Архів за Листопад, 2023

Цікаве чтиво на тему web security

22:58 26.11.2023

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, зокрема про DoS і DDoS атаки (статті з Вікіпедії):

Похакані сайти №400

19:32 26.11.2023

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

  • http://mdfi.gov.ua (хакером 0×1998) - 01.02.2022 - похаканий державний сайт
  • http://journal.iitta.gov.ua (хакером Mr.Kro0oz.305) - 23.04.2022 - похаканий державний сайт
  • http://mywood.in.ua (росіянами) - 15.03.2022
  • https://oilhouse.com.ua (росіянами) - 15.03.2022
  • http://kubg.edu.ua (хакером Imam) - 17.07.2023

Добірка експлоітів

16:01 26.11.2023

В даній добірці експлоіти в веб додатках:

  • MiniDVBLinux 5.4 - Arbitrary File Read (деталі)
  • Router ZTE-H108NS - Authentication Bypass (деталі)
  • ASKEY RTF3505VW-N1 - Privilege Escalation (деталі)
  • qubes-mirage-firewall v0.8.3 - Denial Of Service (DoS) (деталі)
  • ProLink PRS1841 PLDT Home fiber - Default Password (деталі)

Уразливості в плагінах для WordPress №356

22:48 25.11.2023

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Localize My Post, FV Flowplayer, WP Insert, Breadcrumb NavXT, WebARX Website Firewall. Для котрих з’явилися експлоіти.

  • WordPress Localize My Post 1.0 Local File Inclusion (деталі)
  • WordPress FV Flowplayer 7.2.0.727 Cross Site Scripting (деталі)
  • WordPress WP Insert 2.4.2 Arbitrary File Upload (деталі)
  • WordPress Breadcrumb NavXT 6.1.0 Username Disclosure (деталі)
  • WordPress WebARX Website Firewall 4.9.8 XSS / Bypass (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Вийшли PHP 8.1.17 і 8.2.4

19:34 25.11.2023

У березні, 16.03.2023, вийшли PHP 8.1.17 і PHP 8.2.4. У версії PHP 8.1.17 виправлено багато багів і уразливостей, у версії PHP 8.2.4 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 8.1.x і 8.2.x.

У PHP 8.1.17 і 8.2.4 виправлено:

  • Численні вибивання.
  • Переповнення буферу.
  • Витік пам’яті в tidy.
  • Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.

Діяльність Українських Кібер Військ

16:21 25.11.2023

Підсумки роботи по протидії російським окупантам. Розповім про свою цьогорічну роботу.

Дані за 2014-2021 роки, дані за 01.01.2022-28.02.2022, дані за 01.03.2022-06.03.2022, дані за 07.03.2022-13.03.2022, дані за 14.03.2022-20.03.2022, дані за 21.03.2022-27.03.2022, дані за 28.03.2022-03.04.2022, дані за 04.04.2022-10.04.2022, дані за 11.04.2022-17.04.2022, дані за 18.04.2022-24.04.2022 дані за 25.04.2022-01.05.2022, дані за 02.05.2022-08.05.2022, дані за 09.05.2022-15.05.2022, дані за 16.05.2022-22.05.2022, дані за 23.05.2022-29.05.2022, дані за 30.05.2022-05.06.2022, дані за 06.06.2022-12.06.2022, дані за 13.06.2022-19.06.2022, дані за 20.06.2022-26.06.2022, дані за 27.06.2022-03.07.2022, дані за 04.07.2022-10.07.2022, дані за 11.07.2022-17.07.2022, дані за 18.07.2022-24.07.2022, дані за 25.07.2022-31.07.2022, дані за 01.08.2022-07.08.2022, дані за 08.08.2022-14.08.2022, дані за 15.08.2022-21.08.2022, дані за 22.08.2022-28.08.2022, дані за 29.08.2022-04.09.2022, дані за 05.09.2022-11.09.2022, дані за 12.09.2022-18.09.2022, дані за 19.09.2022-25.09.2022, дані за 26.09.2022-02.10.2022, дані за 03.10.2022-09.10.2022, дані за 10.10.2022-16.10.2022, дані за 17.10.2022-23.10.2022, дані за 24.10.2022-30.10.2022, дані за 31.10.2022-06.11.2022, дані за 07.11.2022-13.11.2022 та за 14.11.2022-20.11.2022. Це нові дані.

