Websecurity - Веб безпека

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах WP Realty, Persuasion та Recommend to a friend. Для котрих з’явилися експлоіти. WP Realty - це плагін для торгівлі нерухомістю, Persuasion - це тема движка, Recommend to a friend - це плагін для рекомендації друзям.

• WordPress WP Realty Cross Site Scripting (деталі)
• WordPress Persuasion Theme File Download / Deletion (деталі)
• WordPress Recommend Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://akelax.pp.ua - інфекція була виявлена 17.05.2014. Зараз сайт входить до переліку підозрілих.
• http://loads.com.ua - інфекція була виявлена 28.04.2014. Зараз сайт не входить до переліку підозрілих.
• http://bigmir.net - інфекція була виявлена 28.04.2014. Зараз сайт не входить до переліку підозрілих.
• http://newzz.in.ua - інфекція була виявлена 10.03.2014. Зараз сайт не входить до переліку підозрілих.
• http://evtuh-12.ucoz.ua - інфекція була виявлена 09.03.2014. Зараз сайт не входить до переліку підозрілих.

В даній добірці експлоіти в веб додатках:

• Allied Telesis AT-RG634A ADSL Broadband Router - Unauthenticated Webshell (деталі)
• IBM Tealeaf CX 8.8 - Remote OS Command Injection Vulnerability (деталі)
• ASUS routers Remote FTP login Authentication Bypass Vulnerability (деталі)
• EMC Cloud Tiering Appliance v10.0 Unauthenticated XXE Arbitrary File Read (деталі)
• ICOMM 610 Wireless Modem - CSRF Vulnerability (деталі)
• Symantec Endpoint Protection Manager Remote Command Execution (деталі)
• GE Proficy CIMPLICITY gefebt.exe Remote Code Execution (деталі)
• MantisBT Admin SQL Injection Arbitrary File Read Vulnerability (деталі)
• SolidWorks Workgroup PDM 2014 Arbitrary File Write Exploit (деталі)
• HP Data Protector Backup Client Service Remote Code Execution (деталі)

У квітні, 29.04.2014, вийшов Mozilla Firefox 29 з реалізацією нового інтерфейсу користувача, що розвивається під кодовим ім’ям Australis. Нова версія браузера вийшла через півтора місяці після виходу Firefox 28.

Mozilla офіційно випустила реліз веб-браузера Firefox 29, а також мобільну версію Firefox 29 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 30 намічений на 10 червня, а Firefox 31 на 22 липня.

Також був випущений Seamonkey 2.26 та оновлені гілки із тривалим терміном підтримки Firefox 24.5.0 і Thunderbird 24.5.0.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 29.0 усунуто 14 уразливостей, серед яких 4 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 29 с переработанным пользовательским интерфейсом (деталі)

Виявлена можливість проведення DoS атаки проти PHP.

Уразливі версії: PHP 5.4.

Нескінченна рекурсія при визначенні деяких видів файлів, вичерпання ресурсів.

• Vulnerability in PHP (деталі)

В даній добірці уразливості в веб додатках:

• HP Application Lifecycle Management Quality Center (ALM), Remote Cross Site Scripting (XSS) (деталі)
• Vulnerability in owncloud (деталі)
• Vulnerabilities in mediawiki (деталі)
• Revive Adserver 3.0.2 fixes SQL injection vulnerability (деталі)
• Squid-3.3.5 DoS PoC (деталі)

Продовжуючи розпочату традицію, після попереднього відео про атаки на інтерфейс користувача браузера, пропоную нове відео на веб секюріті тематику. Цього разу відео про атаку на OpenSSL. Рекомендую подивитися всім хто цікавиться цією темою.

OpenSSL CVE-2014-0160 (Heartbleed)

В даному відео ролику демонструється атака на OpenSSL через Heartbleed уразливість. Використання даної уразливості в OpenSSL дозволяє нападнику отримати секретний ключ шифрування на веб сервері і розшифрувати SSL трафік.

Атака відбувається при відвідуванні в браузері HTTPS сервера, що використовує OpenSSL (а таких серверів сотні мільйонів - OpenSSL дуже поширений в Інтернеті). Рекомендую подивитися дане відео для розуміння векторів атак на SSL.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://zakarpat-rada.gov.ua (хакером Gabby) - 07.04.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://zak-rada.gov.ua (хакером Gabby) - 07.04.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://buksport.cv.ua (хакером nuki)
• http://zfiz.nau.edu.ua (хакером Leon)
• http://www.flowers-dp.com (хакером Hmei7) - 02.03.2014, зараз сайт вже виправлений адмінами

Виявлені численні уразливості безпеки в Ruby on Rails в компонентах Actionpack і Actionmailer.

Уразливі версії: Ruby on Rails 3.2, Ruby on Rails 4.0.

DoS, міжсайтовий скриптінг.

• ruby-actionpack-3.2 security update (деталі)
• ruby-actionmailer-3.2 security update (деталі)

В даній добірці експлоіти в веб додатках:

• Ubee EVW3200 - Cross Site Request Forgery Vulnerability (деталі)
• Array Networks vxAG 9.2.0.34 and vAPV 8.3.2.17 - Multiple Vulnerabilities (деталі)
• Dlink DIR-600L Hardware Version AX Firmware Version 1.00 - CSRF Vulnerability (деталі)
• InterWorx Web Control Panel Cross Site Scripting Vulnerability (деталі)
• InterWorx 5.0.13 Build 574 SQL Injection Vulnerability (деталі)
• Mini HTTPD 1.21 - Stack Buffer Overflow POST Exploit (деталі)
• SolidWorks Workgroup PDM 2014 SP2 - Arbitrary File Write Vulnerability (деталі)
• IBM BPMS 8.0.0.1 Privilege Escalation / Disclosure (деталі)
• Python socket.recvfrom_into() remote buffer overflow exploit (деталі)
• Symantec Endpoint Protection Manager Remote Command Execution Exploit (деталі)