Websecurity - Веб безпека

20.09.2013

У вересні, 12.09.2013, я знайшов Arbitrary File Uploading та Information Leakage уразливості в Uploadify. Про що найближчим часом повідомлю розробникам веб додатку.

Раніше я вже писав про уразливості в Uploadify.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам.

24.10.2013

Arbitrary File Uploading (WASC-31):

Code Execution атака через AFU. Для виконання коду можна використати “;” в імені файла (1.asp;.jpg) на IIS або використати подвійні розширення (1.php.jpg) на Apache.

Information Leakage (WASC-13):

Перевірка наявності довільного файла на сервері.

Uploadify IL.html

Уразливі Uploadify v3.2.1 та попередні версії.

У цьому році, з 28.02.2013 по 12.08.2013, відбувся другий масовий взлом сайтів на сервері Hetzner. Нещодавно я вже розповідав про інші масові взломи.

Був взломаний сервер німецької компанії Hetzner, на якому хостилися українські та російські сайти. Взлом складався з декількох дефейсів сайтів. Раніше я писав про масовий взлом сайтів на сервері Hetzner Online.

Всього було взломано 46 сайтів на сервері компанії Hetzner (IP 5.9.146.42). Це наступні сайти: ooo-amd.com, archivzp.gov.ua, traveldyvosvit.com.ua, domik.in, entry.in.ua, www.shark.in.ua, cheeez.com.ua, araks-service.com.ua, apartmentservice.com.ua, hotstars.worldinterest.ru, gifs.worldinterest.ru, www.teatr-teremok.com.ua, avtoadvokat.zp.ua, 7744992.ru, admokulovka.ru, ale-ksander.ru, barvashov.ru, bdk.liastudio.ru, bordekor.ru, borgarant.ru, borovichi-beton.ru, borzabor.liastudio.ru, cso-borovichi.ru, culture-kulotino.ru, di-zhelezkovo.ru, domzakaz.su, eco-gorod.ru, evak-econom.ru, evak-ekonom.ru, fotosuv.ru, geoti.ru, gidromechanic.ru, jeans-borovichi.ru, laguna.borovichi.ru, luzh1n.ru, luzh1n31.hosting-test.org.ua, nov-business.ru, okulovkaadm.ru, pmmebel.ru, podarki53.ru, sev-company.ru, skazka-53.ru, su53.ru, zodchestvo53.ru, www.beldomokomplekt.ru, odikalone.com.ua. Серед них український державний сайт archivzp.gov.ua. Це черговий державний сайт, що хоститься закордоном.

Якщо невеликі дефейси по одному або кілька сайтів явно були зроблені при взломах окремих сайтів, то стосовно дефейсу sahrawihacker можна сказати, що враховуючи дефейс великої кількості сайтів за один день, немає сумнівів, що вони були взломані через взлом серверу хостінг провайдера. Коли через взлом одного сайта, був отриманий root доступ до сервера (через уразливості в програмному забезпеченні самого сервера) та атаковані інші сайти на даному сервері.

Нещодавно, 16 і 17 жовтня, вийшли PHP 5.4.21 і PHP 5.5.5. У версії 5.5.5 виправлено біля 20 багів, а у версії 5.4.21 виправлено біля 10 багів. Дані релізи направлені на покращення стабільності гілок 5.4.x і 5.5.x.

Жодних уразливостей в цих версіях PHP виправлено не було.

По матеріалам http://www.php.net.

В даній добірці експлоіти в веб додатках:

• Imperva SecureSphere Web Application Firewall MX Blind SQL Injection (деталі)
• Astium Remote Code Execution Vulnerability (деталі)
• freeFTPd PASS Command Buffer Overflow (деталі)
• Firefox For Android Same-Origin Bypass (деталі)
• AVTECH DVR Firmware 1017-1003-1009-1003 - Multiple Vulnerabilities (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Complete Gallery Manager, Comment Attachment та Cart66. Для котрих з’явилися експлоіти. Complete Gallery Manager - це плагін для створення галерей зображень, Comment Attachment - це плагін для додавання вкладень до коментарів, Cart66 - це плагін для створення онлайн-магазину.

• WordPress Complete Gallery Manager 3.3.3 File Upload (деталі)
• WordPress Comment Attachment 1.0 Cross Site Scripting (деталі)
• Wordpress Cart66 Plugin 1.5.1.14 Multiple Vulnerabilities (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Виявлені численні уразливості безпеки в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 6, 7, 8, 9, 10, 11 під Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7, Windows 8, Windows 2012 Server.

Численні пошкодження пам’яті.

• Microsoft Security Bulletin MS13-080 - Critical Cumulative Security Update for Internet Explorer (2879017) (деталі)

В даній добірці уразливості в веб додатках:

• Alt-N MDaemon’s WorldClient Disclosure of Authentication Credentials Vulnerability (деталі)
• Joomseller “Events Booking Pro” and “JSE Event” reflected XSS (деталі)
• Alt-N MDaemon’s WebAdmin Remote Code Execution Vulnerability (деталі)
• Multiple Vulnerabilities in BigTree CMS (деталі)
• Alt-N MDaemon’s WorldClient Username Enumeration Vulnerability (деталі)
• Apache CloudStack Cross-site scripting (XSS) vulnerability (деталі)
• EMC Smarts Network Configuration Manager - RCE Vulnerability (деталі)
• Trustport Webfilter Remote File Access Vulnerability (деталі)
• EMC Smarts Product - Cross Site Scripting Vulnerability (деталі)
• PHPFox v3.6.0 (build3) Multiple SQL Injection vulnerabilities (деталі)

Продовжую розповідати вам про редиректори на популярних сайтах. Редиректори - це окремий різновид уразливостей в веб додатках, котрий відноситься до класу Abuse of Functionality. Дані уразливості можуть використовуватися зловмисниками для переадресації на небезпечні та фішинг сайти.

До наведених в попередньому записі, приведу ще декілька прикладів редиректорів на популярних веб сайтах.

Редиректори на популярних сайтах:

Liveinternet.ru (до раніше згаданих редиректорів на Liveinternet.ru):

http://liveinternet.ru/click?websecurity.com.ua

http://li.ru/click?websecurity.com.ua

Odnoklassniki.ru:

Редиректор на Однокласніках

Продовжуючи розпочату традицію, після попереднього відео про виконання коду в Internet Explorer, пропоную нове відео на веб секюріті тематику. Цього разу відео про виконання коду в Adobe Flash Player. Рекомендую подивитися всім хто цікавиться цією темою.

Adobe Flash CVE-2013-0634 Exploitation Demo

В даному відео ролику демонструється використання експлоіта для проведення атаки на уразливість в Adobe Flash Player 11.5. Який призводить до віддаленого виконання коду в браузері з Flash плагіном (показано на прикладі браузера IE9) при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в браузері з флеш плагіном спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://newsru.com.ua - інфекція була виявлена 21.10.2013. Зараз сайт входить до переліку підозрілих.
• http://newsru.ua - інфекція була виявлена 21.10.2013. Зараз сайт не входить до переліку підозрілих.
• http://emoney-expert.com - інфекція була виявлена 16.10.2013. Зараз сайт не входить до переліку підозрілих.
• http://weblog.com.ua - інфекція була виявлена 21.10.2013. Зараз сайт не входить до переліку підозрілих.
• http://ukr.net - інфекція була виявлена 21.10.2013. Зараз сайт не входить до переліку підозрілих.