Websecurity - Веб безпека

Українські Кібер Війська з червня займаються розвідкою. Це аудіо і відео розвідка. Раніше я наводив відео Українських Кібер Військ, що демонструють можливості Українських Кібер Військ по спостереженню за терористами.

Ось 5 нових відео, що зроблені в рамках розвідувальної операції:

Українські Кібер Війська: російська військова техніка в Керчі за 10.04.2015 - УКВ записали переміщення військової техніки в Криму.

Українські Кібер Війська: російська військова техніка і терористи в Криму за 15.04.2015 - УКВ записали переміщення військової техніки в Криму.

Українські Кібер Війська: військова техніка терористів в Горлівці за 28.04.2015 - УКВ записали переміщення військової техніки терористів в Горлівці.

Українські Кібер Війська: терористи купують продукти в Донецьку - УКВ записали відео про покупку терористами продуктів в Донецьку.

Українські Кібер Війська: військова техніка терористів в Горлівці за 02.05.2015 - УКВ записали переміщення військової техніки терористів в Горлівці.

Виявлені численні уразливості безпеки в Adobe Flash Player.

Уразливі версії: Adobe Flash Player 17.0.

Переповнення буфера, пошкодження пам’яті, короткочасні умови, обхід обмежень, цілочисленні переповнення.

• Adobe Security Bulletin Security updates available for Adobe Flash Player (деталі)

В даній добірці експлоіти в веб додатках:

• EMC M&R (Watch4net) Web Portal Report Favorites XSS Vulnerability (деталі)
• ZTE ZXV10-H201L Multiple Vulnerabilities (деталі)
• Lexmark MarkVision Enterprise Arbitrary File Upload Exploit (деталі)
• ManageEngine Multiple Products Authenticated File Upload Exploit (деталі)
• McAfee ePolicy Orchestrator Authenticated XXE Credentials Exposure Exploit (деталі)

У травні, 03.05.2012, під час пентесту, я виявив багато уразливостей в IBM Lotus Domino, зокрема Cross-Site Scripting. Це продовження до попередніх уразливостей в Domino (зараз програма називається IBM Domino).

Про що найближчим часом повідомлю розробникам системи. В 2012 і 2013 роках я вже казав IBM, що маю нові дірки, окрім повідомлених раніше, але вони не виявили інтересу.

Раніше я вже писав про уразливості в IBM Lotus Domino.

Cross-Site Scripting (WASC-08):

http://site/mail/user.nsf/fc9368429d022147c3256c6a005431ff/3c575ad7c19a9ca0c22572b3002d5087/Body/%22;}alert(document.cookie);function%20a(){a=%22

Для проведення XSS атаки потрібно знати хеші в адресі листа. Їх можна дізнатися через витік інформації (наприклад, вбудоване зображення) чи іншу XSS уразливість.

Уразливі IBM Lotus Domino 8.5.3, 8.5.4 (в яких перевірялося) та попередні версії. Також повинні бути вразливі версії 9.0 та 9.0.1.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://uman-rada.gov.ua - інфікований державний сайт - інфекція була виявлена 05.05.2015. Зараз сайт не входить до переліку підозрілих.
• http://moloda.org.ua - інфекція була виявлена 14.05.2015. Зараз сайт не входить до переліку підозрілих.
• http://td.lviv.ua - інфекція була виявлена 25.05.2015. Зараз сайт входить до переліку підозрілих.
• http://autosite.ua - інфекція була виявлена 30.04.2015. Зараз сайт не входить до переліку підозрілих.
• http://delpesto.lviv.ua - інфекція була виявлена 02.03.2015. Зараз сайт не входить до переліку підозрілих.

Виявлена можливість ескалації привілеїв в Jython.

Уразливі версії: Jython 2.2.

Слабкі дозволи при створенні файлів кеша.

• Vulnerability in Jython (деталі)

В даній добірці уразливості в веб додатках:

• MobileIron 4.5.4 Device Registration regpin Cross Site Scripting (деталі)
• Stored Attribute-Based Cross-Site Scripting (XSS) Vulnerability in Telerik UI for ASP.NET AJAX RadEditor Control (деталі)
• RCE / file upload / arbitrary file deletion in OpManager, Social IT and IT360 (деталі)
• Moab Authentication Bypass (деталі)
• Feeder.co RSS Feeder 5.2 Chrome - Persistent Software Vulnerability (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах WP-Ban, All In One WP Security, Users Ultra, All In One Security And Firewall, Photo Gallery. Для котрих з’явилися експлоіти.

• WordPress WP-Ban 1.62 Bypass (деталі)
• All In One WP Security 3.8.2 SQL Injection (деталі)
• WordPress Users Ultra 1.3.37 SQL Injection (деталі)
• WordPress All In One Security And Firewall 3.8.3 XSS (деталі)
• WordPress Photo Gallery 1.1.30 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У квітні, 22.04.2015, я дав інтерв’ю виданню Цензор.НЕТ. І 24.05.2015 воно було оприлюднене на сайті.

В інтерв’ю розповідається про мою діяльність і про кібер війну Росії проти України. Та про мою громадську ініціативу Українські Кібер Війська, що я створив 09.06.2014.

Куда эффективнее обратиться в ФБР, чем вежливо писать Цукербергу

Так що кому буде цікаво прочитати інформацію про мене і УКВ, як тим хто вже читав мої попередні інтерв’ю в Dennik N та інших журналах чи дивився прямий ефір на Радіо Свобода, так і всім іншим, можете прочитати це інтерв’ю.

У травні, 07.05.2015, вийшла нова версія WordPress 4.2.2.

WordPress 4.2.2 це багфікс та секюріті випуск нової 4.2 серії. В якому розробники виправили тринадцять багів та три уразливості. Це критична Cross-Site Scripting уразливість в движку, XSS уразливість в пакеті Genericons (що постачається зі стандартною темою Twenty Fifteen та темами і плагінами інших виробників) та посилений захист від XSS уразливості у візуальному редакторі.

Також в цей день вийшли WordPress 4.0.5 і 4.1.5. Версії 4.0.5 і 4.1.5 це секюріті випуски 4.0 і 4.1 серії, в яких виправлені дані уразливості й баги.