Websecurity - Веб безпека

Виявлені численні уразливості в Oracle.

Уразливі версії: Oracle 11g, Oracle 12c.

Численні підвищення привілеїв через убудовану Java-машину.

• Security vulnerabilities in Oracle Database Java VM (деталі)

В даній добірці експлоіти в веб додатках:

• Openfiler 2.99.1 Arbitrary Code Execution Vulnerability (деталі)
• Openfiler 2.99.1 Cross Site Scripting Vulnerability (деталі)
• F5 iControl Remote Command Execution Vulnerability (деталі)
• Skybox Security 6.3.x - 6.4.x - Multiple Information Disclosure (деталі)
• Broadcom PIPA C211 Information Disclosure Vulnerability (деталі)
• Skybox 6.x Authentication Bypass / Information Disclosure (деталі)
• ElasticSearch Remote Code Execution Exploit (деталі)
• Vtiger Install Unauthenticated Remote Command Execution Exploit (деталі)
• BlackBerry Z 10 Buffer Overflow Vulnerability (деталі)
• Sun Java Runtime Environment 1.6 - Web Start JNLP File Stack Buffer Overflow (деталі)

В травні вже відбувалися DDoS атаки на сайти ДНР і ЛНР. Розповім про DDoS атаки на сайти цих терористичних організацій, що мали місце в червні.

Це DDoS атаки на різні сайти ДНР і ЛНР - самопроголошених Донецької і Луганської республік, які ГПУ визнала терористичними організаціями. Що були проведені Українськими Кібер Військами.

DDoS на dnr24.org - 16.06.2014
DDoS на donetsk-gov.su - 16-19.06.2014
DDoS на dnr24.org - 19.06.2014
DDoS на donetsk-gov.su - 24.06.2014
DDoS на bolotov-lg.ru - 24-30.06.2014 (після декількох діб атаки, сайт був закритий)
DDoS на donetsk-gov.su - 30.06.2014

Таким чином українські хакери висловили протест проти цих незаконних організацій на їх сайтах. Деякі з них тимчасово не працювали, а сайт Болотова припинив роботу.

Виявлені численні уразливості безпеки в Google Chrome та Chromium.

Уразливі продукти: Google Chrome 35.0, Chromium 35.0.

Пошкодження пам’яті, переповнення буфера.

• chromium-browser security update (деталі)

В даній добірці уразливості в веб додатках:

• Multiple vulnerabilities on D-Link DIR-645 devices (деталі)
• Unauthenticated remote access to D-Link DIR-645 devices (деталі)
• Multiple Vulnerabilities in Eventum (деталі)
• Cross-Site Scripting (XSS) in Komento Joomla Extension (деталі)
• SQL Injection in JV Comment Joomla Extension (деталі)

У червні місяці Microsoft випустила 7 патчів. Що менше ніж у травні.

У червневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 7 бюлетенів по безпеці. Що закривають численні уразливості в програмних продуктах компанії. Два патчі закривають критичні уразливості та п’ять патчів закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows 2003, Vista, 2008, 7, 2008 R2, 8, 2012, RT, 8.1 та RT 8.1. А також Microsoft Office, Internet Explorer, Lync та Live Meeting.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://dako.archives.kiev.ua (хакером d3b~X) - 14.03.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://dako.archives.gov.ua (хакером d3b~X) - 23.03.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://gorodische.net (хакером d3b~X) - 13.03.2014, зараз сайт закритий
• http://igorilchenko.org.ua (хакером j.a.c12) - 13.03.2014, зараз сайт вже виправлений адмінами
• http://portal-medic.org.ua (хакером Anonsec) - 13.03.2014, зараз сайт вже виправлений адмінами

Виявлена можливість проведення DoS атаки проти PHP.

Уразливі продукти: file, PHP 5.5.

Вичерпання ресурсів і нескінченний цикл при розборі файлів CDF в Fileinfo компоненті в PHP.

• Vulnerabilities in file and PHP (деталі)

У червні, 18.06.2014, у Верховній Раді України пройшли слухання на тему “Законодавче забезпечення розвитку інформаційного суспільства в Україні”. В той день я послухав по радіо другу частину цих слухань. І найбільш цікаві теми, що мене цікавили, які піднімалися цього разу і на попередніх слуханнях на цю тему - розробка програмного забезпечення та інформаційна безпека.

Було багато виступаючих, що торкнулися цих тем. Були представники українських софтварних компаній, а також я почув три виступи безпосередньо про тему інформаційна безпека, а також декілька виступаючих побіжно торкнулися теми безпеки в Інтернеті (коли в своїх виступах піднімали питання інформаційних загроз).

Як програмісту з 20-річним стажем, мені неприємно чути пустопорожні заяви депутатів і урядовців з цього приводу. Більше розмовляють, ніж роблять для підтримки цієї галузі (як розвивається всі роки незалежності лише за рахунок самих програмістів). Але хоча б представники софтварних компаній були більш реалістичними в своїх виступах.

Ну, а стосовно інформаційної безпека, зокрема веб безпеки, то всі виступи були ще більш загальними і пустопорожніми. Лише декларації, яких я начувся багато з початку 2000-х років (а веб безпекою я активно займаюся вже більше 9 років). І якщо встановлення антивірусів та інші заходи локальної безпеки відбуваються і з початку 2000-х вже витратили чимало коштів на це (при цьому заробили великі кошти на відкатах), то безпекою веб сайтів і веб додатків державних органів як серйозно не займалися, так і займаються. Що добре видно з мого звіту Атаки на державні сайти України в 2001-2013 роках.

Як я писав в своїх підсумках хакерської активності в Уанеті в 2013 році, всього було атаковано 146 державних сайтів та інфіковано ще 11 державних сайтів. Ситуація з недержавним сектором Інтернету в Україні не краща. Ті самі діряві сайти, взломи й інфікування (а з 2006 я повідомляв про уразливості тисячам адмінів державних і недержавних сайтів). В 2013 році загалом було атаковано 1095 веб ресурсів (як взломи, так і DDoS атаки) та інфіковано 226 сайтів.

Заяви про створення єдиного державного органу в галузі інформаційної безпеки - з однієї сторони пусті, а з іншої - бажання додати ще більше бюрократії в державний апарат і побільше розікрасти на тендерах. Ну, а заява стосовно кібер стратегії держави, яка почала створюватися при Януковичі й найближчим часом буде повністю розроблена, то стосовно неї виникають сумніви (враховуючи особистість Януковича) як в плані ефективності, так і в плані корупції. Потрібне виключно публічне обговорення цієї стратегії.

Тому при таких підходах держави до питань захисту інформації та кібер безпеки, громадянам залишається лише сподіватися на себе. Такою громадською ініціативою є Українські Кібер Війська.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах DT Chocolate, Global Flash Galleries та Social Ring. Для котрих з’явилися експлоіти. DT Chocolate - це тема Chocolate WP, про уразливості в якій я вже писав, Global Flash Galleries - це плагін для створення фото галереї, Social Ring - це плагін для розміщення кнопок для поширення інформації в соціальних мережах.

• WordPress DT Chocolate Cross Site Scripting (деталі)
• WordPress Global Flash Galleries File Upload (деталі)
• WordPress Social Ring 1.1.9 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.