Websecurity - Веб безпека

Виявлені уразливості безпеки в Microsoft Office, а також в серверних продуктах Office Web Apps і SharePoint Server.

Уразливі продукти: Microsoft Office Web Apps 2010 SP2, Office Web Apps Server 2013 SP1, Office Online Server, SharePoint Server 2016, Word Automation Services on SharePoint Server 2010 SP2 і 2013 SP1.

Пошкодження пам’яті, обхід захисту.

• Microsoft Security Bulletin MS16-088 - Critical Security Update for Microsoft Office (3170008) (деталі)

Десять років тому, 18.07.2006, мій проект розпочав свою роботу. Так що в липні виповнилося десять років з моменту початку офіційної роботи проекту Websecurity - Веб безпека. З чим вас і себе поздоровляю .

За останній рік роботи проекту було зроблено чимало і ще багато чого заплановано. Зокрема мною були оновлені DAVOSET і Тестування по веб безпеці.

Також опубліковано багато цікавих статей та досліджень, а також даних про діяльність Українських Кібер Військ.

Багато цікавого ще попереду, тому слідкуйте за новинами.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Contact Form To Email, Booking Calendar Contact Form, Media File Manager Advanced, BackupBuddy, Backup Plus. Для котрих з’явилися експлоіти.

• WordPress Contact Form To Email Plugin CSRF / XSS (деталі)
• WordPress Booking Calendar Contact Form 1.0.2 XSS / SQL Injection (деталі)
• WordPress Media File Manager Advanced 1.1.5 XSS / SQL Injection (деталі)
• WordPress BackupBuddy Backup Disclosure (деталі)
• WordPress Backup Plus Backup Disclosure (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після минулорічного звіту про інфікованість Уанета, наведу нову порівняльну статистику інфікованості Уанета за останні роки.

Статистика буде за 2013 - 2015 роки. Статистичні дані базуються на моїх дослідженнях хакерської активності в Уанеті в 2013, 2014 і 2015 роках.

За весь 2013 рік в Уанеті було інфіковано 226 веб сайтів.

За весь 2014 рік в Уанеті було інфіковано 163 веб сайтів.

За весь 2015 рік в Уанеті було інфіковано 158 веб сайтів.

Велика кількість заражених сайтів свідчить про зростання кримінальних взломів сайтів (коли на взломаних сайтах розміщуються віруси).

Динаміка зараження сайтів в Уанеті.

В 2013 році активність збільшилась на 12% порівняно з 2012 роком (зростання в 1,12 рази). В порівнянні з 2008 роком активність зросла на 5550% (в 56,5 разів).

В 2014 році активність зменшилась на 28% порівняно з 2013 роком (спад в 1,38 рази). В порівнянні з 2008 роком активність зросла на 3975% (в 40,75 разів).

В 2015 році активність зменшилась на 3% порівняно з 2014 роком (спад в 1,03 рази). В порівнянні з 2008 роком активність зросла на 3850% (в 39,5 разів).

Як видно зі статистики, кількість інфікованих сайтів в Уанеті в останні роки стабільно велика. Хоча через зменшення моїх досліджень мало місце загальне зменшення динаміки в останні роки.

Виявлені уразливості безпеки в Microsoft JScript і VBScript, що використовуються в Internet Explorer та інших продуктах.

Уразливі продукти: Microsoft JScript 5.8, VBScript 5.7 і 5.8.

Виконання коду, пошкодження пам’яті.

• Microsoft Security Bulletin MS16-086 - Critical Cumulative Security Update for JScript and VBScript (3169996) (деталі)

В даній добірці експлоіти в веб додатках:

• Thru Managed File Transfer Portal 9.0.2 - SQL Injection (деталі)
• BlackBerry Enterprise Service < 12.4 (BES12) Self-Service - Multiple Vulnerabilities (деталі)
• Ubiquiti Networks UniFi 3.2.10 - CSRF (деталі)
• Schneider Electric SBO / AS - Multiple Vulnerabilities (деталі)
• PHP Utility Belt Remote Code Execution (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://pavlograd-zemlya.gov.ua (хакером Djamel11154) - 04.04.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://rodnukivka-rada.gov.ua (хакером SecurityCrewz) - 18.04.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://umanrda.gov.ua (хакером SecurityCrewz) - 18.04.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://korec-misto.rv.ua (хакером shi5 alhacker) - 22.04.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://shepetivka-rada.gov.ua (хакером sec7or) - 24.05.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.capeauto.com.ua (хакером AslanNeferlerTim) - 03.05.2016, зараз сайт вже виправлений адмінами
• http://www.starnet.lutsk.ua (хакером darkshadow-tn) - 12.06.2016, зараз сайт вже виправлений адмінами
• http://ufashion.com.ua (хакером 3xp1r3) - 28.06.2016, зараз сайт закритий адмінами
• http://divesco.com.ua (хакером 3xp1r3) - 28.06.2016, зараз сайт вже виправлений адмінами
• http://belopt.com.ua (хакером 3xp1r3) - 28.06.2016, зараз сайт вже виправлений адмінами

Виявлені численні уразливості безпеки в Microsoft Internet Explorer і Microsoft Edge.

