Websecurity - Веб безпека

У серпні, 31.08.2013, я знайшов Cross-Site Scripting та інші уразливості на сайтах http://limit.pb.ua та http://limit.privatbank.ua. Це два домени одного сайту, тому всі уразливості однакові на них обох (зараз limit.pb.ua перенаправляє на limit.privatbank.ua). Тоді у вересні вислав всі ці уразливості ПриватБанку.

Якщо всі дірки банк підтвердив і взяв в роботу, то лише одну найбільш важливу дірку (з витоком даних клієнтів) ПБ виправив через два місяці та пізніше виплатив мені премію. Про інші дірки, як ось ця XSS, жодної відповіді за понад три роки я не отримав. Хоча нагадував їм про попередні уразливості в 2014-2016 роках. В цьому році я виявив, що ПриватБанк вже виправив всі інші уразливості (але без жодних премій мені) шляхом повної переробки сайту.

Стосовно ПриватБанка я вже писав про уразливість на partner.privatbank.ua та уразливості на acsk.privatbank.ua.

Cross-Site Scripting:

http://limit.pb.ua/%27;alert(document.cookie);a=%27

http://limit.privatbank.ua/%27;alert(document.cookie);a=%27

Дані уразливості та деякі інші не були виправлені в 2013 році. Але вже в 2016 році всі вони були виправлені. Проте я знайшов нові уразливості на limit.privatbank.ua, про які повідомив банк.

У грудні, 08.12.2016, вийшли PHP 5.6.29 і PHP 7.0.14. У версії 5.6.29 виправлено багато багів і уразливостей, у версії 7.0.14 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 5.6.x і 7.0.x.

У PHP 5.6.29 і 7.0.14 виправлено:

• Некоректне читання при декодуванні в модулі WDDX.
• Вибивання segfault в Opcache в PHP 5.6.29.
• Use After Free уразливість в unserialize() в PHP 7.0.14.
• Витоки пам’яті в модулях в PHP 7.0.14.
• Уразливості в ядрі та модулях.

По матеріалам http://www.php.net.

У листопаді вже відбувалися DDoS атаки на сайти ДНР і ЛНР. Розповім про DDoS атаки на сайти цих терористичних організацій, що мали місце у грудні.

Це DDoS атаки на різні сайти ДНР і ЛНР, які ГПУ визнала терористичними організаціями, а також на сайти, які підтримують їх. Що були проведені Українськими Кібер Військами.

DDoS на rv.org.ru - 01-15.12.2016
DDoS на cikdnr.ru - 01-15.12.2016
DDoS на cik-lnr.info - 01-15.12.2016
DDoS на без-вести.рф - 01-15.12.2016
DDoS на ungu.org - 01-15.12.2016
DDoS на bne.su - 01-15.12.2016
DDoS на dnrpress.ru - 01-15.12.2016
DDoS на batalyonmoskva.ru - 01-15.12.2016
DDoS на icp.su - 01-15.12.2016
DDoS на interbrigada.org - 01-15.12.2016

Та інші сайти ДНР і ЛНР.

Таким чином українські хакери висловили протест проти цих незаконних організацій на їх сайтах. Деякі з них тимчасово не працювали, а деякі сайти припинили роботу.

В даній добірці уразливості в веб додатках:

• Barracuda Networks Web Security Flex v4.1 - Persistent Vulnerabilities (деталі)
• Django vulnerabilities (деталі)
• DokuWiki persistent Cross Site Scripting (деталі)
• Reflected XSS Vulnerability in XSS In Manage Engine Device Expert (деталі)
• Authentication Bypass in Barracuda Web Application Firewall (деталі)

У листопаді, 28.11.2016 і 30.11.2016, вийшли Mozilla Firefox 50.0.1 і 50.0.2. Нові версії браузера вийшли через пів місяця після виходу Firefox 50.

