Websecurity - Веб безпека

24.12.2010

У вересні, 11.09.2010, я знайшов Denial of Service уразливість в Megapolis.Portal Manager. Це комерційна CMS від компанії Cофтлайн. Яку я виявив на сайті www.kvs.gov.ua. Про що найближчим часом повідомлю розробникам.

Також дана уразливість наявна на державних сайтах www.dcz.gov.ua та www.kmu.gov.ua. Інші сайти на даному движку також можуть бути уразливі.

Раніше я вже неодноразово писав про уразливості в Megapolis.Portal Manager, коли розповідав про дірки на державних сайтах, де викорустивується даний движок.

Детальна інформація про уразливість з’явиться пізніше. Спочатку повідомлю розробникам системи.

19.02.2011

DoS:

http://site/path/cewolf?img=1&width=10000&height=10000

Використовуючи великі значення в параметрі width, height або в обох параметрах можна спожити всю пам’ять сервера.

Уразливі всі версії Megapolis.Portal Manager. Cофтлайн, розробник даної CMS, проігнорував дану уразливість (що є дуже несерйозно). Добре, що знайшлися більш серйозні люди в СБУ, що виправили дану уразливість як на сайтах українських спецслужб, так і на деяких державних сайтах. Але все ще є чимало сайтів на Megapolis.Portal Manager, в тому числі gov.ua сайтів, вразливих до DoS атаки.

This entry was posted on 15:07 19.02.2011 and is filed under Уразливості. You can follow any responses to this entry through the RSS 2.0 feed.