Websecurity - Веб безпека

В червні, 23.06.2016, вийшли PHP 5.5.37, PHP 5.6.23 і PHP 7.0.8. У версії 5.5.37 виправлено 15 уразливостей, у версії 5.6.23 виправлено декілька багів і 15 уразливостей, у версії 7.0.8 виправлено багато багів і 16 уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 5.5.x, 5.6.x і 7.0.x.

У PHP 5.5.37, 5.6.23 і 7.0.8 виправлено:

• Use After Free уразливість в класі ZipArchive в модулі Zip.
• Ще чотирнадцять уразливостей в ядрі та модулях.
• Use After Free уразливість в get_zval_xmlrpc_type в модулі XMLRPC в PHP 7.0.8.

По матеріалам http://www.php.net.

Раніше я писав про травневі DDoS атаки та взломи в Україні, а зараз розповім про ситуацію у червні.

В зв’язку з сепаратистськими і терористичними акціями на сході України хакерська активність була значною. Відбулися наступні DDoS атаки та взломи в Інтернеті.

Іноземні хакери провели неполітичні взломи державних сайтів:

www.av.man.gov.ua (хакерами з Fallaga Team) - 01.06.2016
cherkasy.man.gov.ua (хакерами з Fallaga Team) - 01.06.2016
Та багато інших gov.ua сайтів. Лише Fallaga Team хакнула 25 державних сайтів в червні.

Проукраїнськими хакерами були атаковані наступні сайти:

Червневі DDoS атаки на сайти ДНР і ЛНР

Сайти ДНР і ЛНР були атаковані неодноразово на протязі місяця.

Українські Кібер Війська закрили наступні сайти:

Закритий сайт novorospolk.ru (через скаргу хостеру) - 06.2016
Закритий сайт rusmirzp.com (через скаргу хостеру) - 06.2016
Закритий сайт olks.ucoz.ru (через скаргу хостеру) - 06.2016
Закритий сайт yuznews.com (через скаргу хостеру) - 06.2016
Закритий сайт politicus.ru (через скаргу хостеру) - 06.2016
Закритий сайт rada-bessarabia.org (через скаргу хостеру) - 06.2016
Закритий сайт slavadnb.ru (через скаргу хостеру) - 06.2016
Закритий сайт sos.oprf.ru (через скаргу хостеру) - 06.2016
Закритий сайт russkoeveche.org (через скаргу хостеру) - 06.2016
Закритий сайт novosti-novostey.io.ua (через скаргу хостеру) - 15.06.2016

В даній добірці уразливості в веб додатках:

• Root Backdoor & Unauthenticated access to voice recordings in NICE Recording eXpress (деталі)
• Remote code execution in ServiceDesk, Asset Explorer, Support Center and IT360 (деталі)
• mantis security update (деталі)
• Vulnerabilities in MediaWiki (деталі)
• RSA Archer GRC Multiple Cross-Site Scripting Vulnerabilities (деталі)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://mystyle.lviv.ua - інфекція була виявлена 30.06.2016. Зараз сайт входить до переліку підозрілих.
• http://dks.com.ua - інфекція була виявлена 30.06.2016. Зараз сайт не входить до переліку підозрілих.
• http://nniif.org.ua - інфекція була виявлена 30.06.2016. Зараз сайт не входить до переліку підозрілих.
• http://tke.org.ua - інфекція була виявлена 30.06.2016. Зараз сайт не входить до переліку підозрілих.
• http://metro.kiev.ua - інфекція була виявлена 30.06.2016. Зараз сайт не входить до переліку підозрілих.

У червні, 07.06.2016, вийшов Mozilla Firefox 47. Нова версія браузера вийшла через півтора місяці після виходу Firefox 46.

Mozilla офіційно випустила реліз веб-браузера Firefox 47, а також мобільну версію Firefox 47 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 48 намічений на 2 серпня, а Firefox 49 на 13 вересня.

Також були оновлені гілки із тривалим терміном підтримки Firefox 45.2 і Thunderbird 38.9.

В браузері було зроблено декілька покращень безпеки, зокрема для ресурсів, відкритих по HTTPS, реалізована можливість відключення кешування сторінок при навігації кнопками “вперед” і “назад”. Та додано підтримку потокового шифру ChaCha20 і алгоритму аутентифікації повідомлень (MAC) Poly1305.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 47.0 усунуто 13 уразливостей, серед яких дві позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 47 (деталі)

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки (статті з Вікіпедії):

• Logjam (computer security)
• Man-in-the-browser
• Mass assignment vulnerability
• Self-XSS
• Social jacking

У травні вже відбувалися DDoS атаки на сайти ДНР і ЛНР. Розповім про DDoS атаки на сайти цих терористичних організацій, що мали місце у червні.

Це DDoS атаки на різні сайти ДНР і ЛНР, які ГПУ визнала терористичними організаціями, а також на сайти, які підтримують їх. Що були проведені Українськими Кібер Військами.

DDoS на rv.org.ru - 01-15.06.2016
DDoS на cikdnr.ru - 01-15.06.2016
DDoS на cik-lnr.info - 01-15.06.2016
DDoS на без-вести.рф - 01-15.06.2016
DDoS на ungu.org - 01-15.06.2016
DDoS на bne.su - 01-15.06.2016
DDoS на dnrpress.ru - 01-15.06.2016
DDoS на europeanfront.info - 01-15.06.2016
DDoS на batalyonmoskva.ru - 01-15.06.2016
DDoS на icp.su - 01-15.06.2016

Та інші сайти ДНР і ЛНР.

Таким чином українські хакери висловили протест проти цих незаконних організацій на їх сайтах. Деякі з них тимчасово не працювали, а деякі сайти припинили роботу.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах eShop, Akismet, Embed-Articles, Ad Inserter і XSS уразливість в WordPress. Для котрих з’явилися експлоіти.

• WordPress 4.2.1 XSS / Code Execution (деталі)
• WordPress eShop 6.3.11 Code Execution (деталі)
• WordPress Akismet 3.1.1 Cross Site Scripting (деталі)
• WordPress Embed-Articles 7.0.3 CSRF / XSS (деталі)
• WordPress Ad Inserter 1.5.2 CSRF / XSS (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У березні я дав інтерв’ю для фінського телеканалу Yle. І 31.05.2016 воно було оприлюднене на сайті каналу (текст і відео).

В інтерв’ю розповідається про мою діяльність та кібер війну Росії проти України. Про різні прояви російської агресії в Інтернеті та реальному світі, про громадську ініціативу Українські Кібер Війська, що я створив 09.06.2014, і протидію інформаційній та кібер війні.

Russia’s Cyberwar in Ukraine is Relentless – This Hacktivist Strikes Back

Так що кому буде цікаво прочитати інформацію про кібер війну, про мене і УКВ, як тим хто вже читав мої попередні інтерв’ю, зокрема інтерв’ю для Новое Время, чи дивився виступи на ТБ, зокрема телепередачу зі мною на каналі Обоз LIVE, так і всім іншим, можете прочитати це інтерв’ю.

Виявлені уразливості безпеки в PHP.

Уразливі версії: PHP 5.5, PHP 5.6, PHP 7.0.

Пошкодження пам’яті, виконання коду.

• php5 security update (деталі)