Websecurity - Веб безпека

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах II_OData_Importer, Paid Memberships Pro, BackWpUP, rss-feed-post-generator-echo, Total-Child-Theme-Master. Для котрих з’явилися експлоіти.

• WordPress II_OData_Importer 1.0 Database Disclosure (деталі)
• WordPress paid-memberships-pro 1.5.2 Database Disclosure (деталі)
• WordPress BackWpUP 3.6.6 Database Disclosure (деталі)
• WordPress rss-feed-post-generator-echo 1.0.0 Database Disclosure (деталі)
• WordPress Total-Child-Theme-Master 1.0 Arbitrary File Disclosure (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Відбувся масовий взлом сайтів на сервері UA-Hosting 20.02.2024.

Був взломаний сервер української компанії UA-Hosting. Взлом складався з одного масового дефейсу. Що відбувся після масового взлому сайтів на сервері URAN.

Всього взломали 19 сайтів на сервері UA-Hosting (IP 193.42.110.90). Перелік сайтів можете подивитися на www.zone-h.org. Сам сервер розміщений в Нідерландах.

Усі сайти були взломані хакерами з Foursdeath Team.

Враховуючи велику кількість сайтів на одному сервері та короткий проміжок часу для дефейсу всіх цих сайтів, немає сумнівів, що вони були взломані через взлом серверу хостінг провайдера. Коли через взлом одного сайта, був отриманий root доступ до сервера (через уразливості в програмному забезпеченні самого сервера) та атаковані інші сайти на даному сервері. У випадку окремих дефейсів по одному чи декілька сайтів, всі вони явно були зроблені при взломах окремих сайтів.

Підсумки роботи по протидії російським окупантам. Розповім про свою цьогорічну роботу.

Дані за 2014-2021 роки, дані за 2022 рік, дані за 02.01.2023-08.01.2023, дані за 09.01.2023-15.01.2023, дані за 16.01.2023-22.01.2023, дані за 23.01.2023-29.01.2023, дані за 30.01.2023-05.02.2023, дані за 06.02.2023-12.02.2023, дані за 13.02.2023-19.02.2023, дані за 20.02.2023-26.02.2023, дані за 27.02.2023-05.03.2023, дані за 06.03.2023-12.03.2023 та за 13.03.2023-19.03.2023. Це нові дані.

В березні:

Четвертий тиждень.

Українські Кібер Війська заблокували сайти терористів tsiklnr.su, nslnr.su та minfindnr.ru https://bit.ly/3Jvp51x.
Українські Кібер Війська щодня виявляють російські гради та іншу військову техніку в Донецьку https://bit.ly/406R2UG.
Українські Кібер Війська заблокували сайти терористів minstroy-dnr.ru, mvddnr.ru і msdnr.ru https://bit.ly/3LIcUBf.
Відео-розвідка: УКВ виявили колону російських БТР в Криму https://bit.ly/3JA19dC.
Українські Кібер Війська заблокували 325 сайтів терористів https://bit.ly/3LOtnns.
Українські Кібер Війська закрили сайт alfanews.com.ua https://bit.ly/3TEuzeY.
Українські Кібер Війська заблокували сайти терористів dnrsovet.su, mvddnr.ru та minsvyazdnr.ru https://bit.ly/3LUegsH.
Відео-розвідка: УКВ виявили, як російські окупанти висилають додому награбоване поштою в Бєлгороді https://bit.ly/3K7NeN4.
Українські Кібер Війська заблокували 325 сайтів терористів https://bit.ly/40iMXwq.
Українські Кібер Війська записали військову техніку в Севастополі https://bit.ly/3TJBh3s.

Раніше, 14.03.2013, я знайшов Cross-Site Scripting, Full path disclosure та SQL Injection уразливості на сайті bonus.privatbank.ua. В той час я вислав ці уразливості банку.

Cross-Site Scripting (WASC-08):

Чотири дірки в search.php у різних параметрах.

Full path disclosure (WASC-13):

Дев’ять дірок в search.php у різних параметрах.

SQL Injection (WASC-19):

Іще дві SQLi дірки в search.php, які оплатили.

ПриватБанк тоді проігнорував більшість та оплатив дві уразливості, хоч і по заниженій вартості. Але через багато років все приховано виправив. Таким чином банк кинув мене, як це було з дірками на bonus.privatbank.ua та інших сайтах ПБ.

У жовтні, 26.10.2023, вийшли PHP 8.1.25 і PHP 8.2.12. У версії PHP 8.1.25 виправлено багато багів і уразливостей, у версії PHP 8.2.12 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 8.1.x і 8.2.x.

У PHP 8.1.25 і 8.2.12 виправлено:

• Численні вибивання.
• Деякі витоки пам’яті.
• Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.

Підсумки роботи по протидії російським окупантам. Розповім про свою цьогорічну роботу.

Дані за 2014-2021 роки, дані за 2022 рік, дані за 02.01.2023-08.01.2023, дані за 09.01.2023-15.01.2023, дані за 16.01.2023-22.01.2023, дані за 23.01.2023-29.01.2023, дані за 30.01.2023-05.02.2023, дані за 06.02.2023-12.02.2023, дані за 13.02.2023-19.02.2023, дані за 20.02.2023-26.02.2023, дані за 27.02.2023-05.03.2023 та за 06.03.2023-12.03.2023. Це нові дані.

