Websecurity - Веб безпека

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Participants Database, Elegance і Featured Comments. Для котрих з’явилися експлоіти. Participants Database - це плагін для створення списків учасників, Elegance - це тема движка, Featured Comments - це плагін для виділення важливих коментарів.

• WordPress Participants Database 1.5.4.8 SQL Injection (деталі)
• WordPress Elegance Local File Disclosure (деталі)
• WordPress Featured Comments 1.2.1 Cross Site Request Forgery (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У листопаді, 19.11.2014, я дав інтерв’ю каналу 24. Знявся для даного телеканалу.

Перший відео сюжет вийшов 20.11.2014 в новинах, а другий відео сюжет вийшов 25.11.2014 в новинах. В сюжетах йшлося про Українські Кібер Війська та проведення мною анти-терористичної операції в Інтернеті.

Всі бажаючі, хто бачив трансляцію на каналі 24 і хто не бачив, можуть подивитися сюжети зі мною. Це наступні два відео:

Виявлені уразливості безпеки в PHP.

Уразливі версії: PHP 5.6.

Пошкодження пам’яті та використання пам’яті після звільнення в unserialize().

• Vulnerabilities in PHP (деталі)

В даній добірці експлоіти в веб додатках:

• ZTE 831CII Multiple Vulnerablities (деталі)
• F5 BIG-IP 10.1.0 - Directory Traversal Vulnerability (деталі)
• Dragonfly 1.0.5 Remote Code Execution Exploit (деталі)
• Firefox WebIDL Privileged Javascript Injection Exploit (деталі)
• Wing FTP Server Authenticated Command Execution Exploit (деталі)

Українські Кібер Війська з червня займаються розвідкою. Це аудіо і відео розвідка. Раніше я наводив відео та аудіо Українських Кібер Військ, що демонструють можливості Українських Кібер Військ по спостереженню за терористами.

Ось 7 нових відео, що зроблені в рамках розвідувальної операції:

Українські Кібер Війська: переправа в Керчі за 26.11.2014 - УКВ записали переміщення російської військової техніки в Криму.

Українські Кібер Війська: військова техніка терористів в Донецьку за 25.11.2014 - УКВ записали переміщення військової техніки терористів в Донецьку.

Українські Кібер Війська: військова техніка терористів з БТР в Донецьку за 26.11.2014 - УКВ записали переміщення військової техніки терористів в Донецьку.

Українські Кібер Війська: військова техніка терористів та гумконвой в Донецьку за 27.11.2014 - УКВ записали переміщення військової техніки терористів та російського гумконвою в Донецьку.

Українські Кібер Війська: військова техніка терористів та гумконвой в Донецьку за 28.11.2014 - УКВ записали переміщення військової техніки терористів та російського гумконвою в Донецьку.

Українські Кібер Війська: військова техніка терористів та гумконвой в Донецьку за 29.11.2014 - УКВ записали переміщення військової техніки терористів та російського гумконвою в Донецьку.

Українські Кібер Війська: військова техніка терористів та гумконвой в Донецьку за 02.12.2014 - УКВ записали переміщення військової техніки терористів та російського гумконвою в Донецьку.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://vrazrabotke.com.ua - інфекція була виявлена 23.12.2014. Зараз сайт входить до переліку підозрілих.
• http://xua.com.ua - інфекція була виявлена 24.11.2014. Зараз сайт не входить до переліку підозрілих.
• http://georg.kiev.ua - інфекція була виявлена 14.12.2014. Зараз сайт входить до переліку підозрілих.
• http://aromamania.com.ua - інфекція була виявлена 19.11.2014. Зараз сайт не входить до переліку підозрілих.
• http://bagagnik.kharkov.ua - інфекція була виявлена 23.11.2014. Зараз сайт не входить до переліку підозрілих.

Виявлена можливість підвищення привілеїв у Apache mod_wsgi.

Уразливі версії: Apache mod_wsgi 4.2.

Некоректна обробка помилок може привести до підвищення привілеїв.

• Vulnerability in apache-mod_wsgi (деталі)

В даній добірці уразливості в веб додатках:

• Dahua DVR Authentication Bypass (деталі)
• Unsafe Query Risk in Active Record (деталі)
• Directory Traversal Vulnerability With Certain Route Configurations in Ruby on Rails (деталі)
• SOAPpy 0.12.5 Multiple Vulnerabilities (деталі)
• HP Integrated Lights-Out 4 (iLO4), Remote Cross Site Scripting (XSS), Unauthorized Disclosure of Information (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах TimThumb Finder, Popup Images і Infocus. Для котрих з’явилися експлоіти. TimThumb Finder - це програма для пошуку TimThumb в плагінах і темах для WP, Popup Images - це плагін для створення попапів, Infocus - це тема движка.

• WordPress TimThumb Finder 1.0 Beta (деталі)
• WordPress Popup Images Cross Site Scripting (деталі)
• WordPress Infocus Local File Disclosure (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

12.12.2014

Виявлені численні уразливості безпеки в Apple Safari і WebKit.

Уразливі продукти: Apple Safari 6.2, Safari 7.1, Safari 8.0.

Численні пошкодження пам’яті.

• APPLE-SA-2014-12-2-1 Safari 8.0.1, Safari 7.1.1, and Safari 6.2.1 (деталі)

20.12.2014

Додаткова інформація.

• APPLE-SA-2014-12-11-1 Safari 8.0.2, Safari 7.1.2, and Safari 6.2.2 (деталі)