Websecurity - Веб безпека

У грудні, 15.12.2015, вийшов Mozilla Firefox 43. Нова версія браузера вийшла через півтора місяці після виходу Firefox 42.

Mozilla офіційно випустила реліз веб-браузера Firefox 43, а також мобільну версію Firefox 43 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 44 намічений на 26 січня, а Firefox 45 на 8 березня.

Також були оновлені гілки із тривалим терміном підтримки Firefox 38.5 і Thunderbird 38.5.

В браузері була покращена приватність в режимі Private Browsing. Тепер можна змінювати список блокування сайтів, що відслідковують переміщення користувачів. Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 43.0 усунуто 16 уразливостей, серед яких 4 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 43 (деталі)

В даній добірці експлоіти в веб додатках:

• netis RealTek Wireless Router / ADSL Modem - Multiple Vulnerabilities (деталі)
• Beckhoff CX9020 CPU Module - Remote Code Execution Exploit (деталі)
• Sagem FAST3304-V2 - Authentication Bypass (деталі)
• Samsung SecEmailUI Script Injection (деталі)
• Symantec pcAnywhere 12.5.0 Windows x86 - Remote Code Execution (деталі)

У грудні місяці Microsoft випустила 12 патчів. Що так само як у листопаді.

У грудневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 12 бюлетенів по безпеці. Що закривають 71 уразливість в програмних продуктах компанії. Вісім патчі закривають критичні уразливості та чотири патчів закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows Vista, 2008, 7, 2008 R2, 8, 2012, RT, 8.1, RT 8.1 та 10. А також Microsoft Office, Internet Explorer і Edge, .NET Framework і Silverlight, Skype for Business, Microsoft Lync, JScript і VBScript. Також MS допустила витік сертифікату SSL/TLS для *.xboxlive.com і приватних ключів для нього. Даний сертифікат вже відкликаний компанією.

Виявлені уразливості безпеки в Microsoft JScript і VBScript, що використовуються в Internet Explorer та інших продуктах.

Уразливі продукти: Microsoft JScript 5.7 і 5.8, VBScript 5.7 і 5.8.

Виконання коду, пошкодження пам’яті.

• Microsoft Security Bulletin MS15-126 - Critical Cumulative Security Update for JScript and VBScript to Address Remote Code Execution (3116178) (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://pma.nbuv.gov.ua (хакерами з Blacksmith Hackers) - 29.10.2015 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://np.nbuv.gov.ua (хакерами з Blacksmith Hackers) - 29.10.2015 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://angelyatko.com.ua (хакером @N3TH0L3)
• http://www.ziko.com.ua (хакером Achraf Dz) - 14.07.2015, зараз сайт вже виправлений адмінами
• http://viknastail.lviv.ua (хакером Achraf Dz) - 14.07.2015, зараз сайт вже виправлений адмінами

В даній добірці уразливості в веб додатках:

• RSA BSAFE SSL-J Multiple Vulnerabilities (деталі)
• Two Reflected Cross-Site Scripting (XSS) Vulnerabilities in Forma Lms (деталі)
• Unpatched Vulnerabilities in Magento E-Commerce Platform (деталі)
• Reflected Cross-Site Scripting (XSS) in Flash Version of Flowplayer (деталі)
• HP Universal Configuration Management Database, Disclosure of Information (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Fusion, Image Metadata Cruncher, Duplicator, WooCommerce. Для котрих з’явилися експлоіти.

• WordPress Fusion 3.1 Arbitrary File Upload (деталі)
• WordPress Image Metadata Cruncher Cross Site Scripting (деталі)
• WordPress Image Metadata Cruncher CSRF / XSS (деталі)
• WordPress Duplicator 0.5.8 Privilege Escalation (деталі)
• WordPress WooCommerce 2.2.10 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У листопаді вже відбувалися DDoS атаки на сайти ДНР і ЛНР. Розповім про DDoS атаки на сайти цих терористичних організацій, що мали місце у грудні.

Це DDoS атаки на різні сайти ДНР і ЛНР, які ГПУ визнала терористичними організаціями, а також на сайти, які підтримують їх. Що були проведені Українськими Кібер Військами.

DDoS на rv.org.ru - 01-15.12.2015
DDoS на cikdnr.ru - 01-15.12.2015
DDoS на cik-lnr.info - 01-15.12.2015
DDoS на без-вести.рф - 01-15.12.2015
DDoS на ungu.org - 01-15.12.2015
DDoS на pravdatoday.info - 01-15.12.2015
DDoS на bne.su - 01-15.12.2015
DDoS на dnrpress.ru - 01-15.12.2015
DDoS на naspravdi.info - 01-15.12.2015
DDoS на europeanfront.info - 01-15.12.2015

Та інші сайти ДНР і ЛНР.

Таким чином українські хакери висловили протест проти цих незаконних організацій на їх сайтах. Деякі з них тимчасово не працювали, а деякі сайти припинили роботу.

Виявлені численні уразливості безпеки в Microsoft .NET і Silverlight.

Уразливі продукти: Microsoft .NET Framework 3.0 SP2, 3.5, 3.5 SP1, 3.5.1, 4, 4.5, 4.5.1, 4.5.2, 4.6, Silverlight 5, Skype for Business 2016, Lync 2010, Lync 2013 Service Pack 1.

Численні пошкодження пам’яті, виконання коду.

• Microsoft Security Bulletin MS15-128 - Critical Security Update for Microsoft Graphics Component to Address Remote Code Execution (3104503) (деталі)
• Microsoft Security Bulletin MS15-129 - Critical Security Update for Silverlight to Address Remote Code Execution (3106614) (деталі)

В даній добірці експлоіти в веб додатках:

• F5 Big-IP 10.2.4 Build 595.0 Hotfix HF3 - File Path Traversal Vulnerability (деталі)
• ZyXEL PMG5318-B20A - OS Command Injection Vulnerability (деталі)
• PROLiNK H5004NK ADSL Wireless Modem - Multiple Vulnerabilities (деталі)
• The World Browser 3.0 Final - Remote Code Execution (деталі)
• Safari User-Assisted Applescript Exec Attack (деталі)