Websecurity - Веб безпека

В даній добірці експлоіти в веб додатках:

• Flexense HTTP Server 10.6.24 - Buffer Overflow (DoS) (Metasploit) (деталі)
• Anevia Flamingo XS 3.6.5 - Authenticated Root Remote Code Execution (деталі)
• Anevia Flamingo XL 3.6.20 - Authenticated Root Remote Code Execution (деталі)
• Anevia Flamingo XL 3.2.9 - Remote Root Jailbreak (деталі)
• Nokia ASIKA 7.13.52 - Hard-coded private key disclosure (деталі)

Підсумки роботи по протидії російським окупантам. Розповім про свою цьогорічну роботу.

Дані за 2014-2021 роки, дані за 2022 рік, дані за 02.01.2023-08.01.2023, дані за 09.01.2023-15.01.2023, дані за 16.01.2023-22.01.2023, дані за 23.01.2023-29.01.2023, дані за 30.01.2023-05.02.2023, дані за 06.02.2023-12.02.2023, дані за 13.02.2023-19.02.2023, дані за 20.02.2023-26.02.2023 та за 27.02.2023-05.03.2023. Це нові дані.

В березні:

Другий тиждень.

Українські Кібер Війська виявили дані та гео-локацію нашого полоненого військового https://bit.ly/3JkmiJJ.
Українські Кібер Війська заблокували сайти терористів tsiklnr.su, nslnr.su та minfindnr.ru https://bit.ly/3Yn8Qck.
Відео-розвідка: УКВ виявили, як російські окупанти висилають додому награбоване поштою в Бєлгороді https://bit.ly/3L5WFgU.
Українські Кібер Війська заблокували сайти терористів minstroy-dnr.ru, mvddnr.ru і msdnr.ru https://bit.ly/3JqLTkq.
Українські Кібер Війська щодня виявляють російські танки в Донецьку https://bit.ly/3Ths2rf.
Українські Кібер Війська заблокували 325 сайтів терористів https://bit.ly/3T1vmX0.
До свята Українські Кібер Війська взломали сервер терористів https://bit.ly/3yqG5kD.
Українські Кібер Війська рік фіксують військову і поліцейську техніку в Криму https://bit.ly/3ZQ7pnY.
Українські Кібер Війська заблокували сайти терористів dnrsovet.su, mvddnr.ru та minsvyazdnr.ru https://bit.ly/3Lgc1Qj.
Відео-розвідка: російські окупанти отримали бронежилет поштою в Шебекіно https://bit.ly/4082miZ.
Українські Кібер Війська заблокували 325 сайтів терористів https://bit.ly/3YFk2RU.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах WP Backup Plus, TemplateOne, WP Editor, HitAppoint, wpmu-dev-post-votes. Для котрих з’явилися експлоіти.

• WordPress WP Backup Plus 1.0 Database Disclosure (деталі)
• WordPress TemplateOne 1.0 Database Disclosure (деталі)
• WordPress WP Editor 1.2.6.3 Database Disclosure (деталі)
• WordPress HitAppoint 5.0.5 Database Disclosure (деталі)
• WordPress wpmu-dev-post-votes 2.2.5 Database Disclosure (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Давно написав статтю Безпека мережевих пристроїв: IP камер, розумних будинків і smart пристроїв. Прочитавши статтю та про тисячі знайдених мною дірок в IoT, зрозумієте необхідність аудиту безпеки мережевих пристроїв. Якщо про дірки на сайтах я пишу в Мережі з 2005 і за цей час до мене зверталися за аудитом чи пентестом, то ось скільки не писав про знайдені уразливості в IoT і про десятки тисяч хакнутих мною мережевих пристроїв, ніхто ніколи не звертався за їх аудитом. Один поцікавився в 2022 році, але швидко передумав. Українцям байдужі їхні діряві пристрої.

Українські Кібер Війська захопили 260000 мережевих пристроїв і в День Незалежності України передали окупантам вітання. Про це писав торік на 24.08, а цьогоріч лише нагадав про той пост.

Про кібербезпеку. Всі мережеві пристрої діряві, а в Україні таких мільйони, в світі мільярди, число пристроїв щодня зростає, дірок старих і нових вистачає. Це можна побачити як з моїх публікацій за два десятиліття, так і зі захоплених камер та IoT на окупованій територіях, в РБ і РФ.

Десять років щодня кажу всім українцям і владам про небезпеку веб камер, через які росіяни слідкують за нами, але всі завжди це ігнорують. Позаторік сам заблокував YT трансляції з наших міст.

Окрім веб камер, роутерів у нас вистачає, які доступні для зламу в Інтернеті та сам хакав такі на Донбасі, Криму і РФ, як показав на наведеному фото. Те саме вороги щодня роблять. Хоча про камери більше пишуть, але й сам не раз чув від людей, що в них хакнуті роутери, та не всі про це знають.