В березні:

Третій тиждень.

Українські Кібер Війська заблокували сайти терористів tsiklnr.su, nslnr.su та minfindnr.ru https://bit.ly/3ZLNKG6.
Українські Кібер Війська щодня виявляють російські танки та С-300 в Криму https://bit.ly/42dlqhq.
Українські Кібер Війська заблокували сайти терористів minstroy-dnr.ru, mvddnr.ru і msdnr.ru https://bit.ly/3FmR6ar.
Відео-розвідка: УКВ виявили, як російські окупанти висилають додому награбоване поштою в Бєлгороді https://bit.ly/3JIs0W6.
Українські Кібер Війська заблокували 325 сайтів терористів https://bit.ly/3JLeKjf.
Українські Кібер Війська щодня виявляють російські танки в Донецьку https://bit.ly/3lkBf5t.
Наводив докази дев’ять років, як окупанти вивозять наших дітей в Росію https://bit.ly/3JYZe3L.
Українські Кібер Війська заблокували сайти терористів dnrsovet.su, mvddnr.ru та minsvyazdnr.ru https://bit.ly/3TpipGI.
Ще 09.03.2014 я відмінив псевдо референдум в Криму на офіційному сайті rada.crimea.ua https://bit.ly/3Ttkamf.
Українські Кібер Війська заблокували 325 сайтів терористів https://bit.ly/3yPd1Dp.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://oskil-okms.gov.ua (хакером aDriv4) - 31.10.2023 - похаканий державний сайт
• https://studenoknvk123s.oskil-okms.gov.ua (хакером aDriv4) - 31.10.2023 - похаканий державний сайт
• https://geoquartz.ua (хакерами з Foursdeath Team) - 20.02.2024
• https://uwtech.knuba.edu.ua (хакером KingSkrupellos) - 20.04.2024
• DDoS атака на Монобанк (росіянами) - 16.08.2024

В даній добірці експлоіти в веб додатках:

• Flexense HTTP Server 10.6.24 - Buffer Overflow (DoS) (Metasploit) (деталі)
• Anevia Flamingo XS 3.6.5 - Authenticated Root Remote Code Execution (деталі)
• Anevia Flamingo XL 3.6.20 - Authenticated Root Remote Code Execution (деталі)
• Anevia Flamingo XL 3.2.9 - Remote Root Jailbreak (деталі)
• Nokia ASIKA 7.13.52 - Hard-coded private key disclosure (деталі)

Підсумки роботи по протидії російським окупантам. Розповім про свою цьогорічну роботу.

Дані за 2014-2021 роки, дані за 2022 рік, дані за 02.01.2023-08.01.2023, дані за 09.01.2023-15.01.2023, дані за 16.01.2023-22.01.2023, дані за 23.01.2023-29.01.2023, дані за 30.01.2023-05.02.2023, дані за 06.02.2023-12.02.2023, дані за 13.02.2023-19.02.2023, дані за 20.02.2023-26.02.2023 та за 27.02.2023-05.03.2023. Це нові дані.

В березні:

Другий тиждень.

Українські Кібер Війська виявили дані та гео-локацію нашого полоненого військового https://bit.ly/3JkmiJJ.
Українські Кібер Війська заблокували сайти терористів tsiklnr.su, nslnr.su та minfindnr.ru https://bit.ly/3Yn8Qck.
Відео-розвідка: УКВ виявили, як російські окупанти висилають додому награбоване поштою в Бєлгороді https://bit.ly/3L5WFgU.
Українські Кібер Війська заблокували сайти терористів minstroy-dnr.ru, mvddnr.ru і msdnr.ru https://bit.ly/3JqLTkq.
Українські Кібер Війська щодня виявляють російські танки в Донецьку https://bit.ly/3Ths2rf.
Українські Кібер Війська заблокували 325 сайтів терористів https://bit.ly/3T1vmX0.
До свята Українські Кібер Війська взломали сервер терористів https://bit.ly/3yqG5kD.
Українські Кібер Війська рік фіксують військову і поліцейську техніку в Криму https://bit.ly/3ZQ7pnY.
Українські Кібер Війська заблокували сайти терористів dnrsovet.su, mvddnr.ru та minsvyazdnr.ru https://bit.ly/3Lgc1Qj.
Відео-розвідка: російські окупанти отримали бронежилет поштою в Шебекіно https://bit.ly/4082miZ.
Українські Кібер Війська заблокували 325 сайтів терористів https://bit.ly/3YFk2RU.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах WP Backup Plus, TemplateOne, WP Editor, HitAppoint, wpmu-dev-post-votes. Для котрих з’явилися експлоіти.

• WordPress WP Backup Plus 1.0 Database Disclosure (деталі)
• WordPress TemplateOne 1.0 Database Disclosure (деталі)
• WordPress WP Editor 1.2.6.3 Database Disclosure (деталі)
• WordPress HitAppoint 5.0.5 Database Disclosure (деталі)
• WordPress wpmu-dev-post-votes 2.2.5 Database Disclosure (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.