Websecurity - Веб безпека

Виявлені численні уразливості безпеки в Mozilla Firefox і Thunderbird.

Уразливі продукти: Mozilla Firefox 69, Firefox ESR 60.9, Thunderbird ESR 60.9.

Пошкодження пам’яті, переповнення буферу, виконання коду, витік інформації, обхід обмежень, XSS, обхід CSP.

• MFSA 2019-34 Security vulnerabilities fixed in Firefox 70 (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Analytics Stats Counter Statistics, Trust Form, WP-Filebase Download Manager, Mobile App Native, WP-SpamFree Anti-Spam. Для котрих з’явилися експлоіти.

• WordPress Analytics Stats Counter Statistics 1.2.2.5 PHP Object Injection (деталі)
• WordPress Trust Form 2.0 Cross Site Scripting (деталі)
• WordPress WP-Filebase Download Manager 3.4.4 Cross Site Scripting (деталі)
• WordPress Mobile App Native 3.0 Shell Upload (деталі)
• WordPress WP-SpamFree Anti-Spam 2.1.1.4 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У вересні, 26.09.2019, вийшли PHP 7.2.23 і PHP 7.3.10. У версії 7.2.23 виправлено багато багів і уразливостей, у версії 7.3.10 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.2.x і 7.3.x.

У PHP 7.2.23 і 7.3.10 виправлено:

• Пошкодження пам’яті.
• Переповнення буферу.
• Уразливості в ядрі та модулях.

По матеріалам http://www.php.net.

Виявлені уразливості безпеки в Microsoft Internet Explorer і Microsoft Edge. Що були виправлені у вівторку патчів.

Уразливі продукти: Microsoft Internet Explorer 9, 10, 11 та Edge під Windows Server 2008, Windows 7, Windows Server 2012, Windows 8.1, Windows 10, Windows Server 2016.

Численні пошкодження пам’яті, виконання коду та обхід безпеки.

В даній добірці експлоіти в веб додатках:

• PHP Laravel Framework 5.5.40 / 5.6.x < 5.6.30 - token Unserialize Remote Command Execution (Metasploit) (деталі)
• Redis 4.x / 5.x - Unauthenticated Code Execution (Metasploit) (деталі)
• ARMBot Botnet - Arbitrary Code Execution (деталі)
• Baldr Botnet Panel - Arbitrary Code Execution (деталі)
• ManageEngine OpManager 12.4x - Privilege Escalation / Remote Command Execution (Metasploit) (деталі)

У листопаді, 01.11.2019, я знайшов Brute Force та Cross-Site Request Forgery уразливості в ASUS RT-AC66U.

Раніше я писав про уразливості в мережевих пристроях багатьох інших компаній. Зокрема про D-Link DGS-3000-10TC, Philips Envision Gateway та Huawei EchoLife HG520s.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам пристрою.

Продовжуючи розпочату традицію, після попереднього відео про експлуатація IoT хабів, пропоную нове відео на секюріті тематику. Цього разу відео про ботнети з мережевих пристроїв. Рекомендую подивитися всім хто цікавиться цією темою.

DEFCON 25 - The call is coming from inside the house

Раніше я багато розповідав про уразливості в мережевих пристроях і взлом IoT пристроїв, як то IP камер, розумних будинків і smart пристроїв. Цього разу мова йде про використання IoT пристроїв для створення ботнетів.

В жовтні на конференції DEFCON 25 відбувся виступ Steinthor Bjarnason і Jason Jones. В своєму виступі вони розповіли про уразливі мережеві пристрої, які захоплюють зловмисники - від IP камер до роутерів та інших IoT пристроїв. Щоб створити ботнети для проведення DDoS атак, як ботнет Mirai, що з’явився два роки тому. Це небезпечна тенденція, враховуючи мільйони вразливих мережевих пристроїв в Інтернеті, кількість яких постійно зростає.

Вони розповіли про процес інфікування мережевих пристроїв і створення ботнету, показали масштаби та наслідки їх діяльності, на прикладі відомих атак IoT ботнетів. Будь-які домашні мережеві пристрої можуть бути інфіковані та залучені в ботнет, в тому числі веб камери, DVR, мережеві принтери, мережеві системи зберігання даних (NAS), Wi-Fi роутери, розумні телевізори (Smart TV). Рекомендую подивитися дане відео для розуміння поточного стану безпеки мережевих пристроїв.

Відбувся шостий масовий взлом сайтів на сервері Hvosting. Він тривав на протязі 2010-2019 років: з 05.06.2010 до 01.09.2019. П’ятий масовий взлом сайтів на сервері Hvosting відбувся раніше.

Був взломаний сервер української компанії Hvosting. Взлом складався з трьох масових дефейсів та багатьох окремих дефейсів. Вони відбулися в той час, що й масовим взломом сервера TheHost.

Всього було взломано 72 сайти на сервері хостера Hvosting (IP 91.200.40.38). Перелік сайтів можете подивитися на www.zone-h.org.

З зазначених 72 сайтів 16 сайтів були взломані хакером KkK1337, 13 сайтів хакером redsm0ke, 11 сайтів хакером CYBeRiZM та інші сайти різними хакерами.

Масові дефейси хакерів KkK1337, redsm0ke та CYBeRiZM явно були зроблені через взлом серверу хостінг провайдера. У випадку окремих дефейсів по одному або декілька сайтів, всі вони явно були зроблені при взломах окремих сайтів. Але також можлива атака на інші сайти на даному сервері через взлом одного сайту та використання уразливостей в програмному забезпеченні сервера.

У серпні, 01.08.2019, вийшов Mozilla Firefox 67.0.1, в якому не було виправлень уразливостей, лише деякі покращення. А вже 14.08.2019 вийшов Mozilla Firefox 68.0.2. Нові версії браузера вийшли через місяць після виходу Firefox 68.

Це секюріті випуск, в якому виправлена уразливість CVE-2019-11733: Stored passwords in ‘Saved Logins’ can be copied without master password entry.

• MFSA 2019-24 Security vulnerability fixed in Firefox 68.0.2 and Firefox ESR 68.0.2 (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Corner Ad, Mail Masta, Kama Click Counter, Admin Custom Login та в самому WordPress. Для котрих з’явилися експлоіти.

• WordPress wp-json Content Injection (деталі)
• WordPress Corner Ad 1.0.7 Cross Site Scripting (деталі)
• WordPress Mail Masta 1.0 SQL Injection (деталі)
• WordPress Kama Click Counter 3.4.9 SQL Injection (деталі)
• WordPress Admin Custom Login 2.4.5.2 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.