Websecurity - Веб безпека

Виявлені уразливості безпеки в Apache.

Уразливі версії: Apache 2.4.

DoS, обхід захисту, HTTP Request Smuggling.

• Vulnerabilities in Apache httpd (деталі)

В даній добірці експлоіти в веб додатках:

• CollabNet Subversion Edge Management 4.0.11 - Local File Inclusion (деталі)
• C2Box 4.0.0 (r19171) - CSRF Vulnerability (деталі)
• Polycom RealPresence Resource Manager < 8.4 - Multiple Vulnerabilities (деталі)
• FTP Media Server 3.0 - Authentication Bypass and Denial of Service (деталі)
• Adobe Flash Player Nellymoser Audio Decoding Buffer Overflow (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Cart66 Lite, Ajax Store Locator, Our Team Showcase, IP Ban, WP-ViperGB. Для котрих з’явилися експлоіти.

• Cart66 Lite WordPress Ecommerce 1.5.1.17 SQL Injection (деталі)
• WordPress Ajax Store Locator 1.2 Arbitrary File Download (деталі)
• WordPress Our Team Showcase 1.2 CSRF / XSS (деталі)
• WordPress IP Ban 1.2.3 CSRF / XSS (деталі)
• WordPress WP-ViperGB 1.3.10 CSRF / XSS (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Виявлені численні уразливості безпеки в Apple Safari і Webkit.

Уразливі продукти: Apple Safari 6.2, Safari 7.1, Safari 8.0, iTunes 12.1.

Численні пошкодження пам’яті, обхід захисту від CSRF, XSS.

• APPLE-SA-2015-06-30-4 Safari 8.0.7, Safari 7.1.7, and Safari 6.2.7 (деталі)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://biopol.kiev.ua - інфекція була виявлена 11.06.2015. Зараз сайт входить до переліку підозрілих.
• http://i.ua - інфекція була виявлена 14.07.2015. Зараз сайт не входить до переліку підозрілих.
• http://uaz.net.ua - інфекція була виявлена 10.07.2015. Зараз сайт входить до переліку підозрілих.
• http://worldua.info - інфекція була виявлена 20.07.2015. Зараз сайт не входить до переліку підозрілих.
• http://100chehlov.com.ua - інфекція була виявлена 30.06.2015. Зараз сайт не входить до переліку підозрілих.

В даній добірці уразливості в веб додатках:

• EMC Documentum Foundation Services (DFS) Content Access Vulnerability (деталі)
• SQL Injection in Dolphin (деталі)
• Multiple SQL Injection Vulnerabilities in web2Project (деталі)
• Reflected Cross-Site Scripting (XSS) Vulnerability in Storesprite (деталі)
• Linksys EA2700, EA3500, E4200 and EA4500 - Authentication Bypass to Administrative Console (деталі)

У липні, 09.07.2015 і 10.07.2015, вийшли PHP 5.4.43, PHP 5.5.27 і PHP 5.6.11. У версії 5.4.43 виправлено 5 уразливостей, у версіях 5.5.27 і 5.6.11 виправлено декілька багів і понад 7 уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 5.4.x, 5.5.x і 5.6.x.

У PHP 5.4.43, 5.5.27 і 5.6.11 виправлено:

• Виправлено 5 уразливостей, в тому числі 2 дірки в модулі Phar.
• Виправлено 2 DoS уразливості (в PHP 5.5.27 і 5.6.11).
• Уразливості в модулях PCRE, SPL, PDO_pgsql (в PHP 5.5.27 і 5.6.11).
• Use-after-free уразливість в sqlite3SafetyCheckSickOrOk() (в PHP 5.6.11).

По матеріалам http://www.php.net.

В липні, 16.07.2015, в Львові відбулася секюріті конференція Security Hole #17.

Я прийняв участь в конференції та виступив з доповіддю “Українські Кібер Війська”. В якій розповів про інформаційну війну і кібервійну та Українські Кібер Війська, що я створив для протидії інформаційній та кібервійні.

Моя доповідь:

Українські Кібер Війська

Виявлені численні уразливості безпеки в PHP.

Уразливі версії: PHP 5.4, PHP 5.5, PHP 5.6.

Виконання коду, DoS-умови, проблема нульового байта, розкриття інформації.

• PHP vulnerabilities (деталі)

Дев’ять років тому, 18.07.2006, мій проект розпочав свою роботу. Так що в липні виповнилося дев’ять років з моменту початку офіційної роботи проекту Websecurity - Веб безпека. З чим вас і себе поздоровляю .

За останній рік роботи проекту було зроблено чимало і ще багато чого заплановано. Зокрема мною були оновлені DAVOSET і Тестування по веб безпеці.

Також опубліковано багато цікавих статей та досліджень.

Багато цікавого ще попереду, тому слідкуйте за новинами.