Websecurity - Веб безпека

У жовтні місяці Microsoft випустила 9 патчів. Що значно більше ніж у вересні.

У жовтневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 9 бюлетенів по безпеці. Що закривають численні уразливості в програмних продуктах компанії. Один патч закриває критичну уразливість, сім патчів закривають важливі та один помірну уразливість.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows 2003, Vista, 2008, 7, 2008 R2, 8, 2012, RT, 8.1 та RT 8.1. А також Microsoft Office, Internet Explorer, .NET Framework, ASP.NET MVC та SharePoint Server.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.dobrrda.gov.ua (хакером panataran) - 16.09.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.lbmadm.gov.ua (хакером Romantic) - 18.09.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.cvu.org.ua (невідомими хакерами) - 26.10.2014, зараз сайт вже виправлений адмінами
• http://klew.dp.ua (хакерами з novorossian Cyber Army)
• http://gslan.net.ua (хакером PaWL) - 05.10.2014, зараз сайт вже виправлений адмінами

В даній добірці експлоіти в веб додатках:

• DrayTek VigorACS SI 1.3.0 - Multiple Vulnerabilities (деталі)
• ASProxy <= 5.5.0 Arbitrary File Download Vulnerability (деталі)
• Gitlist <= 0.4.0 - Remote Code Execution Exploit (деталі)
• Supermicro Onboard IPMI Port 49152 Sensitive File Exposure Exploit (деталі)
• MongoDB NoSQL Collection Enumeration Via Injection Exploit (деталі)

У вересні вже відбувалися DDoS атаки на сайти ДНР і ЛНР. Розповім про DDoS атаки на сайти цих терористичних організацій, що мали місце у жовтні.

Це DDoS атаки на різні сайти ДНР і ЛНР, які ГПУ визнала терористичними організаціями, а також на сайти, які підтримують їх. Що були проведені Українськими Кібер Військами.

DDoS на pravdatoday.info - 01-31.10.2014
DDoS на ungu.org - 01-31.10.2014
DDoS на bne.su - 01-31.10.2014
DDoS на molotpravdu.com - 01-31.10.2014
DDoS на odessa-antimaydan.com - 01-31.10.2014
DDoS на lvs-global.ru - 05-31.10.2014
DDoS на slemtt.myjino.ru - 05-31.10.2014
DDoS на helpnovorossia.ru - 05.10.2014
DDoS на без-вести.рф - 08-31.10.2014
DDoS на icp.su - 10.10.2014 і 12.10.2014
Та інші сайти ДНР і ЛНР.

Таким чином українські хакери висловили протест проти цих незаконних організацій на їх сайтах. Деякі з них тимчасово не працювали, а деякі сайти припинили роботу.

25.09.2014

Виявлена можливість виконання коду в bash.

Уразливі версії: bash 4.3.

Можна помістити функцію в зміст будь-якої змінної оточення.

Атака зокрема може проводитися через CGI скрипти, якщо вони написані на bash або відкривають шели. Такі шели використовуються функціями system/popen в C, open/system в Perl (якщо запускається шел, що залежить від командного рядка), os.system/os.popen в Python та system/exec в PHP (в режимі CGI).

• CVE-2014-6271: remote code execution through bash (деталі)
• Re: CVE-2014-6271: remote code execution through bash (деталі)
• Bash vulnerability (деталі)

30.10.2014

Додаткова інформація.

• HP StoreAll Operating System Software running Bash Shell, Remote Code Execution (деталі)
• Security Notice for Bash Shellshock Vulnerability (деталі)
• HP Remote Device Access: Virtual Customer Access System (vCAS) running Bash Shell, Remote Code Execution (деталі)
• VMware product updates address critical Bash security vulnerabilities (деталі)
• HP DreamColor Professional Display running Bash Shell, Remote Code Execution (деталі)
• the other bash RCEs (CVE-2014-6277 and CVE-2014-6278) (деталі)
• HP Thin Clients running Bash, Remote Execution of Code (деталі)

Сьогодні Українські Кібер Війська взломали сайт ЦВК Луганської Народної Республіки та відмінили так звані вибори в ЛНР і ДНР.

Після взлому сайта Міністерства Оборони РФ та взлому державного сервера РФ у серпні. Та інших взломів УКВ.

Хакери Українських Кібер Військ взломали веб сайт cik-lnr.info і повідомили на ньому про відміну виборів.

В даній добірці уразливості в веб додатках:

• NETGEAR ReadyNAS Remote Root (деталі)
• Spring Security Blank password may bypass user authentication (деталі)
• XSS when using Spring MVC (деталі)
• SQL injection in InterWorx Web Control Panel <= 5.0.13 (деталі)
• Watchguard Server Center v11.7.4 Multiple Non-Persistent Cross-Site Scripting Vulnerabilities (деталі)

Існує сервіс Norse, що в реальному часі демонструє атаки в Мережі. Зокрема описи атак, типи, цілі та джерела атак. Це карта Інтернет атак (map of Internet attacks).

Подивіться відео, що демонструє роботу цього сервісу:

Виявлене цілочисленне переповнення в Python.

Уразливі версії: Python 2.7.

Цілочисленне переповнення в buffer().

• Integer overflow in Python (деталі)

Додав свою програму BWA в репозиторій на https://github.com/MustLive. Тепер в мене на GitHub три програми з числа секюріті додатків, що я розробив за 2005-2014 роки:

• Backdoored Web Application (BWA).
• DDoS attacks via other sites execution tool (DAVOSET).
• Custom Flash Player for VideoJS (video-js-swf) - версія плеєра з виправленою XSS уразливістю, про яку я повідомив розробникам в 2013 році.

Потім додам на GitHub інші програми. Як свої програми на тему безпеки, так і веб додатки в яких я виправив уразливості.