Websecurity - Веб безпека

У серпні я дав інтерв’ю для EMPR. І 24.08.2016 воно було оприлюднене на сайті видання.

В інтерв’ю розповідається про мою діяльність та кібер війну Росії проти України. Про різні прояви російської агресії в Інтернеті та реальному світі, про громадську ініціативу Українські Кібер Війська, що я створив 09.06.2014, і протидію інформаційній та кібер війні.

Ukraine’s cyber security enthusiast counteracts Russia’s warfare in cyber space

Так що кому буде цікаво прочитати інформацію про кібер війну, про мене і УКВ, як тим хто вже читав мої попередні інтерв’ю, зокрема інтерв’ю для Факти, чи дивився виступи на ТБ, зокрема прямий ефір зі мною на 5 каналі, так і всім іншим, можете прочитати це інтерв’ю.

В даній добірці уразливості в веб додатках:

• SAP SLD Information Tampering (деталі)
• ManageEngine ServiceDesk SQL Injection Vulnerability (деталі)
• ManageEngine ServiceDesk Plus User Enumeration Vulnerability (деталі)
• ManageEngine ServiceDesk Plus User Privileges Management Vulnerability (деталі)
• Multiple critical vulnerabilities in WebTitan (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Church Admin, GigPress, Landing Pages, NewStatPress, Free Counter. Для котрих з’явилися експлоіти.

• WordPress Church Admin 0.800 Cross Site Scripting (деталі)
• WordPress GigPress 2.3.8 SQL Injection (деталі)
• WordPress Landing Pages 1.8.4 Cross Site Scripting / SQL Injection (деталі)
• WordPress NewStatPress 0.9.8 Cross Site Scripting / SQL Injection (деталі)
• WordPress Free Counter 1.1 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Українські Кібер Війська з червня 2014 року займаються розвідкою. Це аудіо і відео розвідка. Раніше я наводив відео Українських Кібер Військ, що демонструють можливості Українських Кібер Військ по спостереженню за терористами.

Ось 5 нових відео, що зроблені в рамках розвідувальної операції:

Українські Кібер Війська: російська військова техніка в Криму - УКВ записали переміщення військової техніки в Керчі.

Українські Кібер Війська: російська військова техніка в Керчі - УКВ записали переміщення військової техніки в Криму в Керчі.

Українські Кібер Війська: російська військова техніка в Криму - УКВ записали переміщення військової техніки в Керчі.

УУкраїнські Кібер Війська: російська військова техніка в Керчі - УКВ записали переміщення військової техніки в Криму в Керчі.

Українські Кібер Війська: штаб-квартира терористів в Алчевську - УКВ записали відео зі штаб-квартири терористів в Алчевську.

У серпні, 02.08.2016, вийшов Mozilla Firefox 48. Нова версія браузера вийшла через півтора місяці після виходу Firefox 47.

Mozilla офіційно випустила реліз веб-браузера Firefox 48, а також мобільну версію Firefox 48 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 49 намічений на 13 вересня, а Firefox 50 на 8 листопада.

Також була оновлена гілка із тривалим терміном підтримки Firefox 45.3.

В браузері було зроблено декілька покращень безпеки, зокрема перевірка додатків по цифровому підпису тепер обов’язкова і не вимикається в налаштуваннях та розширені засоби для захисту користувачів від завантаження шкідливого вмісту. Також по замовчуванню блокується Flash (зокрема флешки розміром менше 5×5, що часто використовуються для стеження за користувачами через генерацію унікального ідентифікатора по встановлених шрифтах чи запис суперкукі).

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 48.0 усунуто 23 уразливості, серед яких три позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 48 (деталі)

В даній добірці експлоіти в веб додатках:

• Kaltura Community Edition <=11.1.0-2 - Multiple Vulnerabilities (деталі)
• AKIPS Network Monitor 15.37 through 16.5 - OS Command Injection (деталі)
• Wildfly - WEB-INF and META-INF Information Disclosure via Filter Restriction Bypass (деталі)
• Adobe Flash - Object.unwatch Use-After-Free Exploit (деталі)
• ATutor 2.2.1 - Directory Traversal / Remote Code Execution (деталі)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://hram-uspennya.te.ua - інфекція була виявлена 30.06.2016. Зараз сайт входить до переліку підозрілих.
• http://pr-z.com.ua - інфекція була виявлена 30.06.2016. Зараз сайт не входить до переліку підозрілих.
• http://polygraph.net.ua - інфекція була виявлена 30.06.2016. Зараз сайт не входить до переліку підозрілих.
• http://maxim.te.ua - інфекція була виявлена 30.06.2016. Зараз сайт не входить до переліку підозрілих.
• http://lsis.com.ua - інфекція була виявлена 30.06.2016. Зараз сайт не входить до переліку підозрілих.

У серпні, 10.08.2016, я виступив у прямому ефірі на 5 каналі.

Ефір відбувся в програмі “Україна понад усе”. В ньому йшлося про війну і кібервійну в України, про Українські Кібер Війська, нашу роботу за понад два роки та проведення мною анти-терористичної операції в Інтернеті. Всі бажаючі можуть його подивитися.

Виявлені численні уразливості безпеки в Microsoft Internet Explorer і Microsoft Edge.

Уразливі продукти: Microsoft Internet Explorer 7, 8, 9, 10, 11 та Edge під Windows Vista, Windows 2008 Server, Windows 7, Windows 8, Windows 2012 Server, Windows 8.1, Windows 10.

Численні пошкодження пам’яті та виконання коду.

• Microsoft Security Bulletin MS16-095 - Critical Cumulative Security Update for Internet Explorer (3169991) (деталі)
• Microsoft Security Bulletin MS16-096 - Critical Cumulative Security Update for Microsoft Edge (3177358) (деталі)

В даній добірці уразливості в веб додатках:

• CRLF Injection and XSS Injection in Yealink VoIP Phones (деталі)
• XSS vulnerability in Mango Automation (деталі)
• Reflected XSS Vulnerability in EventSentry Web Reports Interface (деталі)
• Program-O v2.4.6 - Multiple Web Vulnerabilities (деталі)
• HP Service Virtualization Running AutoPass License Server, Remote Code Execution (деталі)