Websecurity - Веб безпека

Виявлена Buffer Overflow уразливість в PHP.

Уразливі версії: PHP 5.4.

Переповнення буфера при обробці файлів tar.

• php5 security update (деталі)

В даній добірці уразливості в веб додатках:

• Sourcefire Defense Center - multiple vulnerabilities (деталі)
• b2ePMS 1.0 Authentication Bypass Vulnerability (деталі)
• Liferay users can assign themselves to organizations, leading to possible privilege escalation (деталі)
• Liferay 6.1 json webservices are subject to cross-site request forgery attacks (деталі)
• Liferay 6.1 can be compromised without having an account on the portal (деталі)
• McAfee Email and Web Security Appliance v5.6 - Arbitrary file download is possible with a crafted URL when logged in as any user (деталі)
• Guests can view names and emailadresses of all Liferay users in liferay 6.1 (деталі)
• Multiple xss issues in Liferay (деталі)
• Epicor Returns Management SOAP-Based Blind SQL Injection (деталі)
• ikiwiki security update (деталі)

У травні, 07.05.2012, я знайшов Insufficient Anti-automation уразливості на сайтах компанії Google https://www.google.com та https://www.google.com.ua. Я вже неодноразово писав про IAA уразливості на сайтах Гугла - компанія полюбляє ці дірки.

Раніше я вже писав про уразливості на www.google.com та gmodules.com.

Insufficient Anti-automation:

https://www.google.com/webmasters/tools/paidlinks

https://www.google.com.ua/quality_form - ця дірка аналогічна IAA на www.google.com, про яку я писав в 2010 році. Вона наявна на основному і на всіх регіональних доменах Гугла.

В даних формах немає захисту від автоматизованих запитів (капчі).

Якщо ці форми не мають капчі, то багато інших форм (де раніше її не було) зараз мають капчу. В тому числі форма повідомлення про спам, яка ще 07.05.2012 не мала капчі, а зараз вже обзавелась нею. Постійне нагадування дірявому Гуглу (та активне навантаження спамерів на вразливі форми) змушує компанію встановлювати захист на контактні форми. Але все ще залишилось багато незахищених форм.

За повідомленням www.xakep.ru, Twitter заперечує взлом і говорить про “каскадний баг”.

В четвер Twitter був цілком недоступний для всіх 140 мільйонів користувачів у двох інтервалах: 70 і 28 хвилин. Відповідальність за взлом узяла на себе відома хакерська група UGNazi. Цю новину вони повідомили у твіттері після відновлення його працездатності, згадавши рух Anonymous і телеканал Russia Today.

Хештег #TangoDown прийнятий у Anonymous та інших хакерів для позначення успішної цільової атаки проти конкретного сайта. Компанія Twitter зазначина у твіттері, що все це стало результатом “каскадного бага”, тобто деякого збою, що спричинив за собою ланцюжок подій і привів в підсумку до повної недоступності сервісу.

За повідомленням bugtraq.ru, обхід парольного захисту в лінуксових MySQL: уразлива половина доступних серверів.

Некоректне приведення типів у процедурі перевірки паролів ряду зборок MySQL і MariaDB приводить до того, що з імовірністю 1/256 удається виконати підключення, використовуючи будь-який пароль - досить знати ім’я користувача (а root там звичайно буває).

Про дані проблеми з авторизацією в MySQL я вже писав.

Вразливі версії аж до 5.1.61, 5.2.11, 5.3.5, 5.5.22. Зрозуміло, у багатьох конфігураціях MySQL закритий для всіх коннектів ззовні, але так буває далеко не завжди. Ну і героїчний брутфорс відкриває всі двері за пару-трійку сотень спроб, на що піде менше секунди.

За повідомленням www.hackzone.ru, у Харкові затриманий виробник скіммерів.

Співробітники СБУ затримали чоловіка, що виготовив саморобний пристрій для зчитування даних з банківських карт.

Як повідомляє прес-служба Управління СБУ в Харківській області, у місцевого жителя був вилучений саморобний пристрій для зчитування інформації з банківських карт (скіммер). Співробітникам правоохоронних органів удалося установити, що чоловік мав намір здійснити несанкціоноване впровадження в роботу комп’ютерних систем банківських установ з метою викрадання коштів.

Цього місяця, 14.06.2012, вийшла Opera 12. Нова мажорна версія браузера вийшла через півтора роки після виходу Opera 11.

Особливістю Opera 12 є вихід 64-бітної версії під Windows. Таким чином, Opera стала першою компанією після Microsoft, що змогла випустити 64-бітний білд під Windows, цього дотепер не змогли зробити ні розробники Chrome, ні Firefox.

Головною інновацією в Opera 12 стала підтримка повного апаратного прискорення всіх компонентів: від користувацького інтерфейсу до рендеринга сторінок, з підтримкою бекендів OpenGL і DirectX.

• Вышла Opera 12 с полным аппаратным ускорением (деталі)

В даній добірці експлоіти в веб додатках:

• SASP CMS Multiple Vulnerabilities (Authentication Bypass, Database Disclosure, XSS) (деталі)
• SASP CMS Remote File Upload (деталі)
• PHPRunner <= 4.2 Blind SQL Injection (деталі)
• NewsCMSlite Insecure Cookie Handling (деталі)
• KWWD SQL Injection (деталі)

У червні місяці Microsoft випустила 7 патчів. Що так само як у травні (але уразливостей виправлено на дві більше).

У червневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 7 бюлетенів по безпеці. Що закривають 25 уразливостей в програмних продуктах компанії. З них 3 патчі закривають критичні уразливості, а 4 патчі закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows XP, 2003, Vista, 2008, 7 та 2008 R2. А також Microsoft Internet Explorer, RDP, .NET Framework, Lync та Dynamics AX Enterprise Portal.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://ispf.gov.ua (хакерами з TeaM MosTa) - 21.04.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://khust-miskrada.gov.ua (хакерами з S.V Crew) - 10.05.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.gracie.com.ua (хакером AMIN SAFI)
• http://beltguys.com.ua (хакером RcP) - 08.06.2012, зараз сайт вже виправлений адмінами
• http://cities.com.ua (хакером RcP) - 08.06.2012, зараз сайт вже виправлений адмінами

В даній добірці уразливості в веб додатках:

• Cyberoam Unified Threat Management: Insecure Password Handling (деталі)
• Local File Inclusion in PluXml (деталі)
• Multiple vulnerabilities in OrangeHRM (деталі)
• Cross-Site Scripting (XSS) in Pivotx (деталі)
• Serendipity 1.6 Backend Cross-Site Scripting and SQL-Injection vulnerability (деталі)
• Security Advisories for GnuTLS and Libtasn1 (деталі)
• Horizon vulnerabilities (деталі)
• rails security update (деталі)
• Drupal 7.14 <= Full Path Disclosure Vulnerability (деталі)
• chevreto_XSS_file_existence_enum_vulns (деталі)

В презентації Network Security Essentials Applications And Standards 3rd Edition, розповідається про книгу William Stallings. В третій редакції Network Security Essentials розглянуті такі теми як e-mail security, IP security, Web security та network management security.