Websecurity - Веб безпека

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Neuvoo-Jobroll, Ajax Load More, WP Fastest Cache, Users Ultra, Calls To Action. Для котрих з’явилися експлоіти.

• WordPress Neuvoo-Jobroll 2.0 Cross Site Scripting (деталі)
• WordPress Ajax Load More PHP Upload (деталі)
• WP Fastest Cache 0.8.4.8 Blind SQL Injection (деталі)
• WordPress Users Ultra 1.5.50 Unrestricted File Upload (деталі)
• WordPress Calls To Action 2.4.3 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У березні, 10.03.2017, через півтора місяці після виходу Google Chrome 56, вийшов Google Chrome 57.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Виправлено 36 уразливостей. З яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer, MemorySanitizer, Control Flow Integrity і LibFuzzer. Що менше ніж в попередній версії.

• Выпуск web-браузера Chrome 57 (деталі)

Раніше я писав про квітневі DDoS атаки та взломи в Україні, а зараз розповім про ситуацію травні.

В зв’язку з сепаратистськими і терористичними акціями на сході України хакерська активність була значною. Відбулися наступні DDoS атаки та взломи в Інтернеті.

Іноземні хакери провели неполітичні взломи державних сайтів:

kozsr.gov.ua (хакерами з Yunkers Crew) - 06.05.2017
webmail.just.gov.ua (невідомі хакери) - 08.05.2017 - хакнули пошту для розсилки фішингу
archive.gov.ua (хакером GHoST61) - 11.05.2017
journal.iitta.gov.ua (хакером Panataran) - 16.05.2017

Проукраїнськими хакерами були атаковані наступні сайти:

dokuchaevskga.ucoz.org (Українські Кібер Війська) - 09.05.2017
Травневі DDoS атаки на сайти ДНР і ЛНР

Сайти ДНР і ЛНР були атаковані неодноразово на протязі місяця.

Українські Кібер Війська закрили наступні сайти:

Закритий сайт 2000.net.ua (через скаргу хостеру) - 05.2017

В даній добірці уразливості в веб додатках:

• SAP HANA XS Missing encryption in form-based authentication (деталі)
• Onur Yilmaz, Concrete5 Security Advisory - Multiple XSS Vulnerabilities (деталі)
• Web India Solutions CMS 2015 - SQL Injection Vulnerability (деталі)
• Sidu 5.2 Admin XSS Vulnerability (деталі)
• Kolibri WebServer 2.0 Vulnerable to RCE via Overly Long POST Request (деталі)

У травні, 02.05.2015, я виявив Cross-Site Request Forgery та Cross-Site Scripting уразливості в D-Link DGS-3200-16. Це друга частина дірок в цьому комутаторі.

Раніше я писав про уразливості в пристроях даної компанії, зокрема в D-Link DGS-3200-16 та D-Link DAP-1360.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам пристрою.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://chasy.com.ua - інфекція була виявлена 31.05.2017. Зараз сайт входить до переліку підозрілих.
• http://orion-sparta.com - інфекція була виявлена 14.01.2017. Зараз сайт не входить до переліку підозрілих.
• http://stream-ts.com - інфекція була виявлена 14.01.2017. Зараз сайт входить до переліку підозрілих.
• http://dosk.kiev.ua - інфекція була виявлена 31.05.2017. Зараз сайт не входить до переліку підозрілих.
• http://talmix.com.ua - інфекція була виявлена 31.05.2017. Зараз сайт входить до переліку підозрілих.

Продовжуючи розпочату традицію, після попереднього відео про дистанційне захоплення дронів, пропоную нове відео на секюріті тематику. Цього разу відео про атаки на Wi-Fi мережі. Рекомендую подивитися всім хто цікавиться цією темою.

DEFCON 23 - Automatic Live WPA WPA2 Attacks and WPA Supplicant

Позаминулого літа на конференції DEFCON 23 відбувся виступ Vivek Ramachandran. В своєму виступі він розповів про атаки на бездротові мережі та їх автоматизацію. Зокрема з використанням програм на Python та його власного інструменту WPA Supplicant, що він розробив для атак на Wi-Fi мережі. Ця програма дозволяє автоматизувати атаки на бездротові мережі, що використовують алгоритми шифрування WPA, WPA2 та WPA2-Enterprise.

Він розповів про аспекти безпеки бездротових мереж, які можна атакувати за допомогою WPA Supplicant. Рекомендую подивитися дане відео для розуміння поточного стану безпеки Wi-Fi мереж.

В даній добірці експлоіти в веб додатках:

• NUUO NVRmini 2 3.0.8 - Arbitrary File Deletion (деталі)
• NUUO NVRmini 2 3.0.8 - ’strong_user.php’ Backdoor Remote Shell Access (деталі)
• WebNMS Framework Server 5.2 / 5.2 SP1 - Multiple Vulnerabilities (деталі)
• Metasploit Web UI - Diagnostic Console Command Execution (Metasploit) (деталі)
• NetMan 204 - Backdoor Account (деталі)

У квітні, 20.04.2017, вийшла нова версія WordPress 4.7.4.

WordPress 4.7.4 це багфікс випуск нової 4.7 серії. В якому розробники виправили 47 багів.

Також в цей день вийшли WordPress 4.0.17, 4.1.17, 4.2.14, 4.3.10, 4.4.9, 4.5.8 і 4.6.5. Вказані версії це багфікс випуски 4.0, 4.1, 4.2, 4.3, 4.4, 4.5 і 4.6 серії, в яких виправлені дані уразливості.

Виходячи з моїх звітів про веб додатки на інфікованих сайтах в 1 півріччі та веб додатки на інфікованих сайтах в 2 півріччі, я підведу підсумки. Та наведу загальну статистику про веб додатки на інфікованих сайтах в 2016 році.

Як я зазначав в своїх звітах про хакерську активність в Уанеті, в першому півріччі було інфіковано 60 сайтів, а в другому півріччі було інфіковано 108 сайтів. Всього 168 сайтів за 2016 рік. І з них на 132 сайтах вдалося виявити движки.

На перевірених в минулому році сайтах використовуються наступні движки:

Magento - 68
Joomla - 27
WordPress - 25
Drupal - 5
AS Commerce CMS - 1
DataLife Engine - 1
Django - 1
SLAED CMS - 1

Зазначу, що двоє з трьох лідери серед веб додатків у першому й другому півріччі були незмінними. Й відповідно в підсумкових результатах за весь рік.

Тобто майже всі інфіковані сайти, з числа працюючих, використовували опенсорс веб додатки. Більшість з них публічні відкриті CMS, але деякі й комерційні відкриті веб програми.