Websecurity - Веб безпека

У січні, 22.01.2015, вийшли PHP 5.4.37, PHP 5.5.21 і PHP 5.6.5. У версії 5.4.37 виправлено 6 уразливостей, у версіях 5.5.21 і 5.6.5 виправлено декілька багів і 8 уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 5.4.x, 5.5.x і 5.6.x.

У PHP 5.4.37, 5.5.21 і 5.6.5 виправлено:

• Use after free уразливість в unserialize().
• Читання out of bounds призводило до вибивання php-cgi.
• Уразливість при роботі з EXIF.
• Дві уразливості в розширені Fileinfo.
• Обхід перевірки сертифікатів в розширені OpenSSL.
• Explicit double free уразливість (в PHP 5.5.21 і 5.6.5).
• Вибивання при некоректних HTTP запитах (в PHP 5.5.21 і 5.6.5).
• Buffer overflow уразливість розширені GD (в PHP 5.5.21 і 5.6.5).
• Також оновлена бібліотека crypt_blowfish до версії 1.3 (в PHP 5.5.21 і 5.6.5).

По матеріалам http://www.php.net.

В даній добірці експлоіти в веб додатках:

• Landesk Management Suite 9.5 Cross Site Scripting Vulnerability (деталі)
• Hewlett-Packard UCMDB 10.10 JMX-Console Authentication Bypass Vulnerability (деталі)
• Xerox Multifunction Printers (MFP) “Patch” DLM Escalation Exploit (деталі)
• X7 Chat 2.0.5 lib/message.php preg_replace() PHP Code Execution Exploit (деталі)
• Citrix NetScaler SOAP Handler Remote Code Execution Exploit (деталі)

22.08.2014

Сьогодні я знайшов уразливості в різних моделях мережевих камер Hikvision. Це IP Camera та DVR пристрої. Зокрема Brute Force та Abuse of Functionality уразливості.

Уразливі моделі: Hikvision DS-2CD2412F-IW, DS-2CD2412F-I, DS-7204HWI-SH, DS-2CD2412F-IW, DS-2CD2012-I, DS-2CD2232-I5, DS-7108HWI-SH, DS-2CD7153-E, DS-2CD2132-I, DS-2DF5284-A.

Стосовно веб камер та відеореєстраторів Hikvision раніше я писав про уразливості в Hikvision DS-7204HWI-SH.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам пристрою.

26.03.2015

Abuse of Functionality (WASC-42):

Логін постійний: admin.

Brute Force (WASC-11):

В формі логіна http://site/doc/page/login.asp немає захисту від Brute Force атак. Дані відправляється через GET запит з Basic Authorization.

Відсутність захисту від Brute Force (такого як капча) також призводить до можливості проведення CSRF атаки, про що я писав в статті Атаки на незахищені логін форми. Це дозволяє проводити віддалений логін. Але вони захистилися від CSRF атаки через використання Basic Authorization.

Розробники вже виправили Brute Force уразливість.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://kamrada.gov.ua (хакером ElKiller) - 01.01.2015 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.difku.gov.ua (хакером Dr.SHA6H) - 04.01.2015 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://vv.gov.ua (російськими хакерами) - 23.03.2015 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://new.bidmu-kpu.com.ua (хакером Nofawkx Al) - 15.12.2014, зараз сайт вже виправлений адмінами
• http://np-studio.com.ua (хакером the_warri0r) - 29.12.2014, зараз сайт вже виправлений адмінами
• http://autocopilot.com.ua (хакером CaptSalkus48)
• http://avajart.com (хакером Sni-PeO) - 05.01.2015, зараз сайт вже виправлений адмінами
• http://driada.pw (хакером Sni-PeO) - 05.01.2015, зараз сайт вже виправлений адмінами
• http://forum.sev-event.com (хакером d3b~X) - 03.02.2015, зараз сайт вже виправлений адмінами
• http://gurt-cactus.com.ua (хакерами з Islamic State) - причому спочатку сайт 09.03.2015 був взломаний Islamic State, а 23.03.2015 він був взломаний w4l3XzY3, зараз сайт вже виправлений адмінами. Схоже, що сайт постійно хакається, як і деякі інші сайти в Уанеті

Виявлена можливість DoS атаки проти MongoDB.

Уразливі версії: MongoDB 2.6, MongoDB 3.0.

Відмова при розборі BSON.

• MongoDB BSON Handling Remote Denial of Service Vulnerability (деталі)

В даній добірці уразливості в веб додатках:

• HP Service Manager WebTier and Windows Client, Cross-Site Scripting (XSS), Execution of Arbitrary Code and other Vulnerabilities (деталі)
• multiple Vulnerability in WahmShoppes eStore (деталі)
• NeginGroup CMS Multiple Vulnerability (деталі)
• SpiceWorks Cross-site scripting (деталі)
• denyhosts security update (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах WhyDoWork AdSense, MyBand та Gmedia Gallery. Для котрих з’явилися експлоіти. WhyDoWork AdSense - це плагін для розміщення реклами AdSense, MyBand - це тема движка, Gmedia Gallery - це плагін для створення медіа галереї.

• WordPress WhyDoWork AdSense 1.2 XSS / CSRF (деталі)
• WordPress MyBand Theme Cross Site Scripting (деталі)
• WordPress Gmedia Gallery 1.2.1 Shell Upload (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

В своєму звіті про атаки на державні сайти України в 2001-2013 роках, я навів статистику та графік атак на державні сайти України за останні 13 років.

За 2001 - 2013 роки всього було атаковано 568 українських державних сайтів, включаючи взломи сайтів та DDoS атаки. А враховуючи інфіковані gov.ua сайти, виявлених за час моїх досліджень інфікованих сайтів в Уанеті, ця кількість ще більше.

Було інфіковано наступну кількість gov.ua сайтів, що без сумніву були взломані для розміщення шкідливого коду:

2009 рік - 5 сайтів
2010 рік - 13 сайтів
2011 рік - 9 сайтів
2012 рік - 16 сайтів
2013 рік - 11 сайтів

Всього 54 інфікованих gov.ua сайтів за 5 років. Разом з атаками за 13 років всього 622 державних сайти.

Статистика від 2 атакованих та інфікованих веб сайтів в 2001 році до 160 веб сайтів в 2013 році.

Виявлені численні уразливості безпеки в PHP.

Уразливі версії: PHP 5.5, PHP 5.6.

Вичерпання ресурсів, пошкодження пам’яті.

• php5 security update (деталі)
• PHP vulnerabilities (деталі)

В даній добірці експлоіти в веб додатках:

• FortiAuthenticator v300 build 0007 Multiple Vulnerabilities (деталі)
• ManageEngine Desktop Central 9 Build 90087 - CSRF Vulnerability (деталі)
• Centreon SQL / Command Injection Exploit (деталі)
• CUPS Filter Bash Environment Variable Code Injection Exploit (деталі)
• Konke Smart Plug K - Authentication Bypass Vulnerability (деталі)