Websecurity - Веб безпека

Виявлена можливість обходу обмежень в Ruby.

Уразливі версії: Ruby 1.8.

Можлива модифікація рядків.

• Ruby vulnerabilities (деталі)

Сьогодні я виявив Cross-Site Scripting та Insufficient Anti-automation уразливості в плагіні Wordfence Security. Це секюріті плагін для WordPress. Дані уразливості я виявив на security-testlab.com. Про що найближчим часом повідомлю розробникам веб додатку.

Стосовно плагінів для WordPress раніше я писав про уразливості в Floating Tweets.

XSS:

Wordfence Security XSS.html

Insufficient Anti-automation:

Wordfence Security IAA.html

Немає захисту (капчі) від автоматизованого підбору емайла адміна. А якщо знати емайл адміна, то таким чином можна буде автоматизовано спамити йому листами з сайта.

Уразливі Wordfence Security 3.3.5 та попередні версії.

P.S.

Після мого повідомлення, розробник виправив дані уразливості в версії 3.3.7. Але при цьому IAA дірка була виправлена неякісно.

За повідомленням www.xakep.ru, 0day-експлоіти працюють у середньому 312 днів.

Дослідники з компанії Symantec спробували оцінити, наскільки активно зловмисники використовують 0day-уразливості й який середній “термін життя” такої уразливості, перш ніж вона стає відома широкій публіці і вендору, що випускає патч.

Аналіз зібраної статистики дозволив виявити 18 уразливостей, що експлуатували до моменту публікації інформації. З них 11 уразливостей були унікальними, тобто раніше невідомими. Термін експлуатації 0day-уразливостей складає від 19 днів до 30 місяців. Середнє арифметичне - 312 днів, середнє по медіані - близько 240 днів.

За повідомленням www.opennet.ru, змагання Pwnium 2 завершилося взломом браузера Chrome.

Лише день після виходу версії 22.0.1229.92 представлений позаплановий коригувальний випуск Chrome 22.0.1229.94, у якому усунута критична уразливість, що дозволяє обійти всі рівні захисту браузера. Уразливість була продемонстрована на проведеному компанією Google змаганні Pwnium 2. Дослідник безпеки, що виявив проблему, одержав винагороду в розмірі 60 тисяч доларів США.

Як і під час першого Pwnium, так і під час другого, компанія Google наївно сподівалася, що її браузер не взламають. Але що тоді, що зараз, браузер Chrome був взломаний (причому в усіх випадках з виходом з sandbox).

За повідомленням www.xakep.ru, зловмисники змінили налаштування DNS у 4,5 мільйонах домашніх DSL-модемів.

Фахівець “Лабораторії Касперського” Фабіо Ассоліні опублікував розслідування подій, що відбувалися в Бразилії в 2011 році. За його словами, завдяки одній-єдиній уразливості в прошиванні DSL-модемів місцеві хакери зуміли організувати масштабну операцію, що торкнулася мільйонів користувачів Інтернету.

Зловмисники скористалися уразливістю в ADSL-маршрутизаторах, щоб одержати доступ до DSL-модемів, встановлених у квартирах користувачів і офісах. Це CSRF уразливість в адміністративній веб-панелі DSL-модему.

Про численні уразливості, в тому числі CSRF, в різних ADSL модемах і Wi-Fi роутерах від Iskra та D-Link я вже писав раніше. В тому числі в своїй статті CSRF Attacks on Network Devices, опублікованій на початку року, я продемонстрував як проводити CSRF атаки на Iskra Callisto 821+ та D-Link DAP 1150.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://popilnya-rajrada.gov.ua (хакером NeT-DeViL) - 26.08.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://minregiongkh.ark.gov.ua (хакером Dr-TaiGaR) - 26.08.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://msp.ark.gov.ua (хакером NeT-DeViL) - 26.08.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.britishcouncil.lviv.ua (хакером Ops507) - 02.09.2012, зараз сайт вже виправлений адмінами
• http://www.britishcouncil.com.ua (хакером Ops507) - 02.09.2012, зараз сайт вже виправлений адмінами

06.06.2012

Сьогодні я знайшов Brute Force та Insufficient Anti-automation уразливості (не кажучи вже про всі інші дірки в WordPress) на http://security-testlab.com - сайті секюріті компанії Security-TestLab. Про що найближчим часом сповіщу адміністрацію сайта.

Детальна інформація про уразливості з’явиться пізніше.

18.10.2012

Сайт на WordPress, тому в ньому наявні всі дірки, що є в цьому движку (а існує багато дірок, про які я писав, що багато років наявні в ньому і не виправляються розробника WP). На сайті використовується стара версія WordPress 3.4.1, тому в ньому є всі ті дірки, що були виправлені в WordPress 3.4.2.

Brute Force:

В WP э п’ять BF дірок, що мають місце на цьому сайті. Як на http://security-testlab.com/wp-login.php, так й інші. Як раз на wp-login.php вони вже виправили BF уразливість.

