Websecurity - Веб безпека

Українські Кібер Війська з червня займаються розвідкою. Це аудіо і відео розвідка. Раніше я наводив три відео Українських Кібер Військ, що демонструють можливості Українських Кібер Військ по спостереженню за терористами.

Ось 5 нових відео, що зроблені в рамках розвідувальної операції:

Українські Кібер Війська: відео з Луганська - УКВ записали відео про життя Луганська окупованого терористами.

Українські Кібер Війська: військова техніка терористів в Донецьку - УКВ записали переміщення військової техніки терористів в Донецьку.

Українські Кібер Війська: колона техніки терористів в Донецьку - УКВ записали переміщення колони військової техніки терористів в Донецьку.

Українські Кібер Війська: сафарі терористів в Донецьку - УКВ багато разів записали переміщення військової техніки терористів в Донецьку.

Українські Кібер Війська: колона техніки терористів в Донецьку - УКВ записали переміщення колони військової техніки терористів в Донецьку (10 вантажівок).

Виявлена можливість виконання коду в Apache Struts і commons-beanutils.

Уразливі продукти: Apache Struts 1.3.10, commons-beanutils 1.9.1.

Необмежений доступ до параметра class в об’єкті ActionForm.

• commons-beanutils: ‘class’ property is exposed, potentially leading to RCE (деталі)

В даній добірці експлоіти в веб додатках:

• Fonality Trixbox CE 2.8.0.4 Command Execution Vulnerability (деталі)
• NETIS DL4322D Multiple Vulnerabilities (деталі)
• Yokogawa CS3000 BKFSim_vhfd.exe Buffer Overflow Exploit (деталі)
• D-Link DIR-505 HNAP Request Remote Buffer Overflow Exploit (деталі)
• D-Link DIR-300 / DIR-645 Unauthenticated UPnP M-SEARCH Multicast Command Injection (деталі)

У листопаді, 05.11.2014, я виявив Abuse of Functionality, Brute Force та Cross-Site Request Forgery уразливості в D-Link DCS-930L (веб камера). Це перша частина дірок в DCS-930L.

Раніше я писав про уразливості в пристроях даної компанії, зокрема в D-Link DAP-1360 та D-Link DCS-2103.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам пристрою.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.lbsadm.gov.ua (хакером Ali-HAwleRy) - 18.09.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.vvadm.gov.ua (хакером panataran) - 18.09.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.tehnodim.lutsk.ua (хакером Solt6n)
• http://gslan.net.ua (хакером PaWL) - 05.10.2014, зараз сайт вже виправлений адмінами
• http://kyokushin.gslan.net.ua (хакером PaWL) - 05.10.2014, зараз сайт вже виправлений адмінами

25.10.2014

Виявлені численні уразливості безпеки в продуктах Oracle, Sun, PeopleSoft і MySQL.

Уразливі продукти: Oracle 11g, Oracle 12c, MySQL 5.5 і 5.6, Oracle Java SE 5, 6, 7 і 8, Solaris 11, WebLogic Server 12.1, E-Business Suite 12i, JRockit 28.3, Application Express 4.2 та інші продукти Oracle.

138 уразливостей у різних додатках виправлено в щоквартальному оновленні.

• Breaking Oracle Database through Java exploits (details) (деталі)
• Potential Cross-Site Scripting in ADF Faces (деталі)
• Oracle Critical Patch Update Advisory - October 2014 (деталі)

13.11.2014

Додаткова інформація.

• Missing patches / inaccurate information regarding Oracle Oct CPU (деталі)

В даній добірці уразливості в веб додатках:

• HP Service Manager and ServiceCenter, Remote Code Execution (деталі)
• Multiple Vulnerabilities in SeedDMS < = 4.3.3 (деталі)
• Multiple vulnerabilities in webmin (деталі)
• extplorer security update (деталі)
• HP Application LifeCycle Management, GossipService SOAP Request, Remote Code Execution (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Work The Flow File Upload, iMember360is та WP-Affiliate Platform. Для котрих з’явилися експлоіти. Work The Flow File Upload - це плагін для завантаження файлів, iMember360is - це плагін для створення сайту з підпискою на його вміст, WP-Affiliate Platform - це плагін для створення та управління філіалами.

• WordPress Work-The-Flow 1.2.1 Shell Upload (деталі)
• WordPress iMember360is 3.9.001 XSS / Disclosure / Code Execution (деталі)
• WordPress WP-Affiliate Platform Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

27.06.2014

У червні я дав інтерв’ю журналу “Кореспондент”. Яке мало вийти в новому номері журналу. Але воно так і не вийшло. Бо як повідомила мені в липні журналістка, головний редактор передумав публікувати статтю. Все зрозуміло з цим журналом.

12.11.2014

У жовтні, 18.10.2014, я дав інтерв’ю виданню ТЕКСТИ.org.ua. І вчора воно було оприлюднене на сайті.

В статті розповідається про кібер війну Росії проти України. Та про мою громадську ініціативу Українські Кібер Війська, що я створив 09.06.2014.

Укри стежать за вами. Українські кібер війська зламують відеокамери, блокують сайти і рахунки терористів

Так що кому буде цікаво прочитати інформацію про мене, як тим хто вже читав мої попередні інтерв’ю в журналі Фокус та інших журналах, так і всім іншим, можете прочитати цю статтю.

В минулому році, 07.11.2013, компанія Microsoft випустила фінальну версію браузера Internet Explorer 11. Вихід нової версії відбувся по суті через рік після виходу IE10.

Незважаючи на заяви Microsoft про підвищену безпеку нового IE11, не встиг він вийти, як його швидко взломали. Уразливості в Internet Explorer 11 (а також в попередніх версіях браузера) були виявлені на початку листопада 2013 року та виправлені в патчі для IE в тому ж місяці.

З тих пір в IE11 знаходили багато уразливостей. Що цілком типово для програмних продуктів Microsoft.