Websecurity - Веб безпека

Сьогодні о 14:20 я виступив у прямому ефірі на Еспресо.TV.

Виступив у ефірі телеканалу Еспресо з приводу масштабної вірусної атаки, яка 27.06.2017 відбулася в Україні. Що вважаю найбільшою кібер атакою в Україні на даний час. Всі бажаючі можуть його подивитися на YouTube каналі.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах S3 Video, Admin Management Xtended, Symposium і темі Squirrel. Для котрих з’явилися експлоіти.

• WordPress Squirrel Theme 1.6.4 Remote File Inclusion (деталі)
• WordPress S3 Video Remote Shell Upload (деталі)
• WordPress Admin Management Xtended 2.4.0 Privilege Escalation (деталі)
• WordPress Symposium 14.05.02 Cross Site Request Forgery (деталі)
• WordPress Symposium 14.05.02 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://cgo.nbuv.gov.ua (хакером Nofawkx Al) - 29.10.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://nbuv.gov.ua (хакером Nofawkx Al) - 29.10.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• DDOS атака на president.gov.ua (російськими хакерами) - 16.05.2017 - атакований державний сайт
• http://polarsol.com.ua (хакером GAZA) - 08.08.2016, зараз сайт вже виправлений адмінами
• http://pepworldwide.com.ua (хакером GAZA) - 08.08.2016, зараз сайт вже виправлений адмінами

Сьогодні вийшла нова версія програми DAVOSET v.1.3.4. В новій версії:

• Додав підтримку XXE уразливості в Qlikview.
• Додав нові сервіси в списки зомбі.
• Прибрав неробочі сервіси зі списків зомбі.

Всього в списку міститься 210 зомбі-сервісів.

DDoS attacks via other sites execution tool (DAVOSET) - це інструмент для використання Abuse of Functionality та XML External Entities уразливостей на одних сайтах, для проведення DoS і DDoS атак на інші сайти.

Скачати: DAVOSET_v.1.3.4.rar.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Cool Video Gallery, Advanced Uploader, TheCartPress, Sell Download, Poll Widget. Для котрих з’явилися експлоіти.

• WordPress Cool Video Gallery 1.9 Command Injection (деталі)
• WordPress Advanced Uploader 2.10 Shell Upload (деталі)
• WordPress TheCartPress 1.4.7 Code Execution / Local File Disclosure (деталі)
• WordPress Sell Download 1.0.16 Local File Disclosure (деталі)
• WordPress Poll Widget 1.0.7 SQL Injection (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://tutti-shop.com.ua - інфекція була виявлена 20.06.2017. Зараз сайт входить до переліку підозрілих.
• http://vita-infinity.com - інфекція була виявлена 20.06.2017. Зараз сайт не входить до переліку підозрілих.
• http://decomebel.com - інфекція була виявлена 14.01.2017. Зараз сайт входить до переліку підозрілих.
• http://rassvet.dn.ua - інфекція була виявлена 20.06.2017. Зараз сайт не входить до переліку підозрілих.
• http://hyip-all.com - інфекція була виявлена 20.06.2017. Зараз сайт не входить до переліку підозрілих.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Gwolle Guestbook, Role Scoper, Ultimate Member, Users Ultra. Для котрих з’явилися експлоіти.

• WordPress Gwolle Guestbook 1.5.3 Remote File Inclusion (деталі)
• WordPress Role Scoper 1.3.66 Cross Site Scripting (деталі)
• WordPress Ultimate Member 1.3.28 Cross Site Scripting (деталі)
• WordPress Users Ultra 1.5.50 SQL Injection (деталі)
• WordPress Users Ultra 1.5.50 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У травні, 16.05.2017, вийшла нова версія WordPress 4.7.5.

WordPress 4.7.5 це багфікс та секюріті випуск нової 4.7 серії. В якому розробники виправили 3 баги та 6 уразливостей. Це URL Redirector Abuse, CSRF уразливість, 2 XSS уразливості та відсутність перевірки даних в XML-RPC API (дві дірки).

Також в цей день вийшли WordPress 4.0.17, 4.1.17, 4.2.14, 4.3.10, 4.4.9, 4.5.8 і 4.6.5. Вказані версії це секюріті випуски 4.0, 4.1, 4.2, 4.3, 4.4, 4.5 і 4.6 серії, в яких виправлені дані уразливості.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://ub.nbuv.gov.ua (хакером Nofawkx Al) - 29.10.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://conference.nbuv.gov.ua (хакером Nofawkx Al) - 29.10.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://tarascha.parafia.in.ua (хакером GAZA) - 08.08.2016, зараз сайт вже виправлений адмінами
• http://stefan.vald.com.ua (хакером GAZA) - 08.08.2016, зараз сайт вже виправлений адмінами
• http://dityacha-rezidencia.kiev.ua (хакером GeNErAL) - 13.01.2017, дві сторінки хакера все ще розміщені на сайті

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Neuvoo-Jobroll, Ajax Load More, WP Fastest Cache, Users Ultra, Calls To Action. Для котрих з’явилися експлоіти.

• WordPress Neuvoo-Jobroll 2.0 Cross Site Scripting (деталі)
• WordPress Ajax Load More PHP Upload (деталі)
• WP Fastest Cache 0.8.4.8 Blind SQL Injection (деталі)
• WordPress Users Ultra 1.5.50 Unrestricted File Upload (деталі)
• WordPress Calls To Action 2.4.3 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.