Websecurity - Веб безпека

У січні, 26.01.2021, вийшов Mozilla Firefox 85. Нова версія браузера вийшла майже через місяць після виходу Firefox 84.

Mozilla офіційно випустила реліз веб-браузера Firefox 85, а також мобільну версію Firefox 85 для платформи Android. Відповідно до циклу розробки, Firefox 86 вийде 23 лютого.

В браузері було зроблено багато нововведень. Та зроблені покращення безпеки.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 85.0 усунуто численні уразливості в 13 патчах, що на один менше ніж в попередній версії. Серед яких є одна критична, що може призвести до віддаленого виконання коду зловмисника. Mozilla типово виправляє по декілька дір за один патч.

Виходячи з моїх звітів про веб додатки на інфікованих сайтах в 1 півріччі та веб додатки на інфікованих сайтах в 2 півріччі, я підведу підсумки. Та наведу загальну статистику про веб додатки на інфікованих сайтах в 2020 році.

Як я зазначав в своїх звітах про хакерську активність в Уанеті, в першому півріччі було інфіковано 80 сайтів, а в другому півріччі було інфіковано 70 сайтів. Всього 150 сайтів за 2019 рік. І з них на 80 сайтах вдалося виявити движки.

На перевірених в минулому році сайтах використовуються наступні движки:

Joomla - 22
uCoz - 18
WordPress - 18
Drupal - 7
DataLife Engine - 6
Magento - 3
OpenCart - 2
Bitrix - 1
VaM Shop - 1

Зазначу, що три лідери серед веб додатків у першому й другому півріччі були незмінними. Й відповідно в підсумкових результатах за весь рік.

Тобто майже всі інфіковані сайти, з числа працюючих, використовували опенсорс веб додатки. Більшість з них публічні відкриті CMS, але деякі й комерційні відкриті веб програми.

В даній добірці експлоіти в веб додатках:

• COMMAX Smart Home IoT Control System CDP-1020n - SQL Injection Authentication Bypass (деталі)
• COMMAX Smart Home Ruvie CCTV Bridge DVR Service - RTSP Credentials Disclosure (деталі)
• GeoVision Geowebserver 5.3.3 - Local FIle Inclusion (деталі)
• HP OfficeJet 4630/7110 MYM1FN2025AR/2117A - Stored Cross-Site Scripting (XSS) (деталі)
• ECOA Building Automation System - Hard-coded Credentials SSH Access (деталі)

Вже 23 роки я в Інтернеті - з середини жовтня 1998 року. Ось перелік онлайн загроз з якими я стикався.

Окрім вірусів на сайтах (а раніше на дискетах і дисках), це наступні:

Спам мені шлють з 1998.

Листи з вірусами - з 2000.

Фішинг листи - теж з 2000. Якби мені ці фішери вислали хоча б 10% від тих сум, про які вони пишуть, то я би давно став мультимільярдером .

Тролі атакують своїм хамством з 1998 - в чатах, а коментарях на сайтах і форумах, а потім і в соцмережах.

Уразливі сайти, які хакають і нерідко інфікують. Діряві веб ресурси почав знаходити з 2005.

Тисячі gov.ua сайтів були хакнуті чи інфіковані за 20 років, а також 1488 сайтів навчальних закладів були хакнуті за 16 років. Всього до ста тисяч українських сайтів.

Виявлені численні уразливості безпеки в Mozilla Firefox і Thunderbird.

Уразливі продукти: Mozilla Firefox 81, Firefox ESR 78.3, Thunderbird ESR 78.3.

Пошкодження пам’яті, виконання коду, витік інформації, підробка джерела в prompt.

• MFSA 2020-45 Security Vulnerabilities fixed in Firefox 82 (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах WP Mailster, Smart Marketing SMS And Newsletters Forms, Crowd Ideas, Qiniu Cloudtuchuang, WordApp Mobile. Для котрих з’явилися експлоіти.

