Websecurity - Веб безпека

У лютому, 04.02.2013, вийшов Mozilla Firefox 27. Нова версія браузера вийшла через два місяці після виходу Firefox 26.

Mozilla офіційно випустила реліз веб-браузера Firefox 27, а також мобільну версію Firefox 27 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 28 намічений на 18 березня, а Firefox 29 на 29 квітня.

Також був випущений Seamonkey 2.24 та оновлені гілки із тривалим терміном підтримки Firefox 24.3.0 і Thunderbird 24.3.0.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 27.0 усунуто 13 уразливостей, серед яких 4 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Увидел свет Firefox 27 (деталі)

Виявлена можливість виконання коду в Microsoft Forefront Protection for Exchange.

Уразливі версії: Microsoft Forefront Protection 2010 for Exchange Server.

Виконання коду при розборі листа.

• Microsoft Security Bulletin MS14-008 - Critical Vulnerability in Microsoft Forefront Protection for Exchange Could Allow Remote Code Execution (2927022) (деталі)

Продовжуючи розпочату традицію, після попереднього відео про DoS експлоіт для WordPress, пропоную нове відео на веб секюріті тематику. Цього разу відео про виконання коду в Adobe Flash Player. Рекомендую подивитися всім хто цікавиться цією темою.

CVE-2012-0779 APSB12-09 Adobe Flash Player Vulnerability Metasploit Demo

В даному відео ролику демонструється використання експлоіта для проведення атаки на уразливість в Adobe Flash Player 11.2. Який призводить до віддаленого виконання коду в браузері з Flash плагіном (показано на прикладі браузера IE6) при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в браузері з флеш плагіном спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

30.10.2013

У жовтні, 27.10.2013, я знайшов Cross-Site Scripting та Content Spoofing уразливості на сайті Держмолодьспорту - http://dsmsu.gov.ua. Про що найближчим часом сповіщу адміністрацію сайта.

Стосовно державних сайтів в останнє я писав про уразливості на nrcu.gov.ua та www.bank.gov.ua.

Детальна інформація про уразливості з’явиться пізніше.

14.02.2014

Уразливості в JW Player я описав в попередні роки.

XSS:

http://dsmsu.gov.ua/templates/default/js/jwplayer/player.swf?playerready=alert(document.cookie)
http://dsmsu.gov.ua/templates/default/js/jwplayer/player.swf?displayclick=link&link=data:text/html;base64,PHNjcmlwdD5hbGVydChkb2N1bWVudC5jb29raWUpPC9zY3JpcHQ%2B&file=1.jpg

Та інші XSS уразливості в JW Player.

Content Spoofing:

http://dsmsu.gov.ua/templates/default/js/jwplayer/player.swf?file=1.flv&backcolor=0xFFFFFF&screencolor=0xFFFFFF
http://dsmsu.gov.ua/templates/default/js/jwplayer/player.swf?file=1.flv&image=1.jpg

Та інші CS уразливості в JW Player.

На сайті є й інші дірки, про які я повідомив адмінам та розробникам движка, що розробляли сайт. Дані уразливості досі не виправлені.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.scourt.gov.ua (хакером LOST SOULS) - 04.09.2013 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.vlada-yahotyn.gov.ua (хакерами з Suram-Crew) - 02.01.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://cabel-provod.com (хакером Sejeal) - 08.08.2013, зараз сайт не працює
• http://carsystems.com.ua (хакером fallag tnx hani xavi) - 09.12.2013, зараз сайт вже виправлений адмінами
• http://www.fotki.zp.ua (хакером fallag tnx hani xavi) - 09.12.2013, зараз сайт вже виправлений адмінами

Виявлені численні уразливості безпеки в Mozilla Firefox, Thunderbird, Seamonkey.

Уразливі продукти: Mozilla Firefox 26.0, Firefox ESR 24.2, Thunderbird 24.2, Seamonkey 2.23.

Численні пошкодження пам’яті, міжсайтовий скриптінг, DoS, витік інформації.

• Mozilla Foundation Security Advisory 2014-01 (деталі)
• Mozilla Foundation Security Advisory 2014-02 (деталі)
• Mozilla Foundation Security Advisory 2014-03 (деталі)
• Mozilla Foundation Security Advisory 2014-04 (деталі)
• Mozilla Foundation Security Advisory 2014-05 (деталі)
• Mozilla Foundation Security Advisory 2014-06 (деталі)
• Mozilla Foundation Security Advisory 2014-07 (деталі)
• Mozilla Foundation Security Advisory 2014-08 (деталі)
• Mozilla Foundation Security Advisory 2014-09 (деталі)
• Mozilla Foundation Security Advisory 2014-10 (деталі)
• Mozilla Foundation Security Advisory 2014-11 (деталі)
• Mozilla Foundation Security Advisory 2014-12 (деталі)
• Mozilla Foundation Security Advisory 2014-13 (деталі)
• Mozilla Foundation Security Advisory 2014-14 (деталі)

Сьогодні вийшла нова версія програми DAVOSET v.1.1.7. Це випуск нової надії - New Hope Edition. В новій версії:

• Додав нові сервіси в повний список зомбі.
• Додав підтримку годин в таймері.
• Покращив підтриму плагіна Google Maps 3.

Всього в списку міститься 151 зомбі-сервіс, які готові нанести удар по сайтам злочинного режиму.

DDoS attacks via other sites execution tool (DAVOSET) - це інструмент для використання Abuse of Functionality уразливостей на одних сайтах, для проведення DoS і DDoS атак на інші сайти.

Скачати: DAVOSET_v.1.1.7.rar.

В даній добірці уразливості в веб додатках:

• Zoom X4/X5 ADSL Modem and Router - Unauthenticated Remote Root Command Execution (деталі)
• LiveZilla 5.1.0.0 Reflected XSS in translations (деталі)
• Apache Struts 2.3.15.3 GA release available - security fix (деталі)
• Onpub CMS 1.4 & 1.5 - Multiple SQL Injection Vulnerabilities (деталі)
• RSA SecurID Sensitive Information Disclosure Vulnerability (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Highlight Premium Theme, Make A Statement та Tweet Blender. Для котрих з’явилися експлоіти. Highlight Premium Theme - це тема движка, Make A Statement - це тема движка, Tweet Blender - це плагін для розміщення на сайті повідомлень з Twitter.

• WordPress Highlight Premium Theme CSRF / Shell Upload (деталі)
• WordPress Make A Statement Cross Site Request Forgery (деталі)
• WordPress Tweet Blender 4.0.1 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Нещодавно, 5 і 6 лютого, вийшли PHP 5.4.25 і PHP 5.5.9 відповідно. У версії 5.5.9 виправлено декілька багів, а у версії 5.4.25 виправлено 5 багів. Дані релізи направлені на покращення стабільності гілок 5.4.x і 5.5.x.

Жодних уразливостей в цих версіях PHP виправлено не було.

По матеріалам http://www.php.net.