Енергозбереження IoT, зокрема роутерів.

Давно звернув увагу, що в мене в будинку багато роутерів і гаджети показують поруч два-три десятка, в залежності від антени гаджета і часу доби. З початку червня, коли почалися вимкнення, сам почав на ніч вимикати роутер, навіть в день на кілька годин. Але звернув увагу, що крім мене ніхто цього не робить.

Якщо в моєму великому будинку в кожній квартирі роутер та інші мережеві пристрої, то можете представити рівень енергоспоживання. Лише коли вимикають світло частина роутерів вимикається, інші мають запасне живлення.

В даній добірці експлоіти в веб додатках:

• Optoma 1080PSTX Firmware C02 - Authentication Bypass (деталі)
• Screen SFT DAB 600/C - Authentication Bypass Admin Password Change (деталі)
• Screen SFT DAB 600/C - Authentication Bypass Reset Board Config (деталі)
• Screen SFT DAB 600/C - Unauthenticated Information Disclosure (userManager.cgx) (деталі)
• Seagate Central Storage 2015.0916 - Unauthenticated Remote Command Execution (Metasploit) (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://archaeological.ceramology.gov.ua (хакерами з Family Attack Cyber) - 18.08.2023 - похаканий державний сайт
• https://andadm.gov.ua (хакерами з Team_CC) - 20.09.2023 - похаканий державний сайт
• DDoS атака на fredo.com.ua (росіянами) - 31.08.2023
• https://weltex.com.ua (хакером KingSkrupellos) - 11.02.2024
• https://jino.com.ua (хакером omgsmok) - 13.02.2024

У вересні, 28.09.2023, вийшли PHP 8.1.24 і PHP 8.2.11. У версії PHP 8.1.24 виправлено багато багів і уразливостей, у версії PHP 8.2.11 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 8.1.x і 8.2.x.

У PHP 8.1.24 і 8.2.11 виправлено:

• Деякі вибивання.
• Численні витоки пам’яті.
• Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.

Підсумки роботи по протидії російським окупантам. Розповім про свою цьогорічну роботу.

Дані за 2014-2021 роки, дані за 2022 рік, дані за 02.01.2023-08.01.2023, дані за 09.01.2023-15.01.2023, дані за 16.01.2023-22.01.2023, дані за 23.01.2023-29.01.2023, дані за 30.01.2023-05.02.2023, дані за 06.02.2023-12.02.2023, дані за 13.02.2023-19.02.2023 та за 20.02.2023-26.02.2023. Це нові дані.

В березні:

Перший тиждень.

Українські Кібер Війська заблокували сайти терористів tsiklnr.su, nslnr.su та minfindnr.ru https://bit.ly/41H3Pyi.
Українські Кібер Війська щодня виявляють російську військову техніку в Донецьку https://bit.ly/3YnUY1H.
Українські Кібер Війська заблокували сайти терористів minstroy-dnr.ru, mvddnr.ru і msdnr.ru https://bit.ly/3y33V5x.
Відео-розвідка: УКВ виявили, як російські окупанти висилають додому награбоване поштою в Бєлгороді https://bit.ly/3mdolpL.
Українські Кібер Війська заблокували 325 сайтів терористів https://bit.ly/3J6Nf3x.
Українські Кібер Війська виявили колону військової техніки з артилерією в Керчі https://bit.ly/3yd071S.
Українські Кібер Війська заблокували сайти терористів dnrsovet.su, mvddnr.ru та minsvyazdnr.ru https://bit.ly/3kNDGgw.
УКВ виявили багатьох службовців МНС РФ на окупованій території https://bit.ly/3F1YOqd.
Українські Кібер Війська заблокували 325 сайтів терористів https://bit.ly/3ywS28t.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах wawp_framework, Hot Backup Manager, HpHospital, jomiz-plugins-accounting, BlackHawk. Для котрих з’явилися експлоіти.

• WordPress wawp_framework 1.0 Database Backup Disclosure (деталі)
• WordPress Hot Backup Manager 1.0 Database Disclosure (деталі)
• WordPress HpHospital 1.0 Database Disclosure (деталі)
• WordPress jomiz-plugins-accounting 1.0 Database Disclosure (деталі)
• WordPress BlackHawk 1.0 Open Redirection (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

В даній добірці експлоіти в веб додатках:

• Epson Stylus SX510W Printer Remote Power Off - Denial of Service (деталі)
• Optoma 1080PSTX Firmware C02 - Authentication Bypass (деталі)
• Screen SFT DAB 600/C - Authentication Bypass Account Creation (деталі)
• Screen SFT DAB 600/C - Authentication Bypass Password Change (деталі)
• Screen SFT DAB 600/C - Authentication Bypass Erase Account (деталі)