Це багфікс та секюріті випуски в яких зроблені покращення. У версії 50.0.1 виправлені такі уразливості, як обхід SOP через data: URL після редиректу та вибивання браузера при використанні IME тексту (що можна віднести до DoS уразливості, але Mozilla типово не відносить це до уразливостей, а до багів). У версії 50.0.2 виправлене виконання коду через анімацію SVG.

• MFSA 2016-91 Security vulnerabilities fixed in Firefox 50.0.1 (деталі)
• MFSA 2016-92 Firefox SVG Animation Remote Code Execution (деталі)

Виявлені уразливості безпеки в Microsoft Office, а також в серверних продуктах Office Web Apps і SharePoint Server.

Уразливі продукти: Microsoft Office Web Apps 2010 SP2, Excel Services on SharePoint Server 2007 SP3 і 2010 SP2, Word Automation Services on SharePoint Server 2010 SP2.

Обхід безпеки, пошкодження пам’яті, виконання коду, витік інформації.

• Microsoft Security Bulletin MS16-148 - Critical Security Update for Microsoft Office (3204068) (деталі)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://chasy.com.ua - інфекція була виявлена 22.11.2016. Зараз сайт входить до переліку підозрілих.
• http://keramhome.com.ua - інфекція була виявлена 22.11.2016. Зараз сайт не входить до переліку підозрілих.
• http://armo.pro - інфекція була виявлена 29.11.2016. Зараз сайт не входить до переліку підозрілих.
• http://sobytiya.com.ua - інфекція була виявлена 29.11.2016. Зараз сайт не входить до переліку підозрілих.
• http://snackproduction.com.ua - інфекція була виявлена 29.11.2016. Зараз сайт не входить до переліку підозрілих.
• http://donbongres.com - інфекція була виявлена 29.11.2016. Зараз сайт входить до переліку підозрілих.
• http://dosk.kiev.ua - інфекція була виявлена 29.11.2016. Зараз сайт не входить до переліку підозрілих.
• http://vita-infinity.com - інфекція була виявлена 29.11.2016. Зараз сайт не входить до переліку підозрілих.
• http://rassvet.dn.ua - інфекція була виявлена 29.11.2016. Зараз сайт не входить до переліку підозрілих.
• http://nevagame.pp.ua - інфекція була виявлена 29.11.2016. Зараз сайт не входить до переліку підозрілих.

В даній добірці експлоіти в веб додатках:

• Nagios XI 5.2.7 - Multiple Vulnerabilities (деталі)
• Sun Secure Global Desktop and Oracle Global Desktop 4.61.915 - Exploit (Shellshock) (деталі)
• Apache Continuum 1.4.2 - Multiple Vulnerabilities (деталі)
• Bomgar Remote Support - Unauthenticated Code Execution (Metasploit) (деталі)
• op5 7.1.9 - Configuration Command Execution (Metasploit) (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Advance Categorizer, F/T/G Social Widgets, Ads In Bottom Right, Google Plus One Button, 1-Click Retweet/Share/Like. Для котрих з’явилися експлоіти.

• WordPress Advance Categorizer 0.3 Cross Site Scripting (деталі)
• WordPress F/T/G Social Widgets 1.3.7 Cross Site Scripting (деталі)
• WordPress Ads In Bottom Right 1.0 Cross Site Scripting (деталі)
• WordPress Google Plus One Button By KMS 1.5.0 CSRF / XSS (деталі)
• WordPress 1-Click Retweet/Share/Like 5.2 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Виявлені численні уразливості безпеки в Microsoft Internet Explorer і Microsoft Edge.

Уразливі продукти: Microsoft Internet Explorer 9, 10, 11 та Edge під Windows Vista, Windows Server 2008, Windows 7, Windows 8, Windows Server 2012, Windows 8.1, Windows 10, Windows Server 2016.

Численні пошкодження пам’яті та виконання коду.

• Microsoft Security Bulletin MS16-144 - Critical Cumulative Security Update for Internet Explorer (3204059) (деталі)
• Microsoft Security Bulletin MS16-145 - Critical Cumulative Security Update for Microsoft Edge (3204062) (деталі)