Insufficient Anti-automation:

http://security-testlab.com/kontakty/

В контактній формі немає захисту від автоматизованих запитів (капчі).

Дані уразливості досі не виправлені, окрім однієї BF (але блокування відбувається на дуже короткий термін). При цьому встановивши Wordfence плагін для захисту від BF в формі логіна, адміни сайта додали ще дві уразливості - XSS й IAA в самому плагіні. Про які я згодом напишу.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах ABC-Test, Archin та Token Manager. Для котрих з’явилися експлоіти. ABC-Test - це плагін для проведення тестування, Archin - це комерційна (преміум) тема движка, Token Manager - це плагін для створення компонентів під час розробки для даної CMS.

• WordPress ABC-Test 0.1 Cross Site Scripting (деталі)
• WordPress Archin Cross Site Scripting (деталі)
• Wordpress Plugin Token Manager Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Виявлені Cross-Site Scripting уразливості у багатьох веб-додатках Microsoft.

Уразливі продукти: Microsoft SharePoint Server 2007, InfoPath 2007, InfoPath 2010, SharePoint Server 2010, SharePoint Foundation 2010, Lync 2010, Microsoft Communicator 2007, Office Web Apps 2010, Groove Server 2010, Windows SharePoint Services 3.0.

Недостатня валідація HTML-даних.

• Microsoft Security Bulletin MS12-066 - Important Vulnerability in HTML Sanitization Component Could Allow Elevation of Privilege (2741517) (деталі)

У жовтні, 09.10.2012, вийшов Mozilla Firefox 16. Нова версія браузера вийшла через півтора місяця після виходу Firefox 15 (і майже через місяць після Firefox 15.0.1).

Mozilla офіційно представила реліз веб-браузера Firefox 16. Крім того, випущений коригувальний реліз гілки з тривалим терміном підтримки - Firefox 10.0.8, в якій відзначається тільки виправлення уразливостей і серйозних помилок. Реліз Firefox 17 намічений на 20 листопада, а Firefox 18 на першу половину січня.

Також були випущені Thunderbird 16, Seamonkey 2.13 і Firefox 16 для платформи Android.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 16.0 усунуто 15 уразливостей, серед яких 11 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (при детальному дослідженні виявляється, що всього 23 уразливості, з яких 20 критичних).

Зазначу, що в останніх трьох версіях - Firefox 14, 15 і 16 - в браузері виправляється велика кількість уразливостей (порівняно з попередніми версіями). В кожній з цих версій було виправлено від 14 до 17 дірок і це при тому, що в деяких патчах виправляється більше однієї дірки (в даному випуску маємо 14 патчів, що виправляють 23 уразливості).

Таке в Мозіли вже траплялося не раз - це давня практика, але якщо раніше вони лише DoS дірки, що можуть потенційно привести до RCE, таким чином виправляли (Miscellaneous memory safety hazards), то зараз вони почали пачками виправляти heap memory corruption, Use-after-free, buffer overflow та out of bounds read уразливості (таким чином вони почали брати приклад з Microsoft). Окрім того, Мозіла неодноразово приховано виправляла уразливості. Все це свідчить про зростання уразливостей в браузері й компанія не завжди встигає їх знаходити і виправляти (що добре видно по численним виправленням дірок і багів у фікс-релізах, таких як 15.0.1 і 16.0.1).

• Релиз Firefox 16 (деталі)

В даній добірці уразливості в веб додатках:

• Certain HP Photosmart Printers, Remote Denial of Service (DoS) (деталі)
• Joomla 2.5.6 Multiple Cross-site scripting vulnerabilities (деталі)
• gajim security update (деталі)
• Atlassian Confluence - Multiple Cross-Site Request Forgery (CSRF) Vulnerabilities (деталі)
• HP DataDirect OpenAccess oaagent.exe GIOP Remote Code Execution Vulnerability (деталі)
• XSS in OSSEC wui 0.3 (деталі)
• HP DataDirect OpenAccess GIOP Parsing Remote Code Execution Vulnerability (деталі)
• Microcart 1.0 Checkout Cross-Site Scripting Security Vulnerability (деталі)
• HP DataDirect OpenAccess GIOP Opcode 0×0E Remote Code Execution Vulnerability (деталі)
• Microcart 1.0 _Admin Cross-Site Scripting Security Vulnerability (деталі)

Продовжу розповідати вам про сайти для пошуку md5 хешей.

В Інтернеті існують веб сайти для пошуку md5 хешей (як й інших хешей). Тобто вони призначені для взлому md5 хешей, щоб по хешу отримати його значення (у випадку хеша пароля, це дозволить отримати пароль).

До раніше наведених сайтів зверну вашу увагу на наступні:

• http://md5.thekaine.de
• http://www.onlinehashcrack.com (md5 та інші хеші)
• http://www.cmd5.org (md5, sha1, mysql та інші хеші)
• http://www.cmd5.ru (md5, sha1, mysql та інші хеші)
• https://goog.li (md4, md5 та інші хеші)

В подальшому я продовжу наводити перелік подібних сайтів.