У листопаді:

Четвертий тиждень.

Українські Кібер Війська заблокували сайти терористів tsiklnr.su, nslnr.su та minfindnr.ru http://bit.ly/3XxlEhh.
Українські Кібер Війська щодня виявляють гради та російську військову техніку в Донецьку http://bit.ly/3XsqDzM.
Українські Кібер Війська заблокували сайти терористів minstroy-dnr.ru, mvddnr.ru і msdnr.ru http://bit.ly/3iaTVSZ.
Відео-розвідка: УКВ знову виявили, як росіяни висилають поштою бронежилети мобілізованим http://bit.ly/3EIaEFc.
Українські Кібер Війська заблокували сайти терористів dnrsovet.su, mvddnr.ru та minsvyazdnr.ru http://bit.ly/3ifC79l.
Українські Кібер Війська щодня виявляють російську військову техніку в Керчі http://bit.ly/3gFfISz.
Українські Кібер Війська заблокували 315 сайтів терористів http://bit.ly/3Udbj70.
Закрив акаунт проросійського пропагандиста у Twitter http://bit.ly/3ijjUbe.
Українські Кібер Війська записали колону військової техніки в Керчі http://bit.ly/3ihzl3E.
Українські Кібер Війська вісім років виявляли докази, що УПЦ МП підтримує терористів на Донбасі http://bit.ly/3OG28ea.

Вийшли Mozilla Firefox 96 - Firefox 108

22:50 24.11.2023

Від січня і до кінця 2022 року вийшли Mozilla Firefox 96 - Firefox 108. Нові версії браузера вийшли після виходу Firefox 95.

Mozilla офіційно випустила ці версії веб-браузера Firefox, а також відповідні мобільні версії браузера для платформи Android.

В браузері було зроблено багато нововведень. Та зроблені покращення безпеки.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox усунуто численні уразливості в багатьох патчах.

Добірка експлоітів

19:37 24.11.2023

В даній добірці експлоіти в веб додатках:

  • MiniDVBLinux 5.4 - Unauthenticated Stream Disclosure (деталі)
  • MiniDVBLinux 5.4 - Remote Root Command Injection (деталі)
  • Tapo C310 RTSP server v1.3.0 - Unauthorised Video Stream Access (деталі)
  • D-Link DSL-124 Wireless N300 ADSL2+ - Backup File Disclosure (деталі)
  • Router ZTE-H108NS - Stack Buffer Overflow (DoS) (деталі)

Безпека e-commerce сайтів в Уанеті №31

16:12 24.11.2023

Продовжу своє дослідження безпеки e-commerce сайтів в Уанеті.

Веб сайти, що займаються електронною комерцією (e-commerce), повинні дбати про свою безпеку. Бо вони заробляють гроші на своїй онлайн діяльності і будь-які проблеми з безпекою на їх сайтах можуть їм коштувати фінансових втрат.

Але на жаль e-commerce сайти в Уанеті достатньо діряві, бо власники цих сайтів за безпекою особливо не слідкують.

В себе в новинах я писав про уразливості на наступних сайтах банків України:

Також згадував про взломані онлайн магазини в Уанеті:

А також згадував про інфіковані онлайн магазини в Уанеті:

Так що українським банкам та e-commerce сайтам є куди покращувати свою безпеку.

Вийшли PHP 8.0.28, 8.1.16 і 8.2.3

22:51 23.11.2023

У лютому, 14.02.2023, вийшли PHP 8.0.28, PHP 8.1.16 і PHP 8.2.3. У всіх цих версіях виправлені три уразливості.

Дані релізи направлені на покращення безпеки і стабільності гілок 8.0.x, 8.1.x і 8.2.x.

У PHP 8.0.28, 8.1.16 і 8.2.3 виправлено:

  • Обхід password_verify() для деяких хешів.
  • 1-byte array overrun в коді розкладання шляху.
  • DOS уразливість при обробці multipart запитів.

По матеріалам https://www.php.net.