• WordPress WP Mailster 1.5.4.0 Cross Site Scripting (деталі)
• WordPress Smart Marketing SMS And Newsletters Forms 1.1.1 XSS (деталі)
• WordPress Crowd Ideas 1.0 Cross Site Scripting (деталі)
• WordPress Qiniu Cloudtuchuang 1.8 Cross Site Scripting (деталі)
• WordPress WordApp Mobile 2.0.3 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У вересні, 23.09.2021, вийшли PHP 7.3.31, PHP 7.4.24 і PHP 8.0.11. У версії 7.3.31 виправлена одна уразливість, у версії 7.4.24 виправлено багато багів і уразливостей, у версії 8.0.11 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.3.x, 7.4.x і 8.0.x.

У PHP 7.3.31, 7.4.24 і 8.0.11 виправлено:

• Обхід директорій при роботі з архівами в Zip.
• Пошкодження пам’яті.
• Вибивання.
• Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.

Виявлені уразливості безпеки в Apple Safari і Webkit.

Уразливі продукти: Apple Safari 14.

Виконання коду, пошкодження пам’яті.

• APPLE-SA-2021-03-08-3 Safari 14.0.3 (деталі)

В своєму звіті Хакерська активність в Уанеті в 1 півріччі 2020 я навів дані про діяльність хакерів в Уанеті за період з 01.01.2020 по 30.06.2020, а в звіті Хакерська активність в Уанеті в 2 півріччі 2020 - дані за період з 01.07.2020 по 31.12.2020.

За весь 2020 рік в Уанеті було проведено 1223 атак на веб сайти - 773 за перше півріччя і 450 за друге. Для порівняння, за весь 2019 рік було зафіксовано всього 1165 атак на веб сайти. І це тільки виявлені мною випадки (і я ще не всі данні обробив), реальна кількість інцидентів може бути значно вищою.

Динаміка зростання хакерської активності за минулий рік: за перше півріччя 2020 активність більша на 5,5% в порівнянні з аналогічним періодом 2019 року, а за друге півріччя 2020 - на 4,5% більша за аналогічний період 2019 року. А в цілому в 2020 році активність зросла на 5% порівняно з 2019 роком - зростання в 1,05 рази.

В 2020 році загалом було атаковано 1223 веб ресурсів (як взломи, так і DDoS атаки), перелік яких ви можете знайти у відповідних звітах за перше і друге півріччя минулого року. Але ще не всі дані обробив. А також були інфіковані 150 сайтів, які вірогідно були похакані в 2020 році.

Головні тенденції 2020 року в діяльності хакерів в Уанеті:

• Хакерська активність зросла - на 5% порівняно з 2019 роком (збільшення динаміки у 1,05 рази).
• Багато сайтів в Уанеті заражуються вірусами: в 2019 я виявив 140 інфікованих сайтів, в 2020 - вже 150 сайтів (збільшення динаміки у 1,07 рази).
• Кількість DDoS атак на сайти така ж як в 2019 році - 1 випадок DDoS атак за рік. Це 0,09% від всіх атак за 2020 рік.
• Атаковано 110 державних сайтів та інфіковано ще 2 gov.ua-сайти.
• Збільшення взломів державних сайтів в 1,1 рази та зменшення інфікування gov.ua-сайтів в 2 рази порівняно з 2019 роком.

Велика кількість заражених сайтів в Уанеті (в тому числі gov.ua-сайтів) свідчить про чималий відсоток кримінальних взломів сайтів.

Підсумовуючи скажу, що активність хакерів в минулому році була високою і вона продовжить такою бути. І в 2021 році ця тенденція збережеться.

Очікуйте на нові звіти про хакерську активність в Уанеті.

У січні, 06.01.2021, вийшов Mozilla Firefox 84.0.2. Нова версія браузера вийшла через пів місяця після виходу Firefox 84.

Це секюріті випуск, де виправлена уразливість CVE-2020-16044: Use-after-free write when handling a malicious COOKIE-ECHO SCTP chunk.

• MFSA 2021-01 Security Vulnerabilities fixed in Firefox 84.0.2, Firefox for Android 84.1.3, and Firefox ESR 78.6.1 (деталі)