Websecurity - Веб безпека

Продовжу своє дослідження безпеки e-commerce сайтів в Уанеті.

Веб сайти, що займаються електронною комерцією (e-commerce), повинні дбати про свою безпеку. Бо вони заробляють гроші на своїй онлайн діяльності і будь-які проблеми з безпекою на їх сайтах можуть їм коштувати фінансових втрат.

Але нажаль e-commerce сайти в Уанеті достатньо діряві, бо власники цих сайтів за безпекою особливо не слідкують.

В себе в новинах я писав про уразливості на наступних сайтах банків та e-commerce сайтів України:

• partner.privatbank.ua
• feratti.com.ua

Також згадував про взломані онлайн магазини в Уанеті:

• www.shop-kharkiv.org.ua
• www.capitalboardshop.com.ua
• www.kosivshop.com
• sushi.palad.kiev.ua
• shop.palad.kiev.ua

А також згадував про інфіковані онлайн магазини в Уанеті:

• 2rest.com.ua
• aquaexpert.com.ua
• armen_shop.sega.pp.ua
• auto-service.kiev.ua
• beato.com.ua
• bikerland.com.ua
• bonfason.com.ua
• boutique.biosalon.ua

Так що українським банкам та e-commerce сайтам є куди покращувати свою безпеку.

У березні, 03.03.2016, через півтора місяці після виходу Google Chrome 48, вийшов Google Chrome 49.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Виправлено 26 уразливостей. З яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer і MemorySanitizer. Що менше ніж в попередній версії.

• Релиз web-браузера Chrome 49, прекративший поддержку 32-разрядных систем Linux (деталі)

Виявлені численні уразливості безпеки в Microsoft Office, а також в серверних продуктах Office Web Apps і SharePoint Server.

Уразливі продукти: Microsoft Office Web Apps 2010 SP2, Office Web Apps Server 2013 SP1, Word Automation Services on SharePoint Server 2010 SP2 і 2013 SP1.

Пошкодження пам’яті, виконання коду.

• Microsoft Security Bulletin MS16-029 - Important Security Update for Microsoft Office to Address Remote Code Execution (3141806) (деталі)

В даній добірці уразливості в веб додатках:

• EMC Cloud Tiering Appliance XML External Entity (XXE) and Information Disclosure Vulnerabilities (деталі)
• phpTrafficA SQL injection (деталі)
• Concrete5 CMS Reflected Cross-Site Scripting Vulnerabilities (деталі)
• CMS Made Simple PHP Code Injection Vulnerability (деталі)
• EMC Documentum Content Server Information Disclosure Vulnerability (деталі)

У березні, 08.03.2016, вийшов Mozilla Firefox 45. Нова версія браузера вийшла через півтора місяці після виходу Firefox 44.

Mozilla офіційно випустила реліз веб-браузера Firefox 45, а також мобільну версію Firefox 45 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 46 намічений на 19 квітня, а Firefox 47 на 7 червня.

Також був випущений Seamonkey 2.40 та були оновлені гілки із тривалим терміном підтримки Firefox 38.7 і Thunderbird 38.7.

В браузері була додана можливість завдання через убудований на сторінку тег META правил CSP (Content Security Policy) для захисту від організації міжсайтового скриптінгу (XSS) і підстановки в сторінки “IFRAME/JavaScript src” блоків.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 45.0 усунуто 23 уразливості, серед яких 9 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 45 (деталі)

В своєму звіті про атаки та інфікування державних сайтів України за 13 років я навів статистику атак на державні сайти України за останні 13 років. До звіту атаки на державні сайти України за 14 років додам статистику по інфікованим сайтам за останні 14 років.

За 2001 - 2014 роки всього було атаковано 698 українських державних сайтів (включаючи взломи сайтів та DDoS атаки). А враховуючи інфіковані gov.ua сайти, виявлених за час моїх досліджень інфікованих сайтів в Уанеті, ця кількість ще більше.

Було інфіковано наступну кількість gov.ua сайтів, що без сумніву були взломані для розміщення шкідливого коду:

2009 рік - 5 сайтів
2010 рік - 13 сайтів
2011 рік - 9 сайтів
2012 рік - 16 сайтів
2013 рік - 11 сайтів
2014 рік - 10 сайтів

Всього 64 інфікованих gov.ua сайтів за 6 років. Разом з атаками за 14 років всього 762 державних сайти.

Статистика від 2 атакованих та інфікованих веб сайтів в 2001 році до 140 веб сайтів в 2014 році.

В даній добірці експлоіти в веб додатках:

• Kodi 15 - Arbitrary File Access (Web Interface) (деталі)
• IP.Board 4.1.4.x - Persistent XSS Vulnerability (деталі)
• Belkin N150 Wireless Home Router F9K1009 v1 - Multiple Vulnerabilities (деталі)
• D-Link DIR-615 - Multiple Buffer Overflow Vulnerabilities (деталі)
• D-Link DIR-601 - Command Injection Vulnerability (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Infusionsoft Gravity Forms, Marketplace, Aspose Cloud eBook Generator та в темі OptimizePress. Для котрих з’явилися експлоіти.

• WordPress OptimizePress Theme Shell Upload (деталі)
• Wordpress InfusionSoft Shell Upload (деталі)
• WordPress Marketplace 2.4.0 Arbitrary File Download (деталі)
• WordPress Marketplace 2.4.0 Add Administrator (деталі)
• WordPress Aspose Cloud eBook Generator File Download (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Виявлені численні уразливості безпеки в Microsoft Internet Explorer і Microsoft Edge.

Уразливі продукти: Microsoft Internet Explorer 7, 8, 9, 10, 11 та Edge під Windows Vista, Windows 2008 Server, Windows 7, Windows 8, Windows 2012 Server, Windows 8.1, Windows 10.

Численні пошкодження пам’яті та виконання коду.

• Microsoft Security Bulletin MS16-023 - Critical Cumulative Security Update for Internet Explorer (3142015) (деталі)
• Microsoft Security Bulletin MS16-024 - Critical Cumulative Security Update for Microsoft Edge (3142019) (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.staravyzhivkazem.gov.ua (хакером Kab[u]ss) - 17.02.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.rozhyshchezem.gov.ua (хакером Kab[u]ss) - 17.02.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://kvartira-dom.zp.ua (хакерами з Fallaga Team) - 31.12.2015, зараз сайт вже виправлений адмінами
• http://valuta.zp.ua (хакерами з Fallaga Team) - 31.12.2015, зараз сайт вже виправлений адмінами
• http://www.fs.od.ua (хакером YasarTim) - 13.01.2016, зараз сайт вже виправлений адмінами