Websecurity - Веб безпека

В даній добірці експлоіти в веб додатках:

• Zyxel P-660HW-T1 v3 Wireless Router - CSRF Vulnerability (деталі)
• IPSwitch IMail Server WEB client 12.4 persistent XSS (деталі)
• Sagem 2604 Password Disclosure Vulnerability (деталі)
• Unitrends Enterprise Backup 7.3.0 - Unauthenticated Root RCE (деталі)
• MS14-012 Microsoft Internet Explorer CMarkup Use-After-Free (деталі)

Продовжуючи розпочату традицію, після попереднього відео про виконання коду в Adobe Flash, пропоную нове відео на веб секюріті тематику. Цього разу відео про CSRF уразливість на сайті ПриватБанка. Рекомендую подивитися всім хто цікавиться цією темою.

У відео ролику Cross-Site Request Forgery vulnerability at skype.privatbank.ua демонструється CSRF уразливість на сайті skype.privatbank.ua.

Про численні уразливості на даному сайті я повідомив ПриватБанк в березні та квітні й вони були переважно виправлені. Лише виникла проблема з виправленням цієї CSRF, тому я зробив для них відео.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://ferzypsy.in.ua - інфекція була виявлена 21.06.2014. Зараз сайт входить до переліку підозрілих.
• http://meteoprog.com.ua - інфекція була виявлена 22.07.2014. Зараз сайт не входить до переліку підозрілих.
• http://1582.com.ua - інфекція була виявлена 22.07.2014. Зараз сайт не входить до переліку підозрілих.
• http://proternopil.te.ua - інфекція була виявлена 07.06.2014. Зараз сайт не входить до переліку підозрілих.
• http://business-info.com.ua - інфекція була виявлена 02.06.2014. Зараз сайт не входить до переліку підозрілих.

Виявлені уразливості безпеки в Python.

Уразливі версії: Python 2.7, Python 3.4.

Доступ до файлів і виконання коду в CGIHTTPServer, витік інформації в _json, цілочисленне переповнення в lz4.

• Vulnerability in python-lz4 (деталі)
• python: _json module is vulnerable to arbitrary process memory read (деталі)
• Python CGIHTTPServer File Disclosure (деталі)

В даній добірці уразливості в веб додатках:

• Aastra IP Telephone hardcoded telnet admin password (деталі)
• Multiple reflected XSS vulnerabilities in Atmail WebMail (деталі)
• Remote Code Execution in Projoom NovaSFH Plugin (деталі)
• AlienVault OSSIM SQL Injection vulnerability (деталі)
• Low severity flaw in RIM BlackBerry PlayBook OS browser (деталі)

08.05.2014

У квітні, 24.04.2014, я виявив Cross-Site Scripting, Full path disclosure та OS Commanding уразливості в плагіні DZS Video Gallery для WordPress. Про що найближчим часом повідомлю розробникам веб додатку.

Стосовно плагінів для WordPress раніше я писав про уразливості в Js-Multi-Hotel для WordPress.

Детальна інформація про уразливості з’явиться пізніше.

12.07.2014

Cross-Site Scripting (WASC-08):

http://site/wp-content/plugins/dzs-videogallery/deploy/designer/preview.php?swfloc=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E
http://site/wp-content/plugins/dzs-videogallery/deploy/designer/preview.php?designrand=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

Full path disclosure (WASC-13):

http://site/wp-content/plugins/dzs-videogallery/videogallery.php
http://site/wp-content/plugins/dzs-videogallery/admin/sliderexport.php

Уразливості в php-скриптах або в error_log у всіх папках плагіна. Різні файли в різних версіях плагіна.

OS Commanding (WASC-31):

http://site/wp-content/plugins/dzs-videogallery/img.php?webshot=1&src=http://site/1.jpg$(os-cmd)

RCE використовуючи метод Pichaya Morimoto.

Вразливі все версії DZS Video Gallery для WordPress.

Продовжуючи розпочату традицію, після попереднього відео про виконання коду в Mozilla Firefox, пропоную нове відео на веб секюріті тематику. Цього разу відео про виконання коду в Adobe Flash. Рекомендую подивитися всім хто цікавиться цією темою.

metasploit adobe flash filters type confusion (cve-2013-5331)

В даному відео ролику демонструється використання експлоіта для проведення атаки на уразливість в Adobe Flash Player 11.9.900.152. Ця уразливість призводить до віддаленого виконання коду в браузері з Flash плагіном (показано на прикладі Internet Explorer під Windows 7) при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в браузері з флеш плагіном спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на веб браузери.

Виявлена можливість підвищення привілеїв в IBM DB2.

Уразливі версії: IBM DB2 9.5, DB2 9.7, DB2 9.8, DB2 10.1, DB2 10.5.

Небезпечне завантаження динамічних бібліотек.

• SetUID/SetGID Programs Allow Privilege Escalation Via Insecure RPATH In IBM DB2 (деталі)

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, зокрема про DoS і DDoS атаки (статті з Вікіпедії):

• Denial of Service та Distributed Denial of Service
• Application layer DDoS attack
• Billion laughs (XML bomb, Exponential Entity Expansion attack)
• Broadcast radiation
• Distributed denial of service attacks on root nameservers

Виявлені численні уразливості безпеки в продуктах Oracle, Sun, MySQL і PeopleSoft.

Уразливі продукти: Oracle 11g, Oracle 12c, MySQL 5.5 і 5.6, Oracle Java SE 5, 6, 7 і 8, OpenJDK 7, Solaris 11.1, WebLogic Server 12.1, E-Business Suite 12i, JRockit 28.2, WebCenter Portal 11.1 та інші продукти Oracle.

104 уразливості у різних додатках виправлено в щоквартальному оновленні.

• Oracle Critical Patch Update Advisory - April 2014 (деталі)