Websecurity - Веб безпека

В даній добірці уразливості в веб додатках:

• HP Network Node Manager i (NNMi) for HP-UX, Linux, Solaris, and Windows, Remote Disclosure of Information (деталі)
• Kohana Framework v2.3.3 - Directory Traversal Vulnerability (деталі)
• HP SiteScope SOAP Security Issues, Remote Disclosure of Information, Remote Code Execution (деталі)
• DataLife Engine 9.7 (preview.php) PHP Code Injection Vulnerability (деталі)
• GTA UTM Firewall GB 6.0.3 - Multiple Web Vulnerabilities (деталі)
• XSS in Elgg 1.8.12, 1.7.16 (core module “Twitter widget”) (деталі)
• GTA UTM Firewall GB 6.0.3 - Multiple Web Vulnerabilities (деталі)
• rails security update (деталі)
• Hard-coded credentials and command-injection vulnerabilities on BigPond 3G21WB (деталі)
• nagios3 security update (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Developer Formatter, Advanced Custom Fields та Valums Uploader. Для котрих з’явилися експлоіти. Developer Formatter - це плагін для форматування тексту вихідних кодів, Advanced Custom Fields - це плагін для додання додаткових полів, Valums Uploader - це плагін для завантаження файлів.

• Wordpress Developer Formatter CSRF Vulnerability (деталі)
• WordPress Advanced Custom Fields Remote File Inclusion (деталі)
• WordPress Valums Uploader Shell Upload (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Продовжуючи розпочату традицію, після попереднього відео про три генерації DoS атак, пропоную нове відео на веб секюріті тематику. Цього разу відео про викрадення рухів курсору в IE. Рекомендую подивитися всім хто цікавиться цією темою.

IE Cursor Exploit Demo

Наприкінці минулого року була оприлюднена уразливість в Internet Explorer, що призводить до витоку інформації про рухи курсору. Коли веб сторінка в браузері IE може відстежити будь-які переміщення мишею, навіть не пов’язані з нею (навіть в інших програмах запущених користувачем - на рівні ОС). І дане відео демонструє цей процес.

Атака відбувається при відвідуванні в IE спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

В даній добірці експлоіти в веб додатках:

• Java Applet JMX Remote Code Execution Vulnerability (деталі)
• Microsoft Lync 2012 Code Execution Vulnerability (деталі)
• Nagios history.cgi Remote Command Execution Vulnerability (деталі)
• Jenkins CI Script Console Command Execution MSF Module Vulnerability (деталі)
• FreeBSD 9.1 ftpd Remote Denial of Service (деталі)

Рік тому, Trustwave’s SpiderLabs опублікували численні уразливості в WordPress (що вони виявили наприкінці 2011 року). Я дещо відклав публікацію цих уразливостей, тому роблю це лише зараз. Вирішив детальніше з ними розібратися, бо з опису вони виглядають такими, що важко експлуатуються. І після повідомлення розробникам WP (та подальшого оприлюднення уразливостей), вони відмовилися їх виправляти саме з цієї причини.

В WordPress були виявлені PHP Code Execution, Cross Site Scripting (persistent і reflected) та Brute Force (логінів і паролів MySQL) уразливості. Причому через останню уразливість можна проводити підбор логінів і паролів MySQL Server як на локальному хості, так і зовнішніх хостах.

Раніше я вже писав про XSS уразливість в swfupload в WordPress.

CE / XSS / BF:

Уразливості наявні в setup-config.php. Особливістю атак на них є невелике “вікно атаки” - ці уразливості використати лише коли не встановлений движок на сайті. Тобто коли файли WP були розміщені на сайті, але движок ще не встигли встановити (зазвичай це дуже невеликий проміжок часу, бо движок інсталюють оперативно, тому нападникам важко буде підібрати вдалий час для проведення атаки).

Також я вважаю, що іншими умовами для проведення цих атак може бути використання відповідних уразливостей в WordPress, про які я писав раніше. Коли видалити файл wp-config.php через Arbitrary File Deletion дірку в WP.

• Multiple Vulnerabilities in WordPress (деталі)

Уразливі WordPress 3.3.1 та попередні версії.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://eco-farm.com.ua - інфекція була виявлена 03.01.2013. Зараз сайт входить до переліку підозрілих.
• http://meta.ua - інфекція була виявлена 04.02.2013. Зараз сайт не входить до переліку підозрілих.
• http://dp.biz.ua - інфекція була виявлена 03.01.2013. Зараз сайт входить до переліку підозрілих.
• http://tyachiv.org - інфекція була виявлена 11.01.2013. Зараз сайт не входить до переліку підозрілих.
• http://www.tourism.tyachiv.org - інфекція була виявлена 11.01.2013. Зараз сайт входить до переліку підозрілих.
• http://mts.com.ua - інфекція була виявлена 05.02.2013. Зараз сайт не входить до переліку підозрілих.
• http://hottub.com.ua - інфекція була виявлена 10.12.2012. Зараз сайт входить до переліку підозрілих.
• http://it-group.dp.ua - інфекція була виявлена 17.11.2012. Зараз сайт не входить до переліку підозрілих.
• http://zarabotokplus.com.ua - інфекція була виявлена 31.01.2013. Зараз сайт входить до переліку підозрілих.
• http://vesillya.uz.ua - інфекція була виявлена 26.01.2013. Зараз сайт не входить до переліку підозрілих.

