Websecurity - Веб безпека

У січні, 24.01.2014, я виявив Cross-Site Scripting та Cross-Site Request Forgery уразливості в ASUS Wireless Router RT-G32. Це третя частина дірок в RT-G32.

Раніше я писав про уразливості в ASUS RT-G32.

Cross-Site Scripting (WASC-08):

ASUS RT-G32 XSS-2.html

ASUS RT-G32 XSS-3.html

Cross-Site Request Forgery (WASC-09):

Зміна різних налаштувань пристрою:

ASUS RT-G32 CSRF-2.html

Уразливі всі версії ASUS RT-G32. Перевірялося в ASUS RT-G32 з прошивками версій 2.0.2.6 і 2.0.3.2.

Сьогодні вийшла нова версія програми DAVOSET v.1.2.4. В новій версії:

• Додав у WP метод підтримку розміщення движка сайту в підпапках.
• Додав нові сервіси в повний список зомбі.
• Прибрав неробочі сервіси з повного списку зомбі.

Всього в списку міститься 165 зомбі-сервісів, які готові нанести удар проти диктатури.

DDoS attacks via other sites execution tool (DAVOSET) - це інструмент для використання Abuse of Functionality та XML External Entities уразливостей на одних сайтах, для проведення DoS і DDoS атак на інші сайти.

Скачати: DAVOSET_v.1.2.4.rar.

У березні місяці Microsoft випустила 14 патчів. Що більше ніж у лютому.

У березневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 14 бюлетенів по безпеці. Що закривають 43 уразливості в програмних продуктах компанії. П’ять патчів закривають критичні уразливості та дев’ять патчів закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows 2003, Vista, 2008, 7, 2008 R2, 8, 2012, RT, 8.1 та RT 8.1. А також Microsoft Office, Internet Explorer, Exchange Server, Office Web Apps і SharePoint Server.

В даній добірці експлоіти в веб додатках:

• Magento Server MAGMI Plugin Local File Inclusion / XSS Vulnerabilities (деталі)
• IBM Tivoli Service Automation Manager 7.2.4 - Remote Code Execution Vulnerability (деталі)
• PicsArt Photo Studio For Android Insecure Management Vulnerability (деталі)
• Belkin n750 jump login Parameter Buffer Overflow Exploit (деталі)
• Visual Mining NetCharts Server Remote Code Execution Exploit (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах SI CAPTCHA, Gamespeed та WPSS. Для котрих з’явилися експлоіти. SI CAPTCHA - це плагін для розміщення капчі, Gamespeed - це тема движка, WordPress Spreadsheet (WPSS) - це плагін для розміщення таблиць.

• WordPress SI CAPTCHA Cross Site Scripting (деталі)
• WordPress Gamespeed Theme Cross Site Scripting (деталі)
• WordPress WPSS 0.62 SQL Injection (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Українські Кібер Війська з червня займаються розвідкою. Це аудіо і відео розвідка. Раніше я наводив відео Українських Кібер Військ, що демонструють можливості Українських Кібер Військ по спостереженню за терористами.

Ось 7 нових відео, що зроблені в рамках розвідувальної операції:

Українські Кібер Війська: військова техніка терористів в Горлівці за 28.02.2015 - УКВ записали переміщення військової техніки терористів в Горлівці.

Українські Кібер Війська: військова техніка терористів в Горлівці за 01.03.2015 - УКВ записали переміщення військової техніки терористів в Горлівці.

Українські Кібер Війська: о чём говорят тролли в Москве - УКВ записали розмову тролів в Москві.

Українські Кібер Війська: військова техніка терористів в Горлівці за 07.03.2015 - УКВ записали переміщення військової техніки терористів в Горлівці.

Українські Кібер Війська: військова техніка терористів в Горлівці за 09.03.2015 - УКВ записали переміщення військової техніки терористів в Горлівці.

Українські Кібер Війська: військова техніка терористів в Горлівці за 16.03.2015 - УКВ записали переміщення військової техніки терористів в Горлівці.

Українські Кібер Війська: терористи вимкнули веб камеру в Горлівці 16.03.2015 - УКВ записали переміщення військової техніки терористів в Горлівці та як терористи вимкнули веб камеру.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://tarif.pp.ua - інфекція була виявлена 02.03.2015. Зараз сайт входить до переліку підозрілих.
• http://mycounter.ua - інфекція була виявлена 30.03.2015. Зараз сайт не входить до переліку підозрілих.
• http://lovens.pp.ua - інфекція була виявлена 12.01.2015. Зараз сайт не входить до переліку підозрілих.
• http://infolist.kh.ua - інфекція була виявлена 25.03.2015. Зараз сайт не входить до переліку підозрілих.
• http://traf.pp.ua - інфекція була виявлена 12.01.2015. Зараз сайт не входить до переліку підозрілих.

В даній добірці уразливості в веб додатках:

• Vulnerabilities in memcached (деталі)
• DNN (DotNetNuke) ASPSlideshow Module Arbitrary File Download Vulnerability (деталі)
• DNN (DotNetNuke) CodeEditor Module Arbitrary File Download Vulnerability (деталі)
• DNN (DotNetNuke) EasyDnnGallery Module Arbitrary File Download Vulnerability (деталі)
• memcached security update (деталі)

У лютому, 18-19.02.2015, вийшли PHP 5.4.38, PHP 5.5.22 і PHP 5.6.6. У версії 5.4.38 виправлено 7 уразливостей, у версіях 5.5.22 і 5.6.6 виправлено декілька багів і 4 уразливості.

Дані релізи направлені на покращення безпеки і стабільності гілок 5.4.x, 5.5.x і 5.6.x.

У PHP 5.4.38, 5.5.22 і 5.6.6 виправлено:

• Buffer overflow уразливість в glibc gethostbyname.
• Некоректне визначання підтримки системою crypt sha256/sha512.
• Use after free уразливість в unserialize() з DateTimeZone.
• Heap buffer overflow уразливість в enchant_broker_request_dict().
• SoapServer не підтримує великі повідомлення.
• Прибрана підтримка багаторядкових заголовків. Це захищає від CRLF Injection уразливостей.
• Доданий захист від NULL byte в exec, system і passthru.

По матеріалам http://www.php.net.

Продовжуючи розпочату традицію, після попереднього відео про взлом мережевих пристроїв ISP, пропоную нове відео на секюріті тематику. Цього разу відео про визначення і протидію стеженню. Рекомендую подивитися всім хто цікавиться цією темою.

DEF CON 22 - Robert Rowley - Detecting and Defending Against a Surveillance State

Влітку на конференції DEFCON 22 відбувся виступ Robert Rowley. В своєму виступі він розповів про шпигунство, зокрема держави за громадянами. Про визначення, що за вами стежать (через комп’ютери та мобільні пристрої) та як протидіями цьому.

Він розповів про останні витоки інформації та про те, як визначати державне стеження і як йому протидіяти. Рекомендую подивитися дане відео для розуміння шпигунства і щоб навчитися визначати чи за вами стежать.