Архів за Жовтень, 2018

Уразливості в плагінах для WordPress №295

23:54 27.10.2018

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Ecwid Ecommerce Shopping Cart, Add From Server, Advanced Custom Fields: Table Field, Photo Gallery. Для котрих з’явилися експлоіти.

  • WordPress Ecwid Ecommerce Shopping Cart 4.4 / 4.4.3 PHP Object Injection (деталі)
  • WordPress Add From Server 6.2 Cross Site Request Forgery (деталі)
  • WordPress Advanced Custom Fields: Table Field 1.1.12 XSS (деталі)
  • WordPress Photo Gallery 1.8.5 Cross Site Request Forgery (деталі)
  • WordPress Photo Gallery 1.8.5 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Жовтневий вівторок патчів від Microsoft

22:47 27.10.2018

У жовтні місяці Microsoft випустила нові патчі.

У жовтневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло багато патчів, але починаючи з квітня 2017 року бюлетені по безпеці не випускаються, тому їх кількість невідома. Компанія вказує лише назви продуктів та номера патчів, а не кількість і деталі бюлетенів (патчів). Вони закривають уразливості в програмних продуктах компанії.

Дані патчі стосуються поточних операційних систем компанії Microsoft - Windows 7, 8.1, RT 8.1, 10 та 2016. А також Microsoft Office, Internet Explorer і Edge, Azure IoT, Exchange Server, SQL Server Management Studio, SharePoint Server, Windows Hyper-V та .NET Core, ASP.NET Core і ChakraCore.

Також Microsoft випустила патч для уразливостей в Adobe Flash Player, що постачається з Windows.

Вийшов Mozilla Firefox 62.0.2

20:09 27.10.2018

У вересні, 21.09.2018, вийшов Mozilla Firefox 62.0.2. Нова версія браузера вийшла через пів місяця після виходу Firefox 62.

Якщо в 62.0.1 виправили лише баги, то цього разу маємо секюріті випуск, в якому виправлена уразливість CVE-2018-12385: Crash in TransportSecurityInfo due to cached data.

  • MFSA 2018-22 Security vulnerabilities fixed in Firefox 62.0.2 (деталі)

Уразливості в Microsoft .NET і ASP.NET

23:51 26.10.2018

Виявлені уразливості в Microsoft .NET Core, ASP.NET Core і ChakraCore. Що були виправлені у вівторку патчів у жовтні.

Уразливі продукти: Microsoft .NET Core 2.1, ASP.NET Core 2.1, ChakraCore.

Виконання коду та витік інформації.

Вийшов Google Chrome 68

22:48 26.10.2018

У липні, 25.07.2018, через півтора місяці після виходу Google Chrome 67, вийшов Google Chrome 68.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Виправлено 42 уразливості. З яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer і AFL. Що більше ніж в попередній версії.

Вересневі DDoS атаки та взломи

19:37 26.10.2018

Раніше я писав про серпневі DDoS атаки та взломи в Україні, а зараз розповім про ситуацію в вересні.

В зв’язку з сепаратистськими і терористичними акціями на сході України, хакерська активність була значною. Відбулися наступні DDoS атаки та взломи в Інтернеті.

Іноземні хакери провели неполітичні взломи державних сайтів:

uzh-rajrada.gov.ua (хакерами Darkshadow-tn і Mister Spy) - 16.09.2018
gostomel-rada.gov.ua (хакерами Darkshadow-tn і Mister Spy) - 16.09.2018
pereyaslav-rda.gov.ua (хакерами Darkshadow-tn і Mister Spy) - 16.09.2018

Українські Кібер Війська закрили наступні сайти:

Закрили два сайти терористів шляхом відміни SSL серт. - 09.2018

Уразливості в Microsoft SharePoint Server

16:25 26.10.2018

Виявлені уразливості безпеки в Microsoft Office, а також в серверних продуктах SharePoint Server. Що були виправлені у вівторку патчів у жовтні.

Уразливі продукти: Microsoft Office Web Apps 2010 SP2, SharePoint Server 2010 SP2, SharePoint Enterprise Server 2013 SP1, SharePoint Enterprise Server 2016.

Обхід безпеки та виконання коду.

Вийшов WordPress 4.9.6

23:58 25.10.2018

В травні, 17.05.2018, вийшла нова версія WordPress 4.9.6.

WordPress 4.9.5 це багфікс та privacy випуск нової 4.9 серії. В якому розробники виправили 95 багів і зробили покращення приватності. Зокрема в зв’язку з запровадженням з 25 травня в General Data Protection Regulation (GDPR) в ЄС, була додана сумісність з новим законодавством ЄС. Зокрема наступний функціонал: в формі коментарів зробили можливість вибору чи зберігати дані користувачів у браузері, сторінка політики конфіденційності, функції роботи з приватними даними (експорт і видалення даних).

Жодних покращень безпеки в цій версії, лише зробили звичайні виправлення в движку.

Уразливості в Microsoft Exchange

22:47 25.10.2018

Виявлені уразливості в Microsoft Exchange. Що були виправлені у вівторку патчів у жовтні.

Уразливі продукти: Microsoft Exchange Server 2010 SP3, Exchange Server 2013, Exchange Server 2016.

Обхід безпеки та виконання коду.

Похакані сайти №358

20:09 25.10.2018

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

  • http://zaryabinka-rada.gov.ua (хакерами з Team_CC) - 11.03.2018 - похаканий державний сайт, зараз сайт вже виправлений адмінами
  • http://new.bogodukhivrda.gov.ua (хакерами з Team_CC) - 11.03.2018 - похаканий державний сайт, зараз сайт вже виправлений адмінами
  • http://bogodukhivrda.gov.ua (хакерами з Team_CC) - 11.03.2018 - похаканий державний сайт, зараз сайт вже виправлений адмінами
  • http://eduvzn.gov.ua (хакером Bala Sniper) - 13.04.2018 - похаканий державний сайт, зараз сайт вже виправлений адмінами
  • http://lepetykha-rda.gov.ua (хакером RxR) - 18.04.2018 - похаканий державний сайт, зараз сайт вже виправлений адмінами
  • http://croyance.dp.ua (хакером ZoRRoKiN) - 19.08.2018, зараз сайт вже виправлений адмінами
  • http://kapkanshop.com (хакерами з Turk Security Army) - 31.08.2018, зараз сайт вже виправлений адмінами
  • http://internationalsalons.net (хакером Khanh Cloud)
  • http://marketing.dp.ua (хакерами з ErrOr SquaD) - 04.10.2018, зараз сайт вже виправлений адмінами
  • http://womancup.com.ua (хакерами з ErrOr SquaD) - 04.10.2018, зараз сайт вже виправлений адмінами