Websecurity - Веб безпека

28.07.2017

Сьогодні я знайшов Cross-Site Scripting та Content Spoofing уразливості в D-Link DGS-3000-10TC. Це Gigabit Ethernet Switch.

Раніше я писав про уразливості в пристроях даної компанії, зокрема в D-Link DAP-1360 та D-Link DGS-3200-16.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам пристрою.

16.09.2017

Cross-Site Scripting (WASC-08):

http://site/html/errorpage.html?%22;alert(document.cookie);//

Cross-Site Scripting (WASC-08):

http://site/html/errorpage.html

Атака через заголовок “Referer: javascript:alert(document.cookie)”.

Content Spoofing (WASC-12):

http://site/html/errorpage.html?You%20are%20hacked!

Можлива Text Injection атака.

Уразлива версія D-Link DGS-3000-10TC, Firmware Version 2.00.006. Дана модель з іншими прошивками також повинна бути вразливою.

В даній добірці експлоіти в веб додатках:

• FreePBX 13.0.35 - SQL Injection (деталі)
• FreePBX 13.0.35 - Remote Command Execution (деталі)
• PLC Wireless Router GPN2.4P21-C-CN - Arbitrary File Disclosure (деталі)
• Komfy Switch with Camera DKZ-201S/W - WiFi Password Disclosure (деталі)
• InfraPower PPS-02-S Q213V1 - Hard-Coded Credentials (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Content Text Slider, NextGEN Gallery, Simple Ads Manager, Symposium Pro Social і темі Stanford. Для котрих з’явилися експлоіти.

• WordPress Content Text Slider On Post 6.8 Cross Site Scripting (деталі)
• WordPress NextGEN Gallery 2.1.10 Shell Upload (деталі)
• WordPress Simple Ads Manager 2.9.4.116 SQL Injection (деталі)
• WordPress Stanford Theme Cross Site Scripting (деталі)
• WordPress Symposium Pro Social 15.12 XSS / CSRF (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Виявлені численні уразливості безпеки в Microsoft SQL Server. Що були виправлені у вівторку патчів у серпні.

Уразливі продукти: Microsoft SQL Server 2012 SP3, SQL Server 2014 SP1 і SP2, SQL Server 2016, SQL Server 2016 SP1.

Підвищення привілеїв та витік інформації.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, зокрема про DoS і DDoS атаки (статті з Вікіпедії):

• BlackNurse
• Distributed denial-of-service attacks on root nameservers
• 2016 Dyn cyberattack
• HTTP Flood
• NTP server misuse and abuse

В даній добірці уразливості в веб додатках:

• HP Systems Insight Manager (SIM) on Linux and Windows, Multiple Remote Vulnerabilities (деталі)
• Nakid-CMS CSRF, Persistent XSS & LFI (деталі)
• Concrete5 <= 5.7.4 (Access.php) SQL Injection Vulnerability (деталі)
• Concrete5 <= 5.7.3.1 Multiple Reflected Cross-Site Scripting Vulnerabilities (деталі)
• XSS vulnerability in Elasticsearch because of weak CORS policy (деталі)

Раніше я писав про липневі DDoS атаки та взломи в Україні, а зараз розповім про ситуацію серпні.

В зв’язку з сепаратистськими і терористичними акціями на сході України, хакерська активність була значною. Відбулися наступні DDoS атаки та взломи в Інтернеті.

Іноземні хакери провели неполітичні взломи державних сайтів:

dndekc.mvs.gov.ua (хакером antivirus) - 28.08.2017

Російські хакери провели атаки на державні сайти:

DDoS на ukrposhta.ua (російськими хакерами) - 08.08.2017
udf.gov.ua (російські хакери) - 11.08.2017

Проукраїнськими хакерами були атаковані наступні сайти:

dokuchaevsk.info (Українські Кібер Війська) - 24.08.2017
Серпневі DDoS атаки на сайти ДНР і ЛНР

Сайти ДНР і ЛНР були атаковані неодноразово на протязі місяця.

Українські Кібер Війська закрили наступні сайти:

Закритий сайт vilna-ukraina.ru (через вплив на хостера) - 08.2017
Закритий сайт geon.donetsk.ua (через вплив на хостера) - 08.2017
Закритий сайт don.ua (через скаргу реєстратору домену) - 22.08.2017
Закритий сайт xxivek.net (через вплив на хостера) - 30.08.2017

Нещодавно, 31.08.2017 і 01.09.2017, вийшли PHP 7.0.23 і PHP 7.1.9. У версії 7.0.23 виправлено багато багів і уразливостей, у версії 7.1.9 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.0.x і 7.1.x.

У PHP 7.0.23 і 7.1.9 виправлено:

• Пошкодження пам’яті.
• Численні вибивання в різних функціях (DoS).
• Уразливості в ядрі та модулях.

По матеріалам http://www.php.net.

Виявлені численні уразливості безпеки в Microsoft SharePoint Server. Що були виправлені у вівторку патчів у серпні.

Уразливі продукти: Microsoft SharePoint Server 2010 Service Pack 2.

Пошкодження пам’яті, виконання коду.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://kryshtalevypalats.gov.ua (хакером Anonymous Arabe) - 03.01.2017 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://vinnytsia.man.gov.ua (хакером Ayyildiz Tim) - 17.06.2017 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://man.gov.ua (хакером Ayyildiz Tim-maress) - 09.07.2017 - похаканий державний сайт (торік це вже вдруге після взлому хакером God Attacker 20.06.2017), зараз сайт вже виправлений адмінами
• http://ubs.man.gov.ua (хакером Ayyildiz Tim-maress) - 09.07.2017 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://consumer.man.gov.ua (хакером Ayyildiz Tim-maress) - 09.07.2017 - похаканий державний сайт, зараз сайт вже виправлений адмінами/li>
• http://cp.man.gov.ua (хакером Ayyildiz Tim-maress) - 09.07.2017 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://ck-oda.man.gov.ua (хакером Ayyildiz Tim-maress) - 09.07.2017 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://armtec.com.ua (хакером XwoLfTn)
• http://ptu85.com.ua (хакером Zedan-Mrx)
• http://tent515.com.ua (хакерами з chinafans) - 29.06.2017, зараз сайт вже виправлений адмінами