Websecurity - Веб безпека

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.kyivobljust.gov.ua (хакерами з Ashiyane Digital Security Team) - 31.08.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.chernihiv.mns.gov.ua (хакером TURK KURSUNU) - 02.09.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://agrex.gov.ua (хакером FaiSaL404) - 06.09.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.s-p.com.ua (хакером Franky)
• http://www.p-planet.net (хакером hacker) - 07.01.2013, зараз сайт вже виправлений адмінами

Виявленні численні уразливості безпеки в Mozilla Firefox, Thunderbird та Seamonkey.

Уразливі продукти: Firefox ESR 10.0, Mozilla Firefox 17.0, Firefox ESR 17.0, Thunderbird 17.0, SeaMonkey 2.14.

Численні пошкодження пам’яті, переповнення буфера, підвищення привілеїв, підміна адреси, некоректно виданий сертифікат.

В цій версії представлено 21 патч (включаючи покращення до одного попереднього патча). Це новий рекорд, попередній був 17 патчів.

• Mozilla Foundation Security Advisory 2012-98 (деталі)
• Mozilla Foundation Security Advisory 2013-01 (деталі)
• Mozilla Foundation Security Advisory 2013-02 (деталі)
• Mozilla Foundation Security Advisory 2013-03 (деталі)
• Mozilla Foundation Security Advisory 2013-04 (деталі)
• Mozilla Foundation Security Advisory 2013-05 (деталі)
• Mozilla Foundation Security Advisory 2013-06 (деталі)
• Mozilla Foundation Security Advisory 2013-07 (деталі)
• Mozilla Foundation Security Advisory 2013-08 (деталі)
• Mozilla Foundation Security Advisory 2013-09 (деталі)
• Mozilla Foundation Security Advisory 2013-10 (деталі)
• Mozilla Foundation Security Advisory 2013-11 (деталі)
• Mozilla Foundation Security Advisory 2013-12 (деталі)
• Mozilla Foundation Security Advisory 2013-13 (деталі)
• Mozilla Foundation Security Advisory 2013-14 (деталі)
• Mozilla Foundation Security Advisory 2013-15 (деталі)
• Mozilla Foundation Security Advisory 2013-16 (деталі)
• Mozilla Foundation Security Advisory 2013-17 (деталі)
• Mozilla Foundation Security Advisory 2013-18 (деталі)
• Mozilla Foundation Security Advisory 2013-19 (деталі)
• Mozilla Foundation Security Advisory 2013-20 (деталі)

В даній добірці уразливості в веб додатках:

• EMC NetWorker Format String Vulnerability (деталі)
• Multiple SQL Injection Vulnerabilities in Elite Bulletin Board (деталі)
• Multiple vulnerabilities in Banana Dance (деталі)
• Symantec Messaging Gateway SSH with backdoor user account (деталі)
• Log Analyzer 3.6.0 - Cross Site Scripting Vulnerability (деталі)
• mahara security update (деталі)
• Symantec Messaging Gateway - Support Backdoor (деталі)
• MoinMoin vulnerabilities (деталі)
• mediawiki-extensions security update (деталі)
• Open-Realty CMS 3.x | Persistent Cross Site Scripting (XSS) Vulnerability (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Simple Gmail Login, List Communities та ArribaLaEsteban. Для котрих з’явилися експлоіти. Simple Gmail Login - це плагін для аутентифікації через логін і пароль до Gmail, List Communities - це плагін для створення спільнот, ArribaLaEsteban - це тема движка.

• Wordpress Plugin Simple Gmail Login Stack Trace Vulnerability (деталі)
• WordPress List Communities SQL Injection (деталі)
• WordPress ArribaLaEsteban SQL Injection (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Продовжуючи розпочату традицію, після попереднього відео про просунуті SQL Injection, пропоную нове відео на веб секюріті тематику. Цього разу відео про нові шляхи взлому веб додатків. Рекомендую подивитися всім хто цікавиться цією темою.

28c3: New Ways I’m Going to Hack Your Web App

Наприкінці 2011 року на конференції 28c3 відбувся виступ Jesse Ou і Rich. В своєму виступі вони розповіли про нові техніки взлому веб додатків, такі як Clickjacking та методи обходу захисту від Clickjacking, обхід захисту від CSRF, експлуатація складних XSS, обхід SOP та атаки через XML.

Про деякі з цих методів я вже розповідав. Рекомендую подивитися дане відео для розуміння векторів атак на веб додатки.

У грудні, 20.12.2012, вийшли PHP 5.3.20 та PHP 5.4.10. В яких виправлено біля 15 багів. Дані релізи направлені на покращення стабільності гілок 5.3.x і 5.4.x.

Жодних уразливостей в цих версіях PHP виправлено не було.

По матеріалам http://www.php.net.

В даній добірці експлоіти в веб додатках:

• Oracle MySQL for Microsoft Windows MOF Execution Vulnerability (деталі)
• Free Float FTP Server Remote Command Execution USER Command Buffer Overflow (деталі)
• Splunk 5.0 Custom App Remote Code Execution (деталі)
• Microsoft Internet Explorer 9.x <= Remote Stack Overflow PoC (деталі)
• Mozilla Firefox 14.0.1 Denial of Service Vulnerability (деталі)

У грудні, 28.12.2012, я знайшов численні уразливості в TinyBrowser для TinyMCE. Це Information Leakage, Full path disclosure та Cross-Site Scripting уразливості. Про що вже повідомив розробникам.

Раніше я вже писав про Виконання коду в TinyBrowser.

Information Leakage (Directory Listing) (WASC-13):

http://site/tiny_mce/plugins/tinybrowser/tinybrowser.php?type=

http://site/tiny_mce/plugins/tinybrowser/edit.php?type=

Виводиться зміст коренової директорії сайта, якщо немає директорії для завантаження.

Full path disclosure (WASC-13):

В tinybrowser.php і edit.php виводиться FPD якщо немає папки для завантаження.

Якщо завантажити скрипт з розширенням зображення, то також випадають FPD.

XSS (WASC-08):

http://site/tiny_mce/plugins/tinybrowser/upload.php?type=%22);alert(document.cookie)//

Для IE:

http://site/tiny_mce/plugins/tinybrowser/upload.php?type=%22%20style=%22xss:\0065xpression(alert(document.cookie))
http://site/tiny_mce/plugins/tinybrowser/tinybrowser.php?type=%22%20style=%22xss:\0065xpression(alert(document.cookie))
http://site/tiny_mce/plugins/tinybrowser/edit.php?type=%22%20style=%22xss:\0065xpression(alert(document.cookie))

Уразливі старі версії TinyBrowser (такі як 1.33 та попередні версії). В версії TinyBrowser 1.42 дані уразливості вже виправлені.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://isc.gov.ua - інфікований державний сайт - інфекція була виявлена 16.11.2012. Зараз сайт входить до переліку підозрілих.
• http://dsmu.com.ua - інфекція була виявлена 21.11.2012. Зараз сайт не входить до переліку підозрілих.
• http://morevse.com.ua - інфекція була виявлена 26.12.2012. Зараз сайт входить до переліку підозрілих.
• http://afhelp.in.ua - інфекція була виявлена 07.01.2013. Зараз сайт не входить до переліку підозрілих.
• http://hobby-games.com.ua - інфекція була виявлена 04.01.2013. Зараз сайт не входить до переліку підозрілих.

Виявлене переповнення стека в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 9 під Windows Vista, Windows 2008 Server, Windows 7.

Переповнення стека на визначеній послідовності тегів.

• Microsoft Internet Explorer 9.x <= Remote Stack Overflow Vulnerability (деталі)