Websecurity - Веб безпека

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах PDF And Print, Pie Register, Support Board, Wordfence. Для котрих з’явилися експлоіти.

• WordPress PDF And Print 2.0.2 Cross Site Scripting (деталі)
• WordPress Pie Register 3.0.15 Cross Site Scripting (деталі)
• WordPress Support Board 1.2.3 Cross Site Scripting (деталі)
• WordPress Wordfence 7.1.12 XSS / Username Disclosure (деталі)
• WordPress Pie Register 3.0.17 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

В даній добірці експлоіти в веб додатках:

• uftpd 2.10 - Directory Traversal (Authenticated) (деталі)
• PAN-OS 10.0 - Remote Code Execution (RCE) (Authenticated) (деталі)
• Airspan AirSpot 5410 version 0.3.4.1 - Remote Code Execution (RCE) (деталі)
• Teleport v10.1.1 - Remote Code Execution (RCE) (деталі)
• NVFLARE < 2.1.4 - Unsafe Deserialization due to Pickle (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://vnv.asv.gov.ua (хакером mr.kro0oz.305) - 23.04.2022 - похаканий державний сайт
• http://vtz.asv.gov.ua (хакером Mr.Kro0oz.305) - 23.04.2022 - похаканий державний сайт
• https://potolki-dnipro.dp.ua (росіянами) - 15.03.2022
• DDoS атака на Київстар (росіянами) - 12.12.2023
• DDoS атака на monobank.ua (росіянами) - 12.12.2023

Після атаки на Київстар зросло навантаження на інші мобільні мобільні оператори, а в деяких терміналах банків були збої.

Підсумки роботи по протидії російським окупантам. Розповім про свою цьогорічну роботу.

Дані за 2014-2021 роки, дані за 01.01.2022-28.02.2022, дані за 01.03.2022-06.03.2022, дані за 07.03.2022-13.03.2022, дані за 14.03.2022-20.03.2022, дані за 21.03.2022-27.03.2022, дані за 28.03.2022-03.04.2022, дані за 04.04.2022-10.04.2022, дані за 11.04.2022-17.04.2022, дані за 18.04.2022-24.04.2022 дані за 25.04.2022-01.05.2022, дані за 02.05.2022-08.05.2022, дані за 09.05.2022-15.05.2022, дані за 16.05.2022-22.05.2022, дані за 23.05.2022-29.05.2022, дані за 30.05.2022-05.06.2022, дані за 06.06.2022-12.06.2022, дані за 13.06.2022-19.06.2022, дані за 20.06.2022-26.06.2022, дані за 27.06.2022-03.07.2022, дані за 04.07.2022-10.07.2022, дані за 11.07.2022-17.07.2022, дані за 18.07.2022-24.07.2022, дані за 25.07.2022-31.07.2022, дані за 01.08.2022-07.08.2022, дані за 08.08.2022-14.08.2022, дані за 15.08.2022-21.08.2022, дані за 22.08.2022-28.08.2022, дані за 29.08.2022-04.09.2022, дані за 05.09.2022-11.09.2022, дані за 12.09.2022-18.09.2022, дані за 19.09.2022-25.09.2022, дані за 26.09.2022-02.10.2022, дані за 03.10.2022-09.10.2022, дані за 10.10.2022-16.10.2022, дані за 17.10.2022-23.10.2022, дані за 24.10.2022-30.10.2022, дані за 31.10.2022-06.11.2022, дані за 07.11.2022-13.11.2022 та за 14.11.2022-20.11.2022 та за 21.11.2022-27.11.2022. Це нові дані.

У грудні:

Перший тиждень.

Українські Кібер Війська заблокували сайти терористів tsiklnr.su, nslnr.su та minfindnr.ru http://bit.ly/3Uff3oz.
Українські Кібер Війська щодня виявляють російську військову техніку в Донецьку та вантажівки з будматеріалами http://bit.ly/3AXjbmy.
Українські Кібер Війська заблокували сайти терористів minstroy-dnr.ru, mvddnr.ru і msdnr.ru http://bit.ly/3Fai4SO.
Відео-розвідка: УКВ виявили, як російські окупанти висилають додому награбоване поштою в Бєлгороді http://bit.ly/3io1CFG.
Українські Кібер Війська заблокували 315 сайтів терористів https://bit.ly/3uea7FZ.
Українські Кібер Війська щодня виявляють російську військову техніку в Керчі https://bit.ly/3gSNROO.
Українські Кібер Війська заблокували сайти терористів dnrsovet.su, mvddnr.ru та minsvyazdnr.ru https://bit.ly/3Forb2r.
Відео-розвідка: УКВ виявили, як росіяни висилають поштою одяг мобілізованим https://bit.ly/3OYqjoi.
Українські Кібер Війська записали військову техніку в Сімферополі https://bit.ly/3Upe9Gg.
Українські Кібер Війська заблокували 315 сайтів терористів https://bit.ly/3UtHsYb.

У квітні, 13.04.2023, вийшли PHP 8.1.18 і PHP 8.2.5. У версії PHP 8.1.18 виправлено багато багів і уразливостей, у версії PHP 8.2.5 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 8.1.x і 8.2.x.

У PHP 8.1.18 і 8.2.5 виправлено:

• Численні вибивання.
• Витік пам’яті в FPM 8.1.
• Витік пам’яті при з’єднанні з MySQL по SSL.
• Численні пошкодження пам’яті.
• Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, зокрема про DoS і DDoS атаки (статті з Вікіпедії):

• DDoS attacks on Dyn
• Slashdot effect
• Stresser
• Wi-Fi deauthentication attack
• WinNuke

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://mdfi.gov.ua (хакером 0×1998) - 01.02.2022 - похаканий державний сайт
• http://journal.iitta.gov.ua (хакером Mr.Kro0oz.305) - 23.04.2022 - похаканий державний сайт
• http://mywood.in.ua (росіянами) - 15.03.2022
• https://oilhouse.com.ua (росіянами) - 15.03.2022
• http://kubg.edu.ua (хакером Imam) - 17.07.2023

В даній добірці експлоіти в веб додатках:

• MiniDVBLinux 5.4 - Arbitrary File Read (деталі)
• Router ZTE-H108NS - Authentication Bypass (деталі)
• ASKEY RTF3505VW-N1 - Privilege Escalation (деталі)
• qubes-mirage-firewall v0.8.3 - Denial Of Service (DoS) (деталі)
• ProLink PRS1841 PLDT Home fiber - Default Password (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Localize My Post, FV Flowplayer, WP Insert, Breadcrumb NavXT, WebARX Website Firewall. Для котрих з’явилися експлоіти.

• WordPress Localize My Post 1.0 Local File Inclusion (деталі)
• WordPress FV Flowplayer 7.2.0.727 Cross Site Scripting (деталі)
• WordPress WP Insert 2.4.2 Arbitrary File Upload (деталі)
• WordPress Breadcrumb NavXT 6.1.0 Username Disclosure (деталі)
• WordPress WebARX Website Firewall 4.9.8 XSS / Bypass (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У березні, 16.03.2023, вийшли PHP 8.1.17 і PHP 8.2.4. У версії PHP 8.1.17 виправлено багато багів і уразливостей, у версії PHP 8.2.4 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 8.1.x і 8.2.x.

У PHP 8.1.17 і 8.2.4 виправлено:

• Численні вибивання.
• Переповнення буферу.
• Витік пам’яті в tidy.
• Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.