Websecurity - Веб безпека

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в темах Salutation Responsive, GamePlan Event And Gym Fitness і в плагінах Easy Modal, Podlove Podcast Publisher, PressForward. Для котрих з’явилися експлоіти.

• Salutation Responsive 3.0.15 Cross Site Scripting (деталі)
• WordPress GamePlan Event And Gym Fitness Theme 1.5.13.2 Cross Site Scripting (деталі)
• WordPress Easy Modal 2.0.17 SQL Injection (деталі)
• WordPress Podlove Podcast Publisher 2.5.3 SQL Injection (деталі)
• WordPress PressForward 4.3.0 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У листопаді, 26.11.2020, вийшли PHP 7.3.25 і PHP 7.4.13. У версії 7.3.25 виправлено багато багів і уразливостей, у версії 7.4.13 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.3.x і 7.4.x.

У PHP 7.3.25 і 7.4.13 виправлено:

• Витік інформації.
• Пошкодження пам’яті.
• Вибивання.
• Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.

Як я наголошую з минулого року, 970 сайтів навчальних закладів були хакнуті за 15 років (до минулого літа). Щодня атакують не лише державні сайти, але й приватні, навчальні, банки та e-commerce. За останній рік додалося ще 518 сайтів, тобто вже хакнули 1488 сайтів навчальних закладів України.

Щомісяця публікую скріншот зі зламаними навчальними сайтами. На скріншоті в жовтні навів 1488 сайтів. Це лише ті сайти, що мають домени в зоні edu.ua та лише дефейси, що потрапили в цей архів - інші взломи тут не показані. Тому всього їх може бути в рази більше.

І при такому низькому рівні безпеки - я знаходив дірки на сайтах КПІ та свого університету ще в 2005 - торік влада перевела роботу навчальних закладів в онлайн. Через карантин, але без належної безпеки онлайн ресурсів. У своїх дослідженнях безпеки українських сайтів я знаходив щороку тисячі хакнутих та інфікованих сайтів, серед яких не лише gov.ua ресурси, але також різні освітні сайти.

Тисячі gov.ua сайтів були хакнуті чи інфіковані за 20 років. Але жоден випадок досі не розслідували і жодного чиновника не притягнули до відповідальності за це.

За цей час я писав про взлом сайту ГУР МО, Медіа РНБО, сайтів міністерств та сотень інших державних сайтів. Всі дані про атаки на українські державні сайти з 2001 року в моїх дослідженнях Уанету і про атаки та інфікування приватних сайтів з 2006 року.

У листопаді, 18.11.2020, через півтора місяці після виходу Google Chrome 86, вийшов Google Chrome 87.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Виправлено 33 уразливості. З яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer і AFL. Це менше ніж в попередній версії.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://myhsilrada.gov.ua (хакером Mamad Warning) - 04.02.2020 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://myhsilrada-otg.gov.ua (хакером Mamad Warning) - 04.02.2020 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://ns-plus.com.ua (хакером Black Kingdom) - 21.01.2020 - зараз сайт вже виправлений адмінами
• http://device.ck.ua (хакером Black kingdom) - 21.01.2020 - зараз сайт вже виправлений адмінами
• http://uk.energobank.com.ua (хакером Bax 026 Of Iran) - 04.02.2020 - зараз сайт вже виправлений адмінами

В даній добірці експлоіти в веб додатках:

• TP-Link WDR4300 - Remote Code Execution (Authenticated) (деталі)
• Cisco 7937G - DoS/Privilege Escalation (деталі)
• Aerospike Database 5.1.0.3 - OS Command Execution (деталі)
• Apache Struts 2.5.20 - Double OGNL evaluation (деталі)
• ZeroLogon - Netlogon Elevation of Privilege (деталі)

У червні, 30.06.2020, вийшов Mozilla Firefox 78. Нова версія браузера вийшла майже через місяць після виходу Firefox 77.

Mozilla офіційно випустила реліз веб-браузера Firefox 78, а також мобільну версію Firefox 78 для платформи Android. Відповідно до шеститижневого циклу розробки, Firefox 79 вийде 28 липня.

В браузері було зроблено багато нововведень. Та зроблені покращення безпеки.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 78.0 усунуто численні уразливості в 13 патчах, що більше ніж в попередній версії. Серед яких немає критичних, але сім уразливостей позначені як високого ризику, що потенційно можуть призвести до віддаленого виконання коду зловмисника. Mozilla типово виправляє по декілька дір за один патч.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://avtoshoolvsa.zt.ua - інфекція була виявлена 17.08.2020. Зараз сайт не входить до переліку підозрілих
• http://delfa-test.mk.ua - інфекція була виявлена 21.10.2020. Зараз сайт не входить до переліку підозрілих
• http://sodeistvie-pmr.com - інфекція була виявлена 22.10.2020. Зараз сайт не входить до переліку підозрілих
• http://smart-fun.com.ua - інфекція була виявлена 28.10.2020. Зараз сайт не входить до переліку підозрілих
• http://ecobond.ua - інфекція була виявлена 28.10.2020. Зараз сайт не входить до переліку підозрілих

Виявлені уразливості безпеки в Microsoft Internet Explorer і Microsoft Edge. Що були виправлені у вівторку патчів.

Уразливі продукти: Microsoft Internet Explorer 9, 10, 11 та Edge під Windows Server 2008, Windows 7, Windows Server 2012, Windows 8.1, Windows 10, Windows Server 2016.

Пошкодження пам’яті та виконання коду.

Вітаю вас з Новим роком!

З нагоди Нового року, Різдва Христового та інших свят пропоную вам подивитися мої святкові листівки на флеші. На українській мові, російській мові та англійські мові.

Також подивіться мої подарунки на Facebook.

Бажаю вам всього найкращого .