Websecurity - Веб безпека

В даній добірці уразливості в веб додатках:

• Multiple critical vulnerabilities in Bitdefender GravityZone (деталі)
• Vulnerabilities in zarafa (деталі)
• Multiple Vulnerabilities in my little forum (деталі)
• Pandora FMS v5.1 SP1 - SQL Injection Web Vulnerability (деталі)
• Parameter Tampering in Nessus Web UI - Remote Information Disclosure (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах GD bbPress Attachments, WP-SwimTeam, Floating Social Bar, PowerPlay Gallery. Для котрих з’явилися експлоіти.

• WordPress GD bbPress Attachments 2.1 Local File Inclusion (деталі)
• WordPress GD bbPress Attachments 2.1 Cross Site Scripting (деталі)
• WordPress WP-SwimTeam 1.44.10777 Arbitrary File Download (деталі)
• WordPress Floating Social Bar 1.1.5 Cross Site Scripting (деталі)
• WordPress WP-PowerPlayGallery 3.3 File Upload / SQL Injection (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Раніше я писав про вересневі DDoS атаки та взломи в Україні, а зараз розповім про ситуацію у жовтні.

В зв’язку з сепаратистськими і терористичними акціями на сході України хакерська активність була значною. Відбулися наступні DDoS атаки та взломи в Інтернеті.

Іноземні хакери провели неполітичні взломи державних сайтів:

dndekc.mvs.gov.ua (хакером Sxtz) - 02.10.2016
chasovrada.gov.ua (хакером AlfabetoVirtual) - 05.10.2016
bc-mvs.gov.ua (хакером Turan Ordusu) - 08.10.2016

Російські хакери провели атаки на державні ресурси:

Взлом FB сторінки прес-центру штабу АТО (хакерами з Sprut) - 05.10.2016
DDoS атака на public.nazk.gov.ua - 29.10.2016

Проукраїнськими хакерами були атаковані наступні сайти:

Жовтневі DDoS атаки на сайти ДНР і ЛНР

Сайти ДНР і ЛНР були атаковані неодноразово на протязі місяця.

Українські Кібер Війська закрили наступні сайти:

Закритий сайт slavyanka.union-portal.com (через скаргу хостеру) - 10.2016

Виявлені численні уразливості безпеки в Mozilla Firefox і Thunderbird.

Уразливі продукти: Mozilla Firefox 48, Firefox ESR 45.3, Thunderbird 45.3.

Пошкодження пам’яті, переповнення буфера, вибивання, витік інформації, обхід обмежень.

• MFSA-85 Security vulnerabilities fixed in Firefox 49 (деталі)

В даній добірці експлоіти в веб додатках:

• Gemtek CPE7000 - WLTCS-106 Administrator SID Retriever (Metasploit) (деталі)
• EMC ViPR SRM - Cross-Site Request Forgery (деталі)
• Merit Lilin IP Cameras - Multiple Vulnerabilities (деталі)
• PowerFolder Server 10.4.321 - Remote Code Execution (деталі)
• Ubiquiti airOS - Arbitrary File Upload (Metasploit) (деталі)

Українські Кібер Війська з червня 2014 року займаються розвідкою. Це аудіо і відео розвідка. Раніше я наводив відео Українських Кібер Військ, що демонструють можливості Українських Кібер Військ по спостереженню за терористами.

Ось 5 нових відео, що зроблені в рамках розвідувальної операції:

Українські Кібер Війська: полковник терористів в Алчевську - УКВ записали відео зі штаб-квартири терористів в Алчевську.

Українські Кібер Війська: російська військова техніка в Криму - УКВ записали переміщення військової техніки в Севастополі та Керчі.

Українські Кібер Війська: полковник терористів в Алчевську - УКВ записали відео зі штаб-квартири терористів в Алчевську.

Українські Кібер Війська виявили цікаву пропаганду терористів - УКВ захопили відео з розвантаження російського гумконвою в Донецьку.

Українські Кібер Війська захопили секретні відео російського гумконвою на Донбасі - УКВ захопили відео з розвантаження російського гумконвою в Донецьку.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://niko-yan.com.ua - інфекція була виявлена 18.10.2016. Зараз сайт входить до переліку підозрілих.
• http://sy-soft.net - інфекція була виявлена 18.10.2016. Зараз сайт не входить до переліку підозрілих.
• http://advokatura.in.ua - інфекція була виявлена 18.10.2016. Зараз сайт не входить до переліку підозрілих.
• http://pivarium.com.ua - інфекція була виявлена 18.10.2016. Зараз сайт не входить до переліку підозрілих.
• http://3d-orange.com.ua - інфекція була виявлена 18.10.2016. Зараз сайт не входить до переліку підозрілих.
• http://citadel.com.ua - інфекція була виявлена 22.11.2016. Зараз сайт не входить до переліку підозрілих.
• http://beta.dostavka-obedov.kiev.ua - інфекція була виявлена 22.11.2016. Зараз сайт не входить до переліку підозрілих.
• http://pereval.net - інфекція була виявлена 22.11.2016. Зараз сайт не входить до переліку підозрілих.
• http://inmak.ua - інфекція була виявлена 22.11.2016. Зараз сайт не входить до переліку підозрілих.
• http://wom.com.ua - інфекція була виявлена 22.11.2016. Зараз сайт не входить до переліку підозрілих.

В даній добірці уразливості в веб додатках:

• DoS vulnerability in PolarSSL (деталі)
• Vulnerabilities in python-django (деталі)
• BMC Footprints Service Core 11.5 - Multiple Cross Site Scripting Vulnerabilities (XSS) (деталі)
• Radexscript CMS 2.2.0 - SQL Injection vulnerability (деталі)
• Multiple vulnerabilities in Citrix NetScaler Application Delivery Controller and Citrix NetScaler Gateway (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах S3Bubble Cloud Video With Adverts / Analytics, WP E-Commerce Shop Styling, MDC Youtube Downloader, Easy2Map Photos, CP Contact Form With Paypal. Для котрих з’явилися експлоіти.

• WordPress S3Bubble Cloud Video With Adverts / Analytics Arbitrary File Download (деталі)
• WordPress WP-Ecommerce-Shop-Styling 2.5 File Download (деталі)
• WordPress MDC-Youtube-Downloader 2.1.0 File Disclosure (деталі)
• WordPress Easy2Map-Photos 1.09 SQL Injection (деталі)
• WordPress CP Contact Form With Paypal 1.1.5 CSRF / XSS / SQL Injection (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У жовтні місяці Microsoft випустила 10 патчів. Що менше ніж у вересні.

У жовтневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 10 бюлетенів по безпеці. Що закривають численні уразливості в програмних продуктах компанії. Шість патчів закривають критичні уразливості, три патчі закривають важливі уразливості та один патч закриває помірну уразливість.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows Vista, 2008, 7, 2008 R2, 8, 2012, RT, 8.1, RT 8.1 та 10. А також Microsoft Office, Internet Explorer і Edge, Office Web Apps, Silverlight, .NET Framework, Skype for Business і Lync та Microsoft Internet Messaging API.

Також Microsoft випустила патч для уразливостей в Adobe Flash Player, що постачаються з Windows.