Уразливі продукти: Microsoft Internet Explorer 7, 8, 9, 10, 11 та Edge під Windows Vista, Windows 2008 Server, Windows 7, Windows 8, Windows 2012 Server, Windows 8.1, Windows 10.

Численні пошкодження пам’яті та виконання коду.

• Microsoft Security Bulletin MS16-084 - Critical Cumulative Security Update for Internet Explorer (3169991) (деталі)
• Microsoft Security Bulletin MS16-085 - Critical Cumulative Security Update for Microsoft Edge (3169999) (деталі)

В даній добірці уразливості в веб додатках:

• Poor Quality Implementation of Diffie-Hellman Key Exchange in Citrix Netscaler (деталі)
• Alienvault OSSIM/USM Command Execution Vulnerability (деталі)
• Pandora FMS v5.1 SP1 - Persistent SNMP Editor Vulnerability (деталі)
• CatBot v0.4.2 (PHP) - SQL Injection Vulnerability (деталі)
• HP Operations Manager i, Execution of Arbitrary Code (деталі)

В своїх звітах про Інфіковані хостери в 1 півріччі 2015 року та Інфіковані хостери в 2 півріччі 2015 року я розповів, що в Уанеті було 88 інфікованих сайтів в першому півріччі та 70 інфікованих сайти в другому півріччі минулого року, і навів перелік хостерів, що хостили ці інфіковані сайти. А зараз наведу загальний перелік інфікованих хостерів за весь рік.

Всього в 2015 році було інфіковано 158 сайтів (виявлених мною). Всього було 63 провайдери, що розміщували дані сайти.

Багато з цих хостінг провайдерів, робили це як в першому, так й другому півріччі минулого року (8 провайдерів), а деякі робили це і 2014 року. Тобто це в них звичайна практика. Цей звіт призначений для того, щоб і хостери і Інтернет користувачі знали найбільших розповсюджувачів шкідливого програмного забезпечення (через інфіковані сайти).

В минулому році наступні хостінг провайдери розміщували на своїх серверах інфіковані сайти: 1GB LLC, AVITI, AboveNet, Alkar Teleport, Apex, BN, Besthosting, CityTelecom, Colocall, Compubyte Limited, DCTel, DE-FIRSTCOLO, DOMASHKA, Datagroup, Dream Line, FastVPS, Fiord, Fortune, GoDaddy, HOMEPL, HOSTINGER, HOSTKEY, Hetzner, ITLAS, IWEB, Infocom, Internet Communications, LANDIS HOLDINGS, LNUA, LUCKYNET, LeaseWeb, MASTERTEL, MEDIATEMPLE, METR, McLaut, MiroHost, NAVIGATOR, NEOCOM, NEOHOST, OMNILANCE, OVH, POLUOSTROV, PTW, RADIOCOM, RTCOMM, SOFTLAYER, SUPERHOST, TERABIT, TEST-UA, THEHOST, Technical Centre Radio Systems, UKRNAMES, Ukraine, Ukrnames, VIKS, VIVANET, Volia, Wnet, X-HOST, X-Host, Візор, Мета, Укртелеком.

Найбільші інфіковані хостери (TOP-10):

• Ukraine - 19 сайтів
• Colocall - 14 сайтів
• Datagroup - 13 сайтів
• MiroHost - 8 сайтів
• Alkar Teleport - 6 сайтів
• Hetzner - 6 сайтів
• Apex - 5 сайтів
• CityTelecom - 4 сайтів
• Dream Line - 4 сайтів
• X-Host - 4 сайтів

Всього було виявлено хостінги 140 сайтів з 158. У випадку інших 18 сайтів визначити хостінги не вдалося, тому що в даний момент ці сайти вже не працювали (вони явно були закриті через розміщення malware на цих ресурсах). За допомогою власної системи моніторингу SecurityAlert в більшості випадків я визначив хостерів під час виявлення цих інфікованих сайтів.