Websecurity - Веб безпека

У липні, 14.07.2018, я знайшов Brute Force та Cross-Site Request Forgery уразливості в Huawei EchoLife HG520s. Це ADSL2/2+ шлюз і Wireless Router.

Раніше я писав про уразливості в мережевих пристроях багатьох інших компаній. Зокрема про уразливості в D-Link DIR-100, TP-Link TL-WR941N та ASUS RT-N10.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам пристрою.

У грудні, 17.12.2018, вийшла нова версія програми DAVOSET v.1.3.7. В новій версії:

• Додав verbose режим - для детального виведення процесу роботи.
• Додав SSRF уразливість в Microsoft Forefront Unified Access Gateway 2010.
• Додав нові сервіси в повний список зомбі.
• Змінив налаштування по замовчуванню.
• Прибрав неробочі сервіси з повного списку зомбі.

Всього в списку міститься 205 зомбі-сервісів.

DDoS attacks via other sites execution tool (DAVOSET) - це інструмент для використання Abuse of Functionality та XML External Entities уразливостей на одних сайтах, для проведення DoS і DDoS атак на інші сайти.

Скачати: DAVOSET_v.1.3.7.rar.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://legosha.com.ua - інфекція була виявлена 07.06.2018. Зараз сайт не входить до переліку підозрілих
• http://vedapeople.com.ua - інфекція була виявлена 07.06.2018. Зараз сайт не входить до переліку підозрілих
• http://thetime.net.ua - інфекція була виявлена 11.06.2018. Зараз сайт не входить до переліку підозрілих
• http://eurofood.net.ua - інфекція була виявлена 11.06.2018. Зараз сайт не входить до переліку підозрілих
• http://sashapikula.com - інфекція була виявлена 17.06.2018. Зараз сайт не входить до переліку підозрілих
• http://svitmebliv.cn.ua - інфекція була виявлена 17.06.2018. Зараз сайт не входить до переліку підозрілих
• http://mebel-m.com.ua - інфекція була виявлена 20.08.2018. Зараз сайт не входить до переліку підозрілих
• http://cleanfield.com.ua - інфекція була виявлена 01.09.2018. Зараз сайт не входить до переліку підозрілих
• http://my-webpage.at.ua - інфекція була виявлена 06.09.2018. Зараз сайт не входить до переліку підозрілих
• http://mcpf.com.ua - інфекція була виявлена 24.09.2018. Зараз сайт не входить до переліку підозрілих

Виявлені уразливості безпеки в Apple Safari і Webkit.

Уразливі продукти: Apple Safari 12.

Витік інформації, не видалення історії браузера, підробка адресного рядка.

• APPLE-SA-2018-9-17-4 Safari 12 (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Theme Directory, Link Library, Magic Fields 1 і Magic Fields 2, а також в самому WP. Для котрих з’явилися експлоіти.

• WordPress Theme Directory 2.0.16 Shell Upload (деталі)
• WordPress Link Library 5.9.12.29 Cross Site Scripting (деталі)
• WordPress Magic Fields 2 Cross Site Scripting (деталі)
• WordPress Magic Fields 1 Cross Site Scripting (деталі)
• WordPress 4.5.3 Core Ajax Handlers Path Traversal (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У жовтні, 11.10.2018, вийшли PHP 7.1.23 і PHP 7.2.11. У версії 7.1.23 виправлено багато багів і уразливостей, у версії 7.2.11 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.1.x і 7.2.x.

У PHP 7.1.23 і 7.2.11 виправлено:

• Вибивання.
• Пошкодження пам’яті.
• Уразливості в ядрі та модулях.

По матеріалам http://www.php.net.

В даній добірці експлоіти в веб додатках:

• Sync Breeze Enterprise 9.5.16 - ‘GET’ Remote Buffer Overflow (SEH) (деталі)
• Moxa AWK-3131A 1.4 < 1.7 - 'Username' OS Command Injection (деталі)
• Apache Tomcat 6/7/8/9 - Information Disclosure (деталі)
• Bluecoat ASG 6.6/CAS 1.3 - OS Command Injection (Metasploit) (деталі)
• Broadcom Wi-Fi SoC - TDLS Teardown Request Remote Heap Overflow (деталі)

У листопаді місяці Microsoft випустила нові патчі.

У листопадовому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло багато патчів, але починаючи з квітня 2017 року бюлетені по безпеці не випускаються, тому їх кількість невідома. Компанія вказує лише назви продуктів та номера патчів, а не кількість і деталі бюлетенів (патчів). Вони закривають уразливості в програмних продуктах компанії.

Дані патчі стосуються поточних операційних систем компанії Microsoft - Windows 7, 8.1, RT 8.1, 10 та 2016. А також Microsoft Office, Internet Explorer і Edge, Dynamics 365, Office Web Apps, Team Foundation Server, .NET Core, ASP.NET Core і ChakraCore, Azure App Service on Azure Stack та Exchange Server.

Також Microsoft випустила патч для уразливостей в Adobe Flash Player, що постачається з Windows.

У вересні, 05.09.2018, через півтора місяці після виходу Google Chrome 68, вийшов Google Chrome 69.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Виправлено 40 уразливостей. З яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer і AFL. Що трохи менше ніж в попередній версії.

• Релиз web-браузера Chrome 69 с переработанным интерфейсом пользователя (деталі)

Виявлені уразливості в Microsoft Exchange. Що були виправлені у вівторку патчів у листопаді.

Уразливі продукти: Microsoft Exchange Server 2010 SP3, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019.

Обхід безпеки та підняття привілеїв.