Websecurity - Веб безпека

В статті Захист від malware в Internet Explorer 9 я писав про технології захисту від шкідливого коду в IE9.

В браузері Microsoft Internet Explorer 10 додані нові захисні механізми.

А також покращені технології Tracking Protection, Malware Protection і SmartScreen Application Reputation.

У лютому, 09.02.2015, я знайшов Cross-Site Scripting та Cross-Site Request Forgery уразливості в Ubiquiti airOS. Це Wireless Router і AP.

Стосовно мережевих пристроїв раніше я писав про уразливості в TP-Link TL-WR941N та Ubiquiti airOS.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам пристрою.

У листопаді, 15.11.2016, вийшов Mozilla Firefox 50. Нова версія браузера вийшла через півтора місяці після виходу Firefox 49.

Mozilla офіційно випустила реліз веб-браузера Firefox 50, а також мобільну версію Firefox 50 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 51 намічений на 24 січня, а Firefox 52 на 7 березня.

Також була оновлена гілка із тривалим терміном підтримки Firefox 45.5.

В браузері було зроблено покращення безпеки, зокрема додані напрацювання ініціативи по переносу з Tor Browser деяких можливостей, що дозволяють посилити захист персональної інформації. Також доданий захист від завантаження різних типів виконуваних файлів для Windows, MacOS і Linux, в заголовок Set-Cookie додана підтримка службових префіксів “__Host-” і “__Secure-”, додана підтримка заголовків X-Content-Type-Options: nosniff та Referrer-Policy, в CSP представлена директива sandbox.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 50.0 усунуто 27 уразливостей, серед яких три позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 50 (деталі)

У листопаді місяці Microsoft випустила 14 патчів. Що більше ніж у жовтні.

У листопадовому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 14 бюлетенів по безпеці. Що закривають численні уразливості в програмних продуктах компанії. Шість патчів закривають критичні уразливості та вісім патчів закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows Vista, 2008, 7, 2008 R2, 8, 2012, RT, 8.1, RT 8.1 та 10. А також Microsoft Office, Internet Explorer і Edge, Office Web Apps та SQL Server.

Також Microsoft випустила патч для уразливостей в Adobe Flash Player, що постачаються з Windows.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://odesa.man.gov.ua (хакерами з Fallaga Team) - 01.06.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://ternopil.man.gov.ua (хакерами з Fallaga Team) - 01.06.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://rivne.man.gov.ua (хакерами з Fallaga Team) - 01.06.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://vinzem.gov.ua (хакером RxR) - 23.06.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://kakhovka-rayrada.gov.ua (хакером Xvirus) - 06.07.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://traven.com.ua (хакером Xvirus) - 06.07.2016, зараз сайт вже виправлений адмінами
• http://kakhovka.com.ua (хакером Xvirus) - 06.07.2016, зараз сайт вже виправлений адмінами
• http://art-pro.dp.ua (хакером Djamel11154) - 04.04.2016, зараз сайт вже виправлений адмінами
• http://doctorpoluektov.com.ua (хакером Djamel11154) - 04.04.2016, зараз сайт вже виправлений адмінами
• http://my-cook.net (хакером Djamel11154) - 04.04.2016, зараз сайт вже виправлений адмінами

В даній добірці експлоіти в веб додатках:

• Web interface for DNSmasq / Mikrotik - SQL Injection (деталі)
• CakePHP Framework 3.2.4 - IP Spoofing (деталі)
• SAP xMII 15.0 - Directory Traversal (деталі)
• Magento < 2.0.6 - Unauthenticated Arbitrary Unserialize -> Arbitrary Write File (деталі)
• IPFire - proxy.cgi Remote Code Execution (Metasploit) (деталі)

26.01.2016

В листопаді, 30.11.2015, я знайшов Cross-Site Scripting та Abuse of Functionality уразливості на screenshot.com.ua. Про що найближчим часом повідомлю розробникам системи.

Про Abuse of Functionality дірку на цьому сайті для проведення DoS атак я вже згадав в останньому випуску моєї програми DAVOSET, де screenshot.com.ua приведений у списку сайтів-зомбі.

Детальна інформація про уразливості з’явиться пізніше.

24.11.2016

XSS:

http://screenshot.com.ua/makeit.cgi?url=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

Abuse of Functionality:

POST запит до http://screenshot.com.ua/makeit.cgi.

Дана дірка може використовуватися для DoS атак (як на сам сайт, так і на інші сайти).

Також на сайті є Redirector та інші уразливості. Власник сайта відмовився виправляти окрім XSS, тому вони досі не виправлені.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки (статті з Вікіпедії):

• Data breach
• Memory corruption
• Stack buffer overflow
• Uncontrolled format string
• Web application security scanner

У листопаді, 10.11.2016, вийшли PHP 5.6.28 і PHP 7.0.13. У версії 5.6.28 виправлено багато багів і 15 уразливостей, у версії 7.0.13 виправлено багато багів і 12 уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 5.6.x і 7.0.x.

У PHP 5.6.28 і 7.0.13 виправлено:

• Дванадцять уразливостей в ядрі та модулях.
• Три уразливості в PHP 5.6.28.

По матеріалам http://www.php.net.

В даній добірці уразливості в веб додатках:

• OpenStack Nova vulnerabilities (деталі)
• Directory Traversal and Arbitrary File Disclosure in hybris Commerce Software Suite (деталі)
• Piwigo - SQL Injection in Version 2.7.3 (деталі)
• PHP Code Execution in jui_filter_rules Parsing Library (деталі)
• Vulnerability in OpenStack Neutron (деталі)