Добірка уразливостей

17:21 22.06.2017

В даній добірці уразливості в веб додатках:

Уразливості в плагінах для WordPress №256

23:53 21.06.2017

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Cool Video Gallery, Advanced Uploader, TheCartPress, Sell Download, Poll Widget. Для котрих з’явилися експлоіти.

  • WordPress Cool Video Gallery 1.9 Command Injection (деталі)
  • WordPress Advanced Uploader 2.10 Shell Upload (деталі)
  • WordPress TheCartPress 1.4.7 Code Execution / Local File Disclosure (деталі)
  • WordPress Sell Download 1.0.16 Local File Disclosure (деталі)
  • WordPress Poll Widget 1.0.7 SQL Injection (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Цікаве чтиво на тему web security

22:45 21.06.2017

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, зокрема про кібератаки на енергетичний сектор, про що я доповідав на останніх конференціях в 2016-2017 роках (статті з Вікіпедії):

Численні уразливості в Microsoft Internet Explorer і Edge

20:04 21.06.2017

Виявлені численні уразливості безпеки в Microsoft Internet Explorer і Microsoft Edge. Що були виправлені у вівторку патчів у червні.

Уразливі продукти: Microsoft Internet Explorer 9, 10, 11 та Edge під Windows Vista, Windows Server 2008, Windows 7, Windows Server 2012, Windows 8.1, Windows 10, Windows Server 2016.

Численні пошкодження пам’яті та виконання коду.

Добірка експлоітів

17:29 21.06.2017

В даній добірці експлоіти в веб додатках:

  • ColoradoFTP 1.3 Prime Edition Build 8 - Directory Traversal (деталі)
  • GitLab - ‘impersonate’ Feature Privilege Escalation (деталі)
  • Pi-Hole Web Interface 2.8.1 - Persistent Cross-Site Scripting in Whitelist/Blacklist (деталі)
  • DWebPro 8.4.2 - Multiple Vulnerabilities (деталі)
  • Disk Pulse Enterprise 9.0.34 - ‘Login’ Buffer Overflow (деталі)

Уразливості в Apple Safari і Webkit

23:54 20.06.2017

Виявлені уразливості безпеки в Apple Safari і Webkit.

Уразливі продукти: Apple Safari 8.0, Safari 9.1, Safari 10.1.

Пошкодження пам’яті, виконання коду, підробка адресного рядку, DoS, універсальні XSS.

Інфіковані сайти №273

22:41 20.06.2017

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

  • http://tutti-shop.com.ua - інфекція була виявлена 20.06.2017. Зараз сайт входить до переліку підозрілих.
  • http://vita-infinity.com - інфекція була виявлена 20.06.2017. Зараз сайт не входить до переліку підозрілих.
  • http://decomebel.com - інфекція була виявлена 14.01.2017. Зараз сайт входить до переліку підозрілих.
  • http://rassvet.dn.ua - інфекція була виявлена 20.06.2017. Зараз сайт не входить до переліку підозрілих.
  • http://dosk.kiev.ua - інфекція була виявлена 31.05.2017. Зараз сайт не входить до переліку підозрілих.

Добірка уразливостей

19:35 20.06.2017

В даній добірці уразливості в веб додатках:

  • RSA Archer GRC Platform Multiple Vulnerabilities (деталі)
  • AnimaGallery 2.6 (theme and lang cookie parameter) Local File Include Vulnerability (деталі)
  • Symphony CMS XSS Vulnerability (деталі)
  • SilverStripe CMS Redirector & XSS vulnerabilities (деталі)
  • IBM Maximo: Cross-site Scripting Vulnerability Addressed in Asset and Service Management (деталі)

Вийшов Mozilla Firefox 54

17:26 20.06.2017

У червні, 13.06.2017, вийшов Mozilla Firefox 54. Нова версія браузера вийшла через півтора місяці після виходу Firefox 53.

Mozilla офіційно випустила реліз веб-браузера Firefox 54, а також мобільну версію Firefox 54 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 55 намічений на 8 серпня.

Також була оновлена гілка із тривалим терміном підтримки Firefox 52.2.

В браузері були зроблені покращення безпеки, зокрема активована sandbox-ізоляція, що обмежує доступ дочірніх процесів Firefox до системних викликів, файлової системи і сторонніх процесів.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 54.0 усунуто 24 уразливості, що менше ніж в попередній версії. Серед яких три позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

Уразливості в плагінах для WordPress №255

23:54 04.06.2017

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Gwolle Guestbook, Role Scoper, Ultimate Member, Users Ultra. Для котрих з’явилися експлоіти.

  • WordPress Gwolle Guestbook 1.5.3 Remote File Inclusion (деталі)
  • WordPress Role Scoper 1.3.66 Cross Site Scripting (деталі)
  • WordPress Ultimate Member 1.3.28 Cross Site Scripting (деталі)
  • WordPress Users Ultra 1.5.50 SQL Injection (деталі)
  • WordPress Users Ultra 1.5.50 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.