Websecurity - Веб безпека

У травні, 06.05.2021, вийшли PHP 7.4.19 і PHP 8.0.6, де виправили один баг, а в червні, 03.06.2021, вийшли PHP 7.4.20 і PHP 8.0.7. У версії 7.4.20 виправлено багато багів і уразливостей, у версії 8.0.7 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.4.x і 8.0.x.

У PHP 7.4.20 і 8.0.7 виправлено:

• Пошкодження пам’яті.
• Вибивання.
• DoS через споживання ресурсів.
• Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://journal.sops.gov.ua (хакером Moroccan Revolution) - 05.05.2020 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://drohobych-rada.gov.ua (хакером s1ege) - 24.05.2020 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://frtu.org.ua (хакерами з Jiwa Terlena Team) - 01.04.2020 - зараз сайт вже виправлений адмінами
• http://lawservice.pro (хакерами з Jiwa Terlena Team) - 01.04.2020 - зараз сайт вже закритий адмінами
• http://polytechnic.ck.ua (хакером Dz_Wolf) - 25.07.2020

Виявлені уразливості безпеки в Microsoft Internet Explorer і Microsoft Edge. Що були виправлені у вівторку патчів.

Уразливі продукти: Microsoft Internet Explorer 9, 10, 11 та Edge під Windows Server 2008, Windows 7, Windows Server 2012, Windows 8.1, Windows 10, Windows Server 2016.

Пошкодження пам’яті та виконання коду.

В даній добірці експлоіти в веб додатках:

• Hasura GraphQL 1.3.3 - Denial of Service (деталі)
• WordPress Plugin WPGraphQL 1.3.5 - Denial of Service (деталі)
• Solaris SunSSH 11.0 x86 - libpam Remote Root (2) (деталі)
• ProFTPd 1.3.5 - ‘mod_copy’ Remote Command Execution (деталі)
• CHIYU IoT Devices - ‘Telnet’ Authentication Bypass (деталі)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://avtoshoolvsa.zt.ua - інфекція була виявлена 17.08.2020. Зараз сайт не входить до переліку підозрілих
• http://delfa-test.mk.ua - інфекція була виявлена 21.10.2020. Зараз сайт не входить до переліку підозрілих
• http://sodeistvie-pmr.com - інфекція була виявлена 22.10.2020. Зараз сайт не входить до переліку підозрілих
• http://smart-fun.com.ua - інфекція була виявлена 28.10.2020. Зараз сайт не входить до переліку підозрілих
• http://ecobond.ua - інфекція була виявлена 28.10.2020. Зараз сайт не входить до переліку підозрілих

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Polls, Ultimate Product Catalog, User Login History, WP Mobile Detector, JTRT Responsive Tables. Для котрих з’явилися експлоіти.

• WordPress Polls 1.2.4 SQL Injection (деталі)
• WordPress Ultimate Product Catalog 4.2.24 PHP Object Injection (деталі)
• WordPress User Login History 1.5.2 Cross Site Scripting (деталі)
• WordPress WP Mobile Detector 3.5 Shell Upload (деталі)
• WordPress JTRT Responsive Tables 4.1 SQL Injection (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Продовжуючи розпочату традицію, після попереднього відео про експлуатація IoT хабів, пропоную нове відео на секюріті тематику. Цього разу відео про ботнети з мережевих пристроїв. Рекомендую подивитися всім хто цікавиться цією темою.

DEFCON 25 - The call is coming from inside the house

Раніше я багато розповідав про уразливості в мережевих пристроях і взлом IoT пристроїв, як то IP камер, розумних будинків і smart пристроїв. Цього разу мова йде про використання IoT пристроїв для створення ботнетів.

В жовтні на конференції DEFCON 25 відбувся виступ Steinthor Bjarnason і Jason Jones. В своєму виступі вони розповіли про уразливі мережеві пристрої, які захоплюють зловмисники - від IP камер до роутерів та інших IoT пристроїв. Щоб створити ботнети для проведення DDoS атак, як ботнет Mirai, що з’явився два роки тому. Це небезпечна тенденція, враховуючи мільйони вразливих мережевих пристроїв в Інтернеті, кількість яких постійно зростає.

Вони розповіли про процес інфікування мережевих пристроїв і створення ботнету, показали масштаби та наслідки їх діяльності, на прикладі відомих атак IoT ботнетів. Будь-які домашні мережеві пристрої можуть бути інфіковані та залучені в ботнет, в тому числі веб камери, DVR, мережеві принтери, мережеві системи зберігання даних (NAS), Wi-Fi роутери, розумні телевізори (Smart TV). Рекомендую подивитися дане відео для розуміння поточного стану безпеки мережевих пристроїв.

Виявлені уразливості безпеки в Apple Safari і Webkit.

Уразливі продукти: Apple Safari 14.

Виконання коду, пошкодження пам’яті, XSS.

• APPLE-SA-2020-09-16-3 Safari 14.0 (деталі)

Відбувся тринадцятий масовий взлом сайтів на сервері Ukraine. Він тривав на протязі 2015-2021 років: з 16.03.2015 по 03.06.2021. Дванадцятий масовий взлом сайтів на сервері Ukraine відбувся раніше.

Був взломаний сервер української компанії Ukraine. Взлом складався з декількох масових дефейсів та багатьох окремих дефейсів. Вони відбулися переважно в той самий час.

Всього було взломано 97 сайтів на сервері хостера Ukraine (IP 185.68.16.175). Перелік сайтів можете подивитися на www.zone-h.org. В тому числі державні ресурси mev.gov.ua і dffd.gov.ua.

З них 18 сайтів були взломані хакерами з BD GREY HAT HACKERS та інші сайти іншими хакерами.

Масові дефейси хакерами з BD GREY HAT HACKERS явно були зроблені через взлом серверу хостинг провайдера. У випадку окремих дефейсів по одному чи декілька сайтів, всі вони явно були зроблені при взломах окремих сайтів. Але також можлива атака на інші сайти на даному сервері через взлом одного сайту та використання уразливостей в програмному забезпеченні сервера.

У жовтні, 20.10.2020, вийшов Mozilla Firefox 82. Нова версія браузера вийшла майже через місяць після виходу Firefox 81.

Mozilla офіційно випустила реліз веб-браузера Firefox 82, а також мобільну версію Firefox 82 для платформи Android. Відповідно до шеститижневого циклу розробки, Firefox 83 вийде 17 листопада.

В браузері було зроблено багато нововведень. Та зроблені покращення безпеки.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 82.0 усунуто численні уразливості в 7 патчах, що так більше ніж в попередній версії. Серед яких немає критичних, але чотири уразливостей позначені як високого ризику, що потенційно можуть призвести до віддаленого виконання коду зловмисника. Mozilla типово виправляє по декілька дір за один патч.