Websecurity - Веб безпека

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Random Banner, Easy Banners і My Login. Для котрих з’явилися експлоіти. Random Banner - це плагін для розміщення банерів, Easy Banners - це плагін для розміщення банерів, My Login - це тема движка.

• WordPress Random Banner 1.1.2.1 Cross Site Scripting (деталі)
• WordPress Easy Banners 1.4 Cross Site Scripting (деталі)
• WordPress Theme My Login 6.3.9 Local File Inclusion (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Українські Кібер Війська з червня займаються розвідкою. Це аудіо і відео розвідка. Раніше я наводив відео Українських Кібер Військ, що демонструють можливості Українських Кібер Військ по спостереженню за терористами.

Ось 7 нових відео, що зроблені в рамках розвідувальної операції:

Українські Кібер Війська: військова техніка в Донецьку та Криму за 25.12.2014 - УКВ записали військову техніку в Донецьку та Криму.

Українські Кібер Війська: військова техніка терористів в Донецьку за 26.12.2014 - УКВ записали переміщення військової техніки терористів в Донецьку.

Українські Кібер Війська: військова техніка терористів в Донецьку за 27.12.2014 - УКВ записали переміщення військової техніки терористів в Донецьку.

Українські Кібер Війська: терорист купує коштовності в Донецьку - УКВ записали покупку коштовностей в магазині Донецька.

Українські Кібер Війська: військова техніка в Донецьку та Криму за 30.12.2014 - УКВ записали військову техніку в Донецьку та Криму.

Українські Кібер Війська: відео з російського обмінника - УКВ записали роботу обмінника в Підмосков’ї.

Українські Кібер Війська: військова техніка в Донецьку за 04-05.01.2015 - УКВ записали переміщення військової техніки терористів в Донецьку.

Виявлені численні уразливості безпеки в Mozilla Firefox, Thunderbird, Seamonkey.

Уразливі продукти: Mozilla Firefox 34, Thunderbird 31.1, SeaMonkey 2.31.

Пошкодження пам’яті, обхід обмежень, ін’єкція заголовків.

• Mozilla Foundation Security Advisory 2015-01 (деталі)
• Mozilla Foundation Security Advisory 2015-02 (деталі)
• Mozilla Foundation Security Advisory 2015-03 (деталі)
• Mozilla Foundation Security Advisory 2015-04 (деталі)
• Mozilla Foundation Security Advisory 2015-05 (деталі)
• Mozilla Foundation Security Advisory 2015-06 (деталі)
• Mozilla Foundation Security Advisory 2015-07 (деталі)
• Mozilla Foundation Security Advisory 2015-08 (деталі)
• Mozilla Foundation Security Advisory 2015-09 (деталі)

В даній добірці уразливості в веб додатках:

• OpenVAS Manager And OpenVAS Administrator Vulnerable To Partial Authentication Bypass (деталі)
• ruby-actionpack-3.2 security update (деталі)
• Revive Adserver 3.0.5 fixes CSRF vulnerability (деталі)
• Construtiva CIS Manager CMS POST SQLi (деталі)
• sup-mail security update (деталі)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://bibigon.com.ua - інфекція була виявлена 20.01.2015. Зараз сайт входить до переліку підозрілих.
• http://26.com.ua - інфекція була виявлена 07.11.2014. Зараз сайт не входить до переліку підозрілих.
• http://i.com.ua - інфекція була виявлена 19.01.2015. Зараз сайт не входить до переліку підозрілих.
• http://shopcms.pp.ua - інфекція була виявлена 29.12.2014. Зараз сайт не входить до переліку підозрілих.
• http://shopcms.net.ua - інфекція була виявлена 29.12.2014. Зараз сайт не входить до переліку підозрілих.

У грудні, 26.12.2014, я дав інтерв’ю Радіо Свобода. Що транслювалося по радіо, а також було записане на відео.

Ви можете подивитися відео і почитати статтю. Прямого ефір був розміщений 29.12.2014 як аудіо сюжет (ще перед розміщенням відео). В сюжеті йшлося про Українські Кібер Війська, про проведення мною анти-терористичної операції в Інтернеті та чи потрібні Україні кібервійська.

Виявлені численні уразливості безпеки в Adobe Flash Player.

Уразливі версії: Adobe Flash Player 16.0.

Typejacking, виконання коду, пошкодження пам’яті, переповнення буфера, розкриття інформації.

• Adobe Security Bulletin Security updates available for Adobe Flash Player (деталі)

В даній добірці експлоіти в веб додатках:

• ManageEngine Netflow Analyzer / IT360 File Download Vulnerability (деталі)
• EntryPass N5200 Credential Disclosure Vulnerability (деталі)
• HttpFileServer 2.3.x Remote Command Execution Vulnerability (деталі)
• Rooted SSH/SFTP Daemon Default Login Credentials (деталі)
• EMC AlphaStor Device Manager Opcode 0×75 Command Injection Exploit (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах ml-slider, Bannerman і Custom Banners. Для котрих з’явилися експлоіти. ml-slider - це плагін, Bannerman - це плагін для розміщення банерів, Custom Banners - це плагін для розміщення банерів.

• WordPress ml-slider 2.5 Cross Site Scripting (деталі)
• WordPress Bannerman 0.2.4 Cross Site Scripting (деталі)
• WordPress Custom Banners 1.2.2.2 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У січні, 13.01.2015, вийшов Mozilla Firefox 35. Нова версія браузера вийшла через півтора місяці після виходу Firefox 34.

Mozilla офіційно випустила реліз веб-браузера Firefox 35, а також мобільну версію Firefox 35 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 36 намічений на 24 лютого, а Firefox 37 на 7 квітня.

Також були випущені Seamonkey 2.32 та оновлені гілки із тривалим терміном підтримки Firefox 31.4 і Thunderbird 31.4.

Серед покращень безпеки реалізовано HTTP-розширення для механізму прив’язки відкритих ключів (Public Key Pinning), що дозволяє явно визначити сертифікати яких центрів, що засвідчують, можливо використовувати для заданого сайта.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 35.0 усунуто 9 уразливостей, серед яких 3 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 35 (деталі)