Виявлене переповнення буфера в cURL.

Уразливі версії: cURL 7.28.

Переповнення буфера в реалізації SASL DIGEST-MD5.

• Vulnerability in curl (деталі)

В даній добірці уразливості в веб додатках:

• DoS/Authorization Bypass in Samsung Kies Air (деталі)
• Cross-site Scripting in iTop (деталі)
• libunity-webapps vulnerability (деталі)
• DigiLIBE Management Console - Execution After Redirect (EAR) Vulnerability (деталі)
• Insecure default WPA2 passphrase in multiple Belkin wireless routers (деталі)
• movabletype-opensource security update (деталі)
• Microsoft Security Bulletin MS12-062 - Important Vulnerability in System Center Configuration Manager Could Allow Elevation of Privilege (2741528) (деталі)
• ganglia security update (деталі)
• Lynx vulnerabilities (деталі)
• nCircle PureCloud Vulnerability Scanner - Multiple Web Vulnerabilities (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Cardoza, WordPress Uploader та Xerte Online. Для котрих з’явилися експлоіти. Cardoza - це плагін для голосування, WordPress Uploader - це плагін для завантаження файлів (це php-експлоіт для даного плагіна), Xerte Online - це плагін для електронного навчання.

• Multiple SQL injection vulnerabilities in Cardoza Wordpress poll plugin (деталі)
• WordPress Uploader 1.0.4 Shell Upload (деталі)
• WordPress Xerte Online 0.32 Shell Upload (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

За повідомленням www.xakep.ru, Євросоюз рекомендує відмовитися від американських хмарних хостингів.

Європейцям краще не зберігати файли на хмарних хостингах американських компаній, попереджають чиновники. Причина - безпека даних.

Питання обговорювалося на конференції “Комп’ютери, приватність і захист даних” (Computers, Privacy and Data Protection), що пройшла 23-25 січня в Брюсселі. Зокрема, на пленарному засіданні по питанню хмарних обчислень і суверенітету інформації йшлося про шпигунство за європейськими користувачами з боку третіх країн.

Окрім того, що американські спецслужби можуть отримати доступ до ваших даних на хмарних сервісах, також до даних можуть дістатися хакери. Як це трапилося з витоком даних в Dropbox.

За повідомленням ain.ua, в офіс хостинг-провайдера Primaryhost прийшли з обшуком силовики, вилучені сервери.

Робота хостинг-провайдера Primaryhost.com.ua припинена: в січні в офіс компанії в Овручі прийшли представники Житомирського слідчого управління МВС із постановою суду про блокування сайта. Сервери віртуального хостинга і сервер баз даних відключені і вивезені в невідомому напрямку.

Типово для наших силових структур, що замість блокування доступу до одного сайта, вони забрали весь сервер (на якому на віртуальному хостингу знаходилося багато сайтів). Навіть попри те, що постанова суду була саме про блокування сайта . За останні роки вже неодноразово траплялися вилучення серверів (або жорстких дисків з них) з веб сайтами. І лише були поодинокі випадки саме блокування веб сайтів. Нашим правоохоронцям вже слід навчитися використовувати саме блокування замість вилучення.

Як я розповідав в своїх публікаціях з 2008 року, через розміщення протизаконних матеріалів можуть закрити сайт (або навіть можуть провести вилучення серверів у хостера). Наприклад, через розміщення вірусів.

За повідомленням www.xakep.ru, Pwn2Own 2013: взломай браузер і отримай 100 тисяч доларів.

На початку березня відбудеться хакерська конференція CanSecWest 2013 у канадському Ванкуверу, де традиційно пройде конкурс по взлому браузерів Pwn2Own. Власне, цей конкурс і приніс популярність рядовій конференції, і він є там самою цікавою подією.

Умови конкурсу Pwn2Own 2013 залишаються колишніми: потрібно взламати останню версію браузера на цілком пропатченій операційній системі. Якщо вам удалося взломати ноутбук - ви одержуєте цей ноутбук у подарунок. У порівнянні з минулим роком, додався Google Chrome і три плагіна.