Архів за Серпень, 2014

Уразливості в плагінах для WordPress №150

23:54 20.08.2014

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах VideoWhisper, Kidoo та DZS VideoGallery. Для котрих з’явилися експлоіти. VideoWhisper - це плагін для трансляції відео, Kidoo - це тема движка, DZS VideoGallery - це плагін для створення відео галерей.

  • Multiple Vulnerabilities in VideoWhisper Live Streaming Integration WP Plugin (деталі)
  • WordPress Kidoo Shell Upload (деталі)
  • WordPress DZS-VideoGallery Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Вийшли PHP 5.4.31 та PHP 5.5.15

22:45 20.08.2014

У липні, 24.07.2014, вийшли PHP 5.4.31 і PHP 5.5.15. У версії 5.4.31 виправлено біля 10 багів, а у версії 5.5.15 виправлено декілька багів. Дані релізи направлені на покращення стабільності гілок 5.4.x і 5.5.x.

Жодних уразливостей в цих версіях PHP виправлено не було.

По матеріалам http://www.php.net.

Добірка експлоітів

17:21 20.08.2014

В даній добірці експлоіти в веб додатках:

  • IBM Algorithmics RICOS 4.5.0 - 4.7.0 - Multiple Vulnerabilities (деталі)
  • Netgear WNR1000v3 - Password Recovery Credential Disclosure Vulnerability (деталі)
  • Bitdefender GravityZone 5.1.5.386 - Multiple Vulnerabilities (деталі)
  • Heartbleed OpenSSL - Information Leak Exploit (2) - DTLS Support (деталі)
  • Kolibri 2.0 GET Request - Stack Buffer Overflow (деталі)

Прямий ефір зі мною на каналі Еспресо.TV

23:58 19.08.2014

Сьогодні я дав інтерв’ю каналу Еспресо.TV. Виступив в прямому ефірі даного телеканалу. Це продовження попередньої публікації.

Ефір відбувся з 15:40 до 16:15. В ньому я розповів про Українські Кібер Війська та проведення мною анти-терористичної операції в Інтернеті.

Всі бажаючі, хто бачив прямий ефір на Еспресо.TV і хто не бачив його, можуть подивитися відео фрагменти мого виступу. Це наступні чотири відео:




Прямий ефір зі мною на каналі Еспресо.TV

22:42 19.08.2014

Сьогодні я дав інтерв’ю каналу Еспресо.TV. Виступив в прямому ефірі даного телеканалу. Продовження.

Ефір відбувся з 15:40 до 16:15. В ньому я розповів про Українські Кібер Війська та проведення мною анти-терористичної операції в Інтернеті.

Всі бажаючі, хто бачив прямий ефір на Еспресо.TV і хто не бачив його, можуть подивитися відео фрагменти мого виступу. Це перші три відео:



Інфіковані сайти №201

20:09 19.08.2014

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

  • http://sergeevka.org.ua - інфекція була виявлена 18.08.2014. Зараз сайт входить до переліку підозрілих.
  • http://gr.biz.ua - інфекція була виявлена 10.07.2014. Зараз сайт не входить до переліку підозрілих.
  • http://meta.ua - інфекція була виявлена 16.08.2014. Зараз сайт не входить до переліку підозрілих.
  • http://kust.net.ua - інфекція була виявлена 18.08.2014. Зараз сайт не входить до переліку підозрілих.
  • http://childlibrary.donetsk.ua - інфекція була виявлена 26.05.2014. Зараз сайт не входить до переліку підозрілих.

Добірка уразливостей

17:23 19.08.2014

В даній добірці уразливості в веб додатках:

  • Multiple XSS vulnerabilities in Roundcube (деталі)
  • Multiple Vulnerabilities in OpenDocMan (деталі)
  • Cross-Site Scripting (XSS) in Open Classifieds (деталі)
  • Cross-Site Scripting (XSS) in CMSimple (деталі)
  • Microsoft Security Bulletin MS13-066 - Important Vulnerability in Active Directory Federation Services Could Allow Information Disclosure (2873872) (деталі)

Атака на веб браузер на Android

22:49 02.08.2014

Продовжуючи розпочату традицію, після попереднього відео про викрадення файлів в Google Chrome, пропоную нове відео на веб секюріті тематику. Цього разу відео про атаку на веб браузер на Android. Рекомендую подивитися всім хто цікавиться цією темою.

Compromise Android phone with XSSF and exploit

В даному відео ролику демонструється атака на веб браузер (Safari) на смартфоні під ОС Android з використанням Metasploit та Cross-Site Scripting Framework (XSSF). Аналогічна атака також може бути проведена на браузери на iOS та інших мобільних і настільних ОС. Через XSS уразливість на сайті розміщується експлоіт, на який заманюється жертва, що дозволяє нападнику взяти під контроль браузер користувача.

Атака відбувається при відвідуванні в браузері спеціально створеного веб сайта або сайта з XSS уразливістю, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Витік інформації в Microsoft Lync Server

20:03 02.08.2014

Виявлена уразливість, що призводить до витоку інформації в Microsoft Lync Server.

Уразливі продукти: Microsoft Lync Server 2010, Lync Server 2013.

Cross-Site Scripting уразливість в Web Components Server в Lync Server.

  • Microsoft Security Bulletin MS14-032 - Important Vulnerability in Microsoft Lync Server Could Allow Information Disclosure (2969258) (деталі)

Вийшов Google Chrome 36

17:26 02.08.2014

У липні, 17.07.2014, через два місяці після виходу Google Chrome 35, вийшов Google Chrome 36.

В браузері зроблено декілька нововведень. А також виправлено 26 уразливостей. Декілька патчів виправляють небезпечні та декілька патчів виправляють помірні уразливості.

  • Выпуск web-браузера Chrome 36 c реализацией App Launcher для Linux (деталі)