Websecurity - Веб безпека

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Miniaudioplayer, Social Hashtag та Semper Fi. Для котрих з’явилися експлоіти. Miniaudioplayer - це аудіо плеєр, Social Hashtag - це плагін для поширення постів в соціальних мережах, Semper Fi - це тема движка.

• WordPress Miniaudioplayer Cross Site Scripting (деталі)
• WordPress Social Hashtag 2.0.0 Cross Site Scripting (деталі)
• WordPress Semper Fi Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Виявлені численні уразливості безпеки в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 6, 7, 8, 9, 10, 11 під Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7, Windows 8, Windows 2012 Server, Windows 8.1.

Численні витоки інформації та пошкодження пам’яті.

• Microsoft Security Bulletin MS13-088 - Critical Cumulative Security Update for Internet Explorer (2888505) (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.upszn-sumy.gov.ua (хакером HighTech) - 31.07.2013 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://ecology.ks.ua (хакером R4ym0nd) - похаканий державний сайт, форум досі не виправлений
• http://infobiz1.com.ua (хакером GUDENDEDE) - 13.11.2013, зараз сайт вже виправлений адмінами
• http://evrobud.kiev.ua (хакерами з Kurdistan Hackers Team)
• http://blog.abadev.com (хакером Erreur 404) - 10.2013, зараз сайт вже виправлений адмінами

В даній добірці експлоіти в веб додатках:

• Apache Tomcat 5.5.25 CSRF Vulnerabilities (деталі)
• HOTBOX 2.1.11 CSRF / Traversal / Denial Of Service (деталі)
• SikaBoom - Remote Buffer Overflow Vulnerability (деталі)
• D-Link DIR-605L Captcha Handling Buffer Overflow Vulnerability (деталі)
• Interactive Graphical SCADA System Remote Command Injection (деталі)

В жовтні, 24.10.2013, вийшла нова версія WordPress 3.7.

WordPress 3.7 це перший випуск нової 3.7 серії. В ній додано чимало покращень порівняно з попередніми версіями движка, а також виправлено чимало багів.

Серед головних покращень зокрема можна відзначити автоматичні оновлення, рекомендації сильних паролів та кращу глобальну підтримку (що виражена в більш швидкій і більш повній розробці перекладів WP на різні мови).

Окрім покращень для користувачів також були зроблені численні покращення для розробників. Деякі з покращень стосуються безпеки.

Зокрема автоматичний апдейт передбачає відсутність потреби користувачу ініціювати оновлення движка - цей процес повністю автоматизований. З однієї сторони це дозволить встановлювати на сайти з WP виправлення безпеки автоматично, а з іншої сторони, якщо взломають сервера WordPress (що вже декілька разів мало місце), то в код движка можна буде включити бекдор чи шкідливий код і він буде поширений на всіх нових версіях WP автоматизованим чином. А новий індикатор стійкості паролів більш точно оцінює їх надійність (враховуючи різні поширені приклади паролів).

Виявлені численні уразливості безпеки в Mozilla Firefox, Thunderbird і Seamonkey.

Уразливі продукти: Mozilla Firefox 24, Firefox ESR 24, Thunderbird 24, Seamonkey 2.21.

Численні пошкодження пам’яті, підміна адресного рядка, обхід захисту.

• Mozilla Foundation Security Advisory 2013-93 (деталі)
• Mozilla Foundation Security Advisory 2013-94 (деталі)
• Mozilla Foundation Security Advisory 2013-95 (деталі)
• Mozilla Foundation Security Advisory 2013-96 (деталі)
• Mozilla Foundation Security Advisory 2013-97 (деталі)
• Mozilla Foundation Security Advisory 2013-98 (деталі)
• Mozilla Foundation Security Advisory 2013-99 (деталі)
• Mozilla Foundation Security Advisory 2013-100 (деталі)
• Mozilla Foundation Security Advisory 2013-101 (деталі)
• Mozilla Foundation Security Advisory 2013-102 (деталі)

В даній добірці уразливості в веб додатках:

• Null Pointer Derefence in Dart Webserver <= 1.9.2 (деталі)
• GroupLink everything HelpDesk - undocumented password reset/admin takeover and XSS vulnerabilities (деталі)
• Sql Injection in “2easy Web Applications” (деталі)
• VoltEdit CMS SQL Injection Admin Login Bypass & Shell Upload Vulnerability (деталі)
• XAMPP 1.8.1 Local Write Access Vulnerability (деталі)

23.10.2013

Виявлений витік інформації в Microsoft Silverlight.

Уразливі версії: Silverlight 5.

Витік вмісту пам’яті.

• Microsoft Security Bulletin MS13-087 - Important Vulnerability in Silverlight Could Allow Information Disclosure (2890788) (деталі)

12.11.2013

Додаткова інформація.

• Microsoft Silverlight Invalid Typecast / Memory Disclosure (деталі)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://microscope.com.ua - інфекція була виявлена 05.11.2013. Зараз сайт входить до переліку підозрілих.
• http://edelweiss.at.ua - інфекція була виявлена 25.10.2013. Зараз сайт не входить до переліку підозрілих.
• http://sparta1.com - інфекція була виявлена 01.11.2013. Зараз сайт входить до переліку підозрілих.
• http://k-z.com.ua - інфекція була виявлена 21.10.2013. Зараз сайт не входить до переліку підозрілих.
• http://buyincoins.co.ua - інфекція була виявлена 14.10.2013. Зараз сайт не входить до переліку підозрілих.

У жовтні я дав інтерв’ю порталу IzRus. І 25.10.2013 була опублікована стаття, в якій також розповідається і про мене.

Існує думка, що українські хакери найкращі у світі та навіть, на думку деяких компаній, стали однією з найбільших загроз в Інтернеті. Свої думки з цього приводу я висловив виданню IzRus.

Стаття називається “Украинские хакеры ломают Израиль: правда или вымысел?”. В ній розповідається про українських хакерів (whitehat і blackhat хакерів), про їхню діяльність в світі та зокрема на ближньому сході.

Так що кому буде цікаво прочитати інформацію про українскьих хакерів, як тим хто вже читав попередні інтерв’ю зі мною в журналі “Власть денег” на інших журналах , так і всім іншим, можете прочитати статтю на сайті видання.

Стаття була розміщена 25 жовтня на сайті IzRus - Украинские хакеры “ломают” Израиль: правда или вымысел?.