Websecurity - Веб безпека

У серпні, 01.08.2019, вийшли PHP 7.1.31, PHP 7.2.21 і PHP 7.3.8. У версії 7.1.31 виправлено чотири уразливості, у версії 7.2.21 виправлено багато багів і уразливостей, у версії 7.3.8 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.1.x, 7.2.x і 7.3.x.

У PHP 7.1.31, 7.2.21 і 7.3.8 виправлено:

• Вибивання.
• Пошкодження пам’яті.
• Переповнення буферу.
• Уразливості в ядрі та модулях.

По матеріалам http://www.php.net.

В даній добірці експлоіти в веб додатках:

• Oracle Application Testing Suite - WebLogic Server Administration Console War Deployment (Metasploit) (деталі)
• Exim 4.87 < 4.91 - (Local / Remote) Command Execution (деталі)
• Webmin 1.910 - ‘Package Updates’ Remote Command Execution (Metasploit) (деталі)
• SuperDoctor5 - ‘NRPE’ Remote Code Execution (деталі)
• SAPIDO RB-1732 - Remote Command Execution (деталі)

У липні, 31.07.2019, через півтора місяці після виходу Google Chrome 75, вийшов Google Chrome 76.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Виправлено 43 уразливості. З яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer і AFL. Це більше ніж в попередній версії.

• Релиз Chrome 76 (деталі)

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, зокрема про DoS і DDoS атаки (статті з Вікіпедії):

• Great Cannon
• Xor DDoS
• Zemra
• Zombie (computing)
• Botnet

У липні, 04.07.2019, вийшли PHP 7.2.20 і PHP 7.3.7. У версії 7.2.20 виправлено багато багів і декілька уразливостей, у версії 7.3.7 виправлено багато багів і декілька уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.2.x і 7.3.x.

У PHP 7.2.20 і 7.3.7 виправлено:

• Вибивання.
• Пошкодження пам’яті.
• Уразливості в ядрі та модулях.

По матеріалам http://www.php.net.

В своєму звіті Хакерська активність в Уанеті в 1 півріччі 2018 я навів дані про діяльність хакерів в Уанеті за період з 01.01.2018 по 30.06.2018, а в звіті Хакерська активність в Уанеті в 2 півріччі 2018 - дані за період з 01.07.2018 по 31.12.2018.

За весь 2018 рік в Уанеті було проведено 1165 атак на веб сайти - 760 за перше півріччя і 405 за друге. Для порівняння, за весь 2017 рік було зафіксовано всього 827 атаки на веб сайти. І це тільки виявлені мною випадки (і я ще не всі данні обробив), реальна кількість інцидентів може бути значно вищою.

Динаміка зростання хакерської активності за минулий рік: за перше півріччя 2018 активність більша на 46,1% в порівнянні з аналогічним періодом 2017 року, а за друге півріччя 2018 - на 31,9% більша за аналогічний період 2017 року. А в цілому в 2018 році активність зросла на 40,87% порівняно з 2017 роком - зростання в 1,41 рази.

В 2018 році загалом було атаковано 1165 веб ресурсів (як взломи, так і DDoS атаки), перелік яких ви можете знайти у відповідних звітах за перше і друге півріччя минулого року. Але ще не всі дані обробив. А також були інфіковані 130 сайтів, які вірогідно були похакані в 2018 році.

Головні тенденції 2018 року в діяльності хакерів в Уанеті:

• Хакерська активність зросла - на 40,87% порівняно з 2017 роком (збільшення динаміки у 1,41 рази).
• Багато сайтів в Уанеті заражуються вірусами: в 2017 я виявив 145 інфікованих сайтів, в 2018 - вже 130 сайтів (зменшення динаміки у 1,11 рази).
• Кількість DDoS атак на сайти менша ніж в 2017 році - 1 випадок DDoS атак за рік (зменшення у 14 разів). Це 0,09% від всіх атак за 2018 рік.
• Атаковано 54 державних сайтів та інфіковано ще 1 gov.ua-сайт.
• Зменшення взломів державних сайтів в 2 разів та зменшення інфікування gov.ua-сайтів в 3 рази порівняно з 2017 роком. Зменшення кількості DDoS-атак на gov.ua-сайти до нуля.

Велика кількість заражених сайтів в Уанеті (в тому числі gov.ua-сайтів) свідчить про чималий відсоток кримінальних взломів сайтів.

Підсумовуючи скажу, що активність хакерів в минулому році була високою і вона продовжить такою бути. І в 2019 році ця тенденція збережеться.

Очікуйте на нові звіти про хакерську активність в Уанеті.

Виявлені уразливості безпеки в Apple Safari і Webkit.

Уразливі продукти: Apple Safari 12.

Пошкодження пам’яті, виконання коду, підробка адресного рядка, міжсайтовий скриптінг.

• APPLE-SA-2019-7-22-3 Safari 12.1.2 (деталі)

У червні, 18.06.2019, вийшов Mozilla Firefox 67.0.3. А вже 20.06.2019 вийшов Mozilla Firefox 67.0.4. Нові версії браузера вийшли через місяць після виходу Firefox 67.

Це секюріті випуски, в яких виправлені уразливості CVE-2019-11707: Type confusion in Array.pop та CVE-2019-11708: sandbox escape using Prompt:Open.

• MFSA 2019-18 Security vulnerabilities fixed in Firefox 67.0.3 and Firefox ESR 60.7.1 (деталі)
• MFSA 2019-19 Security vulnerabilities fixed in Firefox 67.0.4 and Firefox ESR 60.7.2 (деталі)

В даній добірці експлоіти в веб додатках:

• PostgreSQL 9.3 - COPY FROM PROGRAM Command Execution (Metasploit) (деталі)
• Oracle Weblogic Server - ‘AsyncResponseService’ Deserialization Remote Code Execution (Metasploit) (деталі)
• Petraware pTransformer ADC < 2.1.7.22827 - Login Bypass (деталі)
• Cisco RV130W 1.0.3.44 - Remote Stack Overflow (деталі)
• NUUO NVRMini 2 3.9.1 - ’sscanf’ Stack Overflow (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Stop User Enumeration, Support Plus Responsive Ticket System, WooCommerce Direct Download, Google Forms, FormBuilder. Для котрих з’явилися експлоіти.

• WordPress Stop User Enumeration 1.3.4 User Enumeration (деталі)
• WordPress WP Support Plus Responsive Ticket System 7.1.3 Privilege Escalation (деталі)
• WordPress WooCommerce Direct Download Local File Inclusion (деталі)
• WordPress Google Forms 0.87 PHP Object Injection (деталі)
• WordPress FormBuilder 1.05 Cross Site Request Forgery (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.