Websecurity - Веб безпека

Виявлені численні уразливості безпеки в Ruby.

Уразливі версії: Ruby 1.8.

Міжсайтовий скриптінг, підвищення привілеїв, модифікація даних через метод Exception#to_s, пошкодження пам’яті через VpMemAlloc.

• Vulnerabilities in Ruby (деталі)

В даній добірці уразливості в веб додатках:

• HP AssetCenter and HP AssetManager for AIX, HP-UX, Linux, Solaris and Windows, Remote Cross Site Scripting (XSS) (деталі)
• SQL Injection vulnerability in Alguest (деталі)
• BroadWorks Call Detail Record Disclosure Vulnerability (деталі)
• Pulse CMS Basic Local File Inclusion Vulnerability (деталі)
• HP Storage Essentials Using LDAP, Remote Unauthenticated Access (деталі)
• Cross Site Scripting vulnerability in Diferior (деталі)
• HP webOS Contacts Application, Remote Execution of Arbitrary Code (деталі)
• Novell Vibe 3 BETA OnPrem Stored Cross-site Scripting Vulnerability (деталі)
• HP Version Control Repository Manager (VCRM) for Windows, Remote Cross Site Scripting (XSS) (деталі)
• Multiple XSS in Solarwinds Orion NPM 10.1 (деталі)

Продовжуючи тему уразливостей в ADSL модемі Callisto 821+, розповім вам про нові уразливості в даному модемі. У квітні, 07.04.2011, я виявив Cross-Site Request Forgery та Cross-Site Scripting уразливості в ADSL модемі Callisto 821+ (SI2000 Callisto821+ Router).

Уразлива версія SI2000 Callisto821+ Router: X7821 Annex A v1.0.0.0 / Argon 4×1 CSP v1.0 (ISOS 9.0) [4.3.4-5.1]. Дана модель з іншими прошивками також повинна бути вразливою.

Дані атаки потрібно проводити на власника модему, який залогінений в адмінку. Враховуючи, що малоймовірно застати його в такому стані, то можна використати раніше згадані уразливості для проведення віддаленого логіну (щоб залогінити його в адмінку). Після чого можна спокійно провести CSRF або XSS атаку.

CSRF:

Дана уразливість дозволяє додати нового користувача з доступом в адмінку.

Callisto 821+ CSRF2.html

XSS:

В даній формі також є три persistent XSS уразливості.

Callisto 821+ XSS3.html

В даному випадку код виконається одразу, а також при відвіданні сторінок http://192.168.1.1/system/events.html і http://192.168.1.1/shared/event_log_selection.html.

Callisto 821+ XSS4.html

В даному випадку код виконається одразу, а також при відвіданні сторінок http://192.168.1.1/system/events.html і http://192.168.1.1/shared/event_log_selection.html.

Callisto 821+ XSS5.html

В даному випадку код виконається одразу, а також при відвіданні сторінки http://192.168.1.1/configuration/authentication.html.

Продовжуючи розпочату традицію, після попереднього відео про експлоіт для Internet Explorer 8, пропоную нове відео на веб секюріті тематику. Цього разу відео про eксплоіт для Firefox 3.5. Рекомендую подивитися всім хто цікавиться цією темою.

Firefox 3.5 exploit

В даному відео ролику демонструється використання експлоіта для уразливості в Firefox 3.5, останній версії Firefox на момент запису відео. Експлоіт дозволяє проводити віддалене виконання коду в даному браузері.

Атака відбувається при відвідуванні веб сторінки зі шкідливим кодом (що експлуатує дану уразливість). Рекомендую подивитися дане відео для розуміння векторів атак на Mozilla Firefox.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://antonsablev.com (хакером INNOCENT HACKER з Afghan Exploiters Team) - 21.05.2011, зараз сайт вже виправлений адмінами
• http://aquatika.com.ua (хакером eL-CeWaD)
• http://www.ecodah.com.ua (хакером aGa Hackers) - 13.05.2011, причому окрім aGa Hackers даний сайт нещодавно також був взломаний хакерами HoaX Trojan і OPOJA-TECHNOLOGY-HACKERS, а зараз він взломаний :N0FAC3. Торік www.ecodah.com.ua вже був неодноразово взломаний. Схоже, що сайт постійно хакається, як і деякі інші сайти в Уанеті
• http://dorogy.com.ua (хакером INNOCENT HACKER)
• http://www.ukrtransport.com (хакерами з EliTTe SquaD)

15.09.2010

У травні, 15.05.2010, я знайшов Insufficient Anti-automation та Abuse of Functionality уразливості на сайті http://www.school.gov.ua. Про що найближчим часом сповіщу адміністрацію сайта.

Про подібні уразливості я писав в статті Розсилка спаму через сайти та створення спам-ботнетів.

Детальна інформація про уразливості з’явиться пізніше.

