (деталі)
• MFSA-54 Partial same-origin-policy through setting location.host through data URI (деталі)
• MFSA-55 File overwrite and privilege escalation through Mozilla Windows updater (деталі)
• MFSA-56 Use-after-free when textures are used in WebGL operations after recycle pool destruction (деталі)
• MFSA-57 Incorrect icon displayed on permissions notifications (деталі)
• MFSA-58 Entering fullscreen and persistent pointerlock without user permission (деталі)
• MFSA-59 Information disclosure of disabled plugins through CSS pseudo-classes (деталі)
• MFSA-60 Java applets bypass CSP protections (деталі)
• MFSA-61 Network Security Services (NSS) vulnerabilities (деталі)

У червні місяці Microsoft випустила 17 патчів. Що більше ніж у травні.

У червневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 17 бюлетенів по безпеці. Що закривають численні уразливості в програмних продуктах компанії. Шість патчів закривають критичні уразливості та одинадцять патчів закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows Vista, 2008, 7, 2008 R2, 8, 2012, RT, 8.1, RT 8.1 та 10. А також Microsoft Office, Internet Explorer і Edge, JScript і VBScript, Office Web Apps і SharePoint Server, Windows DNS Server та Exchange Server.

Також Microsoft випустила патчі для уразливостей в бібліотеці PDF та в Adobe Flash Player, що постачаються з Windows.

Виявлені уразливості безпеки в PHP.

Уразливі версії: PHP 5.5, PHP 5.6, PHP 7.0.

Пошкодження пам’яті, виконання коду.

• php5 security update (деталі)

Виявлені уразливості безпеки в Microsoft Exchange Server.

Уразливі продукти: Microsoft Exchange Server 2007 SP3 і 2010 SP3, Exchange Server 2013 і 2013 SP1, Exchange Server 2016.

Витік інформації в Outlook Web Access, переповнення буферу в бібліотеках Oracle Outside In.

• Microsoft Security Bulletin MS16-079 - Important Security Update for Microsoft Exchange Server (3160339) (деталі)

Виявлені уразливості безпеки в Microsoft Office, а також в серверних продуктах Office Web Apps і SharePoint Server.

Уразливі продукти: Microsoft Office Web Apps 2010 SP2, Office Web Apps Server 2013 SP1, Office Online Server, Word Automation Services on SharePoint Server 2010 SP2 і 2013 SP1.

Пошкодження пам’яті, витік інформації.

• Microsoft Security Bulletin MS16-070 - Critical Security Update for Microsoft Office (3163610) (деталі)