Websecurity - Веб безпека

В даній добірці експлоіти в веб додатках:

• ManageEngine OPutils 8.0 - Multiple Vulnerabilities (деталі)
• OCS Inventory NG <= 2.2 - SQL Injection (деталі)
• DirectAdmin 1.491 - CSRF Vulnerability (деталі)
• File Replication Pro <= 7.2.0 - Multiple Vulnerabilities (деталі)
• Inductive Automation Ignition 7.8.1 - Remote Leakage Of Shared Buffers (деталі)

У червні, 18.06.2016, вийшла нова версія WordPress 4.5.3.

WordPress 4.5.3 це багфікс та секюріті випуск нової 4.5 серії. В якому розробники виправили 17 багів і 8 уразливостей. Це Redirector уразливість, 2 XSS, Information Leakage, DoS в oEmbed, неавторизоване видалення категорії з посту, зміна паролю через кукіс та недостатньо безпечні імена файлів в функції sanitize_file_name.

Також в цей день вийшли WordPress 4.0.12, 4.1.12, 4.2.9, 4.3.4 і 4.4.4. Вказані версії це секюріті випуски 4.0, 4.1, 4.2, 4.3 і 4.4 серії, в яких виправлені дані уразливості.

Виявлені уразливості безпеки в Microsoft Office, а також в серверних продуктах Office Web Apps і SharePoint Server.

Уразливі продукти: Microsoft Office Web Apps 2010 SP2, Office Web Apps Server 2013 SP1, Office Online Server, Word Automation Services on SharePoint Server 2010 SP2 і 2013 SP1.

Пошкодження пам’яті, витік інформації.

• Microsoft Security Bulletin MS16-070 - Critical Security Update for Microsoft Office (3163610) (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://nu-rda.gov.ua (хакером bl4ck_cod3) - 14.03.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://letrada.gov.ua (хакером ElKiller) - 03.04.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://bmedcol.edu.ua (хакером Nofawkx Al) - 10.03.2016, зараз сайт вже виправлений адмінами
• http://ptu85.com.ua (хакером Dr.SiLnT HilL) - 31.03.2016, зараз сайт вже виправлений адмінами
• http://notarius-subbota.kiev.ua (хакером PionHitam) - 31.05.2016, зараз сайт вже виправлений адмінами

В даній добірці уразливості в веб додатках:

• Arbitrary Code Execution in Exim 4.82 (деталі)
• Blitz CMS Community - SQL Injection Web Vulnerability (деталі)
• otrs2 security update (деталі)
• Cross-site Scripting in Tapatalk Plugin for WoltLab Burning Board 4.0 (деталі)
• EMC Documentum D2 Arbitrary DQL Query Execution Vulnerability (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах WP Symposium, Ultimate Product Catalogue, ClickBank Ads, Ultimate Profile Builder і в темі Twenty Fifteen. Для котрих з’явилися експлоіти.

• WordPress WP Symposium 15.1 SQL Injection (деталі)
• WordPress Twenty Fifteen 4.2.1 Cross Site Scripting (деталі)
• WordPress Ultimate Product Catalogue 3.1.2 SQL Injection (деталі)
• WordPress ClickBank Ads 1.7 CSRF / Cross Site Scripting (деталі)
• WordPress Ultimate Profile Builder 2.3.3 CSRF / Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Виявлені уразливості безпеки в Microsoft JScript і VBScript, що використовуються в Internet Explorer та інших продуктах.

Уразливі продукти: Microsoft JScript 5.8, VBScript 5.7 і 5.8.

Виконання коду, пошкодження пам’яті.

• Microsoft Security Bulletin MS16-069 - Critical Cumulative Security Update for JScript and VBScript (3163640) (деталі)

В даній добірці експлоіти в веб додатках:

• Solr 3.5.0 - Arbitrary Data Deletion (деталі)
• Apache Sling Framework (Adobe AEM) 2.3.6 - Information Disclosure Vulnerability (деталі)
• ManageEngine Network Configuration Management Build 11000 - Privilege Escalation (деталі)
• Android ADB Debug Server Remote Payload Execution (деталі)
• D-Link DCS-930L Authenticated Remote Command Execution (деталі)

У травні, 30.05.2016, я дав інтерв’ю Військовому телебаченню України. Для програми “Техніка війни”.

Ефір вийшов 04.06.2016 на телеканалі 24 і на YouTube каналі ВТУ. В сюжеті йшлося про війну і кібервійну в України, про участь хакерів в цих процесах, про Українські Кібер Війська, нашу роботу та проведення мною анти-терористичної операції в Інтернеті. Всі бажаючі можуть його подивитися.

Виявлені численні уразливості безпеки в Microsoft Internet Explorer і Microsoft Edge.

Уразливі продукти: Microsoft Internet Explorer 7, 8, 9, 10, 11 та Edge під Windows Vista, Windows 2008 Server, Windows 7, Windows 8, Windows 2012 Server, Windows 8.1, Windows 10.

Численні пошкодження пам’яті та виконання коду.

• Microsoft Security Bulletin MS16-063 - Critical Cumulative Security Update for Internet Explorer (3163649) (деталі)
• Microsoft Security Bulletin MS16-068 - Cumulative Security Update for Microsoft Edge (3163656) (деталі)