26.05.2011

Insufficient Anti-automation:

На всіх сторінках контактів немає захисту від автоматизованих запитів (капчі).

http://www.school.gov.ua/uk/contact/contacts/tetyana-kovtun
http://www.school.gov.ua/en/contact/contacts/tetyana-kovtun

Abuse of Functionality:

Опція “Надіслати копію цього повідомлення на Вашу електронну адресу” (”E-mail a copy of this message to your own address”) на всіх сторінках контактів дозволяє розсилати спам з сайта на довільні емайли. А з використанням Insufficient Anti-automation уразливості можна автоматизовано розсилати спам з сайта в великих обсягах.

Дані уразливості досі не виправлені.

Продовжуючи тему уразливостей в ADSL модемі Callisto 821+, розповім вам про CSRF і XSS уразливості в даному модемі. У квітні, 07.04.2011, я виявив Cross-Site Request Forgery та Cross-Site Scripting уразливості в ADSL модемі Callisto 821+ (SI2000 Callisto821+ Router).

Уразлива версія SI2000 Callisto821+ Router: X7821 Annex A v1.0.0.0 / Argon 4×1 CSP v1.0 (ISOS 9.0) [4.3.4-5.1]. Дана модель з іншими прошивками також повинна бути вразливою.

Дані атаки потрібно проводити на власника модему, який залогінений в адмінку. Враховуючи, що малоймовірно застати його в такому стані, то можна використати раніше згадані уразливості для проведення віддаленого логіну (щоб залогінити його в адмінку). Після чого можна спокійно провести CSRF або XSS атаку.

CSRF:

Дана уразливість дозволяє змінити пароль дефолтному користувачу.

Callisto 821+ CSRF.html

XSS:

В даній формі також є дві persistent XSS уразливості.

Callisto 821+ XSS.html

В даному випадку код виконається одразу, а також при відвіданні сторінок http://192.168.1.1/system/events.html і http://192.168.1.1/shared/event_log_selection.html.

Callisto 821+ XSS2.html

В даному випадку код виконається одразу, а також при відвіданні сторінки http://192.168.1.1/configuration/authentication.html.

На початку травня, 03-04.05.2011, відбувся новий масовий взлом сайтів на сервері Hvosting. Перший масовий взлом сайтів на сервері Hvosting вібдувася в січні.

Був взломаний сервер української компанії Hvosting. Взлом відбувся після згаданого масового взлому сайтів на сервері Tavrida Network.

Всього було взломано 23 сайти на сервері Hvosting (IP 91.200.40.52). Це наступні сайти: ukraids.gov.ua, new.comrad.net.ua, khortytsalife.com, uca.zp.ua, tattoo.zp.ua, reabilitolog.com.ua, www.novsemena.zp.ua, matras.zp.ua, map.khortytsalife.com, ligasockiev.org.ua, ligasocial.org.ua, kvest.zp.ua, iok.zp.ua, grandmax.zp.ua, elos.zp.ua, elit-mebel.zp.ua, comrad.zp.ua, caffenitea.com.ua, baida.zp.ua, www.autoshrot.zp.ua, artremstroy.com.ua, alexandria-f.com.ua, www.estil.com.ua. Серед них український державний сайт ukraids.gov.ua.

З зазначених сайтів 1 був взломаний 3 травня 2011 року хакером iskorpitx, а 22 сайти були взломані 4 травня 2011 року хакером S3Ri0uS.

Враховуючи велику кількість сайтів на одному сервері та короткий проміжок часу для дефейсу всіх цих сайтів, немає сумнівів, що вони були взломані через взлом серверу хостінг провайдера. Коли через взлом одного сайта, був отриманий root доступ до сервера (через уразливості в програмному забезпеченні самого сервера) та атаковані інші сайти на даному сервері.

Виявлене переповнення буфера в Embarcadero Interbase.

Уразливі версії: Embarcadero InterBase XE 10.0.

Переповнення буфера в області стека при обробці запиту connect.

• Embarcadero Interbase connect Request Parsing Remote Code Execution Vulnerability (деталі)

В даній добірці уразливості в веб додатках:

• HP Insight Control Virtual Machine Management for Windows, Remote Cross Site Scripting (XSS), Denial of Service (DoS), Cross Site Request Forgery (CSRF) (деталі)
• LFI in Exponent CMS (деталі)
• HP Insight Recovery for Windows, Remote Cross Site Scripting (XSS), Arbitrary File Download (деталі)
• LFI in Exponent CMS (деталі)
• HP Insight Control Performance Management for Windows, Remote Arbitrary File Download (деталі)
• XSS vulnerability in Zimplit CMS (деталі)
• HP Virtual Connect Enterprise Manager (VCEM) for Windows, Remote Arbitrary File Download (деталі)
• XSS vulnerability in Zimplit CMS (деталі)
• HP Virtual Server Environment for Windows, Remote Arbitrary File Download (деталі)
• XSS vulnerability in WWWThreads (php version) (деталі)