Websecurity - Веб безпека

В своєму звіті про хакерську активність в Уанеті в 2 півріччі 2016, я згадував, що в другому півріччі було інфіковано 108 сайтів.

Сьогодні я провів дослідження сайтів, що були інфіковані в другому півріччі 2016 року, і на 92 сайтах вдалося виявити движки. Частина з 108 сайтів вже не працювала, декілька використовують html (при цьому частина з них ховає php-додатки за розширенням html), а ще частина використовували власні php-скрипти.

На перевірених сайтах використовуються наступні движки:

Magento - 68
Joomla - 12
WordPress - 10
DataLife Engine - 1
Drupal - 1

Тобто майже всі інфіковані сайти, з числа працюючих, використовували (за станом на сьогодні) опенсорс веб додатки.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в темах mTheme-Unus, U-Design та плагінах Payment Form For PayPal Pro, ResAds, Easy2Map. Для котрих з’явилися експлоіти.

• WordPress mTheme-Unus Local File Inclusion (деталі)
• WordPress U-Design Theme 2.7.9 Cross Site Scripting (деталі)
• WordPress Payment Form For PayPal Pro 1.0.1 XSS (деталі)
• WordPress ResAds 1.0.1 Cross Site Scripting (деталі)
• WordPress Easy2Map 1.2.9 Local File Inclusion / Directory Traversal (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У квітні, 13.04.2017, вийшли PHP 7.0.18 і PHP 7.1.4. У версії 7.0.18 виправлено багато багів і уразливостей, у версії 7.1.4 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.0.x і 7.1.x.

У PHP 7.0.18 і 7.1.4 виправлено:

• Пошкодження пам’яті.
• Численні вибивання в різних функціях (DoS).
• Уразливості в ядрі та модулях.

По матеріалам http://www.php.net.

В даній добірці уразливості в веб додатках:

• Multiple Cross Site Scripting Vulnerabilities in SAP HANA XS Administration Tool (деталі)
• Multiple Cross-Site Scripting (XSS) in FreePBX (деталі)
• Avsarsoft Matbaa Script - Multiple Vulnerabilities (деталі)
• Encaps PHP/Flash Gallery 2.3.22s Database Puffing Up Exploit (деталі)
• Hard-coded Username in SAP FI Manager Self-Service (деталі)

У січні, 26.01.2017, через півтора місяці після виходу Google Chrome 55, вийшов Google Chrome 56.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Виправлено 51 уразливість. З яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer, MemorySanitizer, Control Flow Integrity і LibFuzzer. Що більше ніж в попередній версії та значно більше ніж раніше.

• Выпуск web-браузера Chrome 56 (деталі)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://rossignol.kiev.ua - інфекція була виявлена 23.05.2017. Зараз сайт входить до переліку підозрілих.
• http://romsat.tv - інфекція була виявлена 21.01.2017. Зараз сайт не входить до переліку підозрілих.
• http://beta.dostavka-obedov.kiev.ua - інфекція була виявлена 23.05.2017. Зараз сайт входить до переліку підозрілих.
• http://dostavka-obedov.kiev.ua - інфекція була виявлена 23.05.2017. Зараз сайт не входить до переліку підозрілих.
• http://2rest.com.ua - інфекція була виявлена 23.05.2017. Зараз сайт входить до переліку підозрілих.

Виявлені численні уразливості безпеки в Microsoft Office, а також в серверних продуктах Office Web Apps і SharePoint Server. Що були виправлені у вівторку патчів у травні.

Уразливі продукти: Microsoft Office Web Apps 2010 SP2, Office Web Apps Server 2013 SP1, Excel Services on SharePoint Server 2007 SP3, 2010 SP2 і 2013 SP1, Word Automation Services on SharePoint Server 2010 SP2, SharePoint Foundation 2013 SP1.

Обхід безпеки, пошкодження пам’яті, виконання коду, XSS.

В даній добірці експлоіти в веб додатках:

• NUUO NVRmini 2 3.0.8 - Cross-Site Request Forgery (Add Admin) (деталі)
• NUUO NVRmini 2 3.0.8 - Local File Disclosure (деталі)
• Navis Webaccess - SQL Injection (деталі)
• LamaHub 0.0.6.2 - Buffer Overflow (деталі)
• Apache Mina 2.0.13 - Remote Command Execution (деталі)

У березні, 16.03.2017, вийшли PHP 7.0.17 і PHP 7.1.3. У версії 7.0.17 виправлено багато багів і уразливостей, у версії 7.1.3 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.0.x і 7.1.x.

У PHP 7.0.17 і 7.1.3 виправлено:

• Витоки інформації.
• Численні вибивання в різних функціях (DoS).
• Уразливості в ядрі та модулях.

По матеріалам http://www.php.net.

Виявлені численні уразливості безпеки в Microsoft Internet Explorer і Microsoft Edge. Що були виправлені у вівторку патчів у травні.

Уразливі продукти: Microsoft Internet Explorer 9, 10, 11 та Edge під Windows Server 2008, Windows 7, Windows Server 2012, Windows 8.1, Windows 10, Windows Server 2016.

Численні пошкодження пам’яті та виконання коду.