Websecurity - Веб безпека

В даній добірці експлоіти в веб додатках:

• Magento Server MAGMI Plugin Local File Inclusion / XSS Vulnerabilities (деталі)
• IBM Tivoli Service Automation Manager 7.2.4 - Remote Code Execution Vulnerability (деталі)
• PicsArt Photo Studio For Android Insecure Management Vulnerability (деталі)
• Belkin n750 jump login Parameter Buffer Overflow Exploit (деталі)
• Visual Mining NetCharts Server Remote Code Execution Exploit (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах SI CAPTCHA, Gamespeed та WPSS. Для котрих з’явилися експлоіти. SI CAPTCHA - це плагін для розміщення капчі, Gamespeed - це тема движка, WordPress Spreadsheet (WPSS) - це плагін для розміщення таблиць.

• WordPress SI CAPTCHA Cross Site Scripting (деталі)
• WordPress Gamespeed Theme Cross Site Scripting (деталі)
• WordPress WPSS 0.62 SQL Injection (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Українські Кібер Війська з червня займаються розвідкою. Це аудіо і відео розвідка. Раніше я наводив відео Українських Кібер Військ, що демонструють можливості Українських Кібер Військ по спостереженню за терористами.

Ось 7 нових відео, що зроблені в рамках розвідувальної операції:

Українські Кібер Війська: військова техніка терористів в Горлівці за 28.02.2015 - УКВ записали переміщення військової техніки терористів в Горлівці.

Українські Кібер Війська: військова техніка терористів в Горлівці за 01.03.2015 - УКВ записали переміщення військової техніки терористів в Горлівці.

Українські Кібер Війська: о чём говорят тролли в Москве - УКВ записали розмову тролів в Москві.

Українські Кібер Війська: військова техніка терористів в Горлівці за 07.03.2015 - УКВ записали переміщення військової техніки терористів в Горлівці.

Українські Кібер Війська: військова техніка терористів в Горлівці за 09.03.2015 - УКВ записали переміщення військової техніки терористів в Горлівці.

Українські Кібер Війська: військова техніка терористів в Горлівці за 16.03.2015 - УКВ записали переміщення військової техніки терористів в Горлівці.

Українські Кібер Війська: терористи вимкнули веб камеру в Горлівці 16.03.2015 - УКВ записали переміщення військової техніки терористів в Горлівці та як терористи вимкнули веб камеру.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://tarif.pp.ua - інфекція була виявлена 02.03.2015. Зараз сайт входить до переліку підозрілих.
• http://mycounter.ua - інфекція була виявлена 30.03.2015. Зараз сайт не входить до переліку підозрілих.
• http://lovens.pp.ua - інфекція була виявлена 12.01.2015. Зараз сайт не входить до переліку підозрілих.
• http://infolist.kh.ua - інфекція була виявлена 25.03.2015. Зараз сайт не входить до переліку підозрілих.
• http://traf.pp.ua - інфекція була виявлена 12.01.2015. Зараз сайт не входить до переліку підозрілих.

В даній добірці уразливості в веб додатках:

• Vulnerabilities in memcached (деталі)
• DNN (DotNetNuke) ASPSlideshow Module Arbitrary File Download Vulnerability (деталі)
• DNN (DotNetNuke) CodeEditor Module Arbitrary File Download Vulnerability (деталі)
• DNN (DotNetNuke) EasyDnnGallery Module Arbitrary File Download Vulnerability (деталі)
• memcached security update (деталі)

У лютому, 18-19.02.2015, вийшли PHP 5.4.38, PHP 5.5.22 і PHP 5.6.6. У версії 5.4.38 виправлено 7 уразливостей, у версіях 5.5.22 і 5.6.6 виправлено декілька багів і 4 уразливості.

Дані релізи направлені на покращення безпеки і стабільності гілок 5.4.x, 5.5.x і 5.6.x.

У PHP 5.4.38, 5.5.22 і 5.6.6 виправлено:

• Buffer overflow уразливість в glibc gethostbyname.
• Некоректне визначання підтримки системою crypt sha256/sha512.
• Use after free уразливість в unserialize() з DateTimeZone.
• Heap buffer overflow уразливість в enchant_broker_request_dict().
• SoapServer не підтримує великі повідомлення.
• Прибрана підтримка багаторядкових заголовків. Це захищає від CRLF Injection уразливостей.
• Доданий захист від NULL byte в exec, system і passthru.

По матеріалам http://www.php.net.

Продовжуючи розпочату традицію, після попереднього відео про взлом мережевих пристроїв ISP, пропоную нове відео на секюріті тематику. Цього разу відео про визначення і протидію стеженню. Рекомендую подивитися всім хто цікавиться цією темою.

DEF CON 22 - Robert Rowley - Detecting and Defending Against a Surveillance State

Влітку на конференції DEFCON 22 відбувся виступ Robert Rowley. В своєму виступі він розповів про шпигунство, зокрема держави за громадянами. Про визначення, що за вами стежать (через комп’ютери та мобільні пристрої) та як протидіями цьому.

Він розповів про останні витоки інформації та про те, як визначати державне стеження і як йому протидіяти. Рекомендую подивитися дане відео для розуміння шпигунства і щоб навчитися визначати чи за вами стежать.

Виявлені уразливості безпеки в Apache Taglibs.

Уразливі версії: Apache Taglibs 1.2.

Виконання коду, XXE.

• CVE-2015-0254 XXE and RCE via XSL extension in JSTL XML tags (деталі)

У січні, 21.01.2015, через два місяці після виходу Google Chrome 39, вийшов Google Chrome 40.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Також зроблено наступні покращення безпеки: додана можливість блокування профілю в браузері для запобігання доступу сторонніх до облікового запису (коли це потрібно) та додана підтримка нових директив, представлених у другій версії специфікації Content Security Policy (CSP).

Виправлені 62 уразливості, з яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer і MemorySanitizer. Що значно більше ніж в попередній версії.

• Релиз web-браузера Chrome 40 (деталі)

У лютому вже відбувалися DDoS атаки на сайти ДНР і ЛНР. Розповім про DDoS атаки на сайти цих терористичних організацій, що мали місце у березні.

Це DDoS атаки на різні сайти ДНР і ЛНР, які ГПУ визнала терористичними організаціями, а також на сайти, які підтримують їх. Що були проведені Українськими Кібер Військами.

DDoS на cik-lnr.info - 01-15.03.2015
DDoS на molotpravdu.com - 01-15.03.2015
DDoS на без-вести.рф - 01-15.03.2015
DDoS на ungu.org - 01-15.03.2015
DDoS на pravdatoday.info - 01-15.03.2015
DDoS на 2news.com.ua - 01.03.2015
DDoS на globalresearch.ca - 01.03.2015
DDoS на bne.su - 01-15.03.2015
DDoS на lvs-global.ru - 01-15.03.2015
DDoS на slemtt.myjino.ru - 01-15.03.2015

Та інші сайти ДНР і ЛНР.

Таким чином українські хакери висловили протест проти цих незаконних організацій на їх сайтах. Деякі з них тимчасово не працювали, а деякі сайти припинили роботу.