Websecurity - Веб безпека

Виявлені численні уразливості безпеки в Apple WebKit, Safari, Google Chrome.

Уразливі продукти: Apple Safari 5.0, Google Chrome 9.0.

Численні уразливості при розборі PNG, TIFF, JPEG, XML, численні пошкодження пам’яті в WebKit.

• chromium-browser security update (деталі)
• About the security content of Safari 5.0.4 (деталі)
• Apple Safari WebKit Iframe Event Handling Remote Use-after-free (деталі)
• Apple Safari WebKit Scroll Event Handling Remote Use-after-free (деталі)
• Apple Safari WebKit Block Dimensions Handling Integer Overflow (деталі)
• Apple CoreGraphics Library Heap Memory Corruption Vulnerability (деталі)
• Apple Webkit Error Message Mutation Remote Code Execution Vulnerability (деталі)
• Apple Safari WebKit Range Object Remote Code Execution Vulnerability (деталі)
• Apple Webkit setOuterText Memory Corruption Remote Code Execution Vulnerability (деталі)
• Apple Safari Webkit Runin Box Promotion Remote Code Execution Vulnerability (деталі)
• Apple Webkit Font Glyph Layout Remote Code Execution Vulnerability (деталі)
• Apple Webkit Root HTMLBRElement Style Remote Code Execution Vulnerability (деталі)
• Apple iPhone Webkit Library Javascript Array sort Method Remote Code Execution Vulnerability (деталі)

В даній добірці експлоіти в веб додатках:

• blogit-(ing) Database Disclosure Exploit (деталі)
• complete-blog-(ing) Database Disclosure Exploit (деталі)
• fatihsoftblog-(tr) Database Disclosure Exploit (деталі)
• Exploits Sysax Multi Server “open”, “unlink”, “mkdir”, “scp_get” Commands DoS Vulnerabilities (деталі)
• DoS Exploit of Quick Easy Ftp Server version <=3.9.1 USER COMMAND Buffer Overflow (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://pfukonotop.hmarka.net (хакером Nothing) - взломаний державний сайт (на безкоштовному хостінгу)
• http://nissi.com.ua (хакером Seif Jelidi)
• http://www.poetryclub.com.ua (хакером Samar Obrin) - 12.03.2011, зараз сайт вже виправлений адмінами
• http://mobile-notes.net (хакерами з RBH-CREW)
• http://timo.kiev.ua (хакерами з Black HaT Group)

Розщеплення HTTP-запиту (HTTP Response Splitting) - це уразливості, що відносяться до категорії атак на клієнта і вони поширені в сучасних веб додатках. Та можуть використовуватися для різних атак на користувачів і відвідувачів веб сайтів, в тому числі для проведення XSS атак.

В класифікації WASC TC v2.0 HTTP Response Splitting мають ідентифікатор WASC-25.

Різновиди HTTP Response Splitting.

HTTP Response Splitting (HTTPRS) уразливості бувають наступних типів:

1. Reflected HTTP Response Splitting.
2. Persistent HTTP Response Splitting.

Reflected HTTP Response Splitting.

Reflected HTTP Response Splitting - це найбільш поширений різновид уразливостей розщеплення HTTP-запиту. При відправці спеціального запиту до уразливого веб додатку, він відповідає на цей запит і при цьому в його відповідь додається інший серверний заголовок (або заголовки).

Це дозволяє задати користувачу сайта довільний кукіс, провести XSS атаку, редиректнути на інший сайт або провести іншу атаку. Що відбувається через додавання відповідних серверних заголовків.

HTTPRS:

http://site/page?p=%0AHeader:value

HTTPRS + XSS:

http://site/page?p=%0AContent-Type:html%0A%0A%3Cscript%3Ealert(document.cookie)%3C/script%3E

Persistent HTTP Response Splitting.

Persistent HTTP Response Splitting - це інший різновид уразливостей розщеплення HTTP-запиту, що я виявив в 2008 році в FeedBurner FeedSmith плагіні для WordPress. Дані уразливості більш рідкісні ніж Reflected HTTPRS, але при цьому більш небезпечні.

При Persistent HTTPRS уразливості атака носить постійний характер. Після відправки спеціального запиту до уразливого веб додатку, дані зберігаються на сервері (у файлі чи БД) та виводяться при зверненні до відповідних скриптів. Це може бути той же скрипт, що прийняв запит, а можуть бути й інші скрипти (як у випадку FeedBurner FeedSmith), після звернення до яких відбувається додавання нових серверних заголовків у відповідь веб додатку.

І при всіх наступних зверненнях до даної сторінки (скрипта) буде відбуватися атака. Що дозволяє, наприклад, проводити Persistent XSS атаки або інші perstistent атаки.

15.01.2011

У жовтні, 27.10.2010, я знайшов Cross-Site Scripting, Local File Inclusion та Brute Force уразливості в W-Agora (це система веб публікації, тобто по суті CMS). Які я виявив на офіційноу сайті w-agora.net. Про що найближчим часом повідомлю розробникам.

Раніше я вже писав про уразливості в W-Agora.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам системи.

16.03.2011

XSS:

http://site/current/getfile.php/support_howto/%22%3E%3Cbody%20onload=alert(document.cookie)%3E/1/

Local File Inclusion:

В папці conf:

http://site/current/getfile.php/1

http://site/current/index.php?bn=1

http://site/current/list.php?bn=1

В будь-які папці (тільки на Windows-серверах):

http://site/current/getfile.php/..\1

http://site/current/index.php?bn=..\1

http://site/current/list.php?bn=..\1

Brute Force:

http://site/current/login.php

Уразливі W-Agora 4.2.1 та попередні версії.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах WP Forum та Mingle Forum. Для котрих з’явилися експлоіти. WP Forum - це плагін для стоворення форуму, Mingle Forum - це ще один плагін для стоворення форуму.

• SQL Injection in WP Forum wordpress plugin (деталі)
• Path disclosure in Mingle Forum wordpress plugin (деталі)
• XSS in Mingle Forum wordpress plugin (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У січні, 27.01.2011, через місяць після виходу Opera 11, вийшла Opera 11.01.

Нова версія Opera є оновленням, що покращує безпеку та стабільність браузера.

Серед виправлень безпеки в Opera 11.01:

• Removed support for “javascript:” URLs in CSS -o-link values, to make it easier for sites to filter untrusted CSS.
• Fixed an issue where large form inputs could allow execution of arbitrary code.
• Fixed an issue which made it possible to carry out clickjacking attacks against internal opera: URLs.
• Fixed issues which allowed web pages to gain limited access to files on the user’s computer.
• Fixed an issue where email passwords were not immediately deleted when deleting private data.
• Fixed an issue which could cause the wrong executable to be used to display a downloaded file in its folder.
• А також виправлена велика кількість вибивань браузера.

По матеріалам http://www.opera.com.

В даній добірці уразливості в веб додатках:

• XSS vulnerability in BlogBird platform (деталі)
• Information disclosure in BloofoxCMS (деталі)
• RSA, The Security Division of EMC, announces a fix for potential security vulnerability in RSAR Federated Identity Manager (деталі)
• Information disclosure in BloofoxCMS (деталі)
• LFI in Novaboard (деталі)
• SAP NetWaver SLD - multiple XSS (деталі)
• SAP Netweaver wsnavigator XSS Security Vulnerability (деталі)
• SAP J2EE Web Services Navigator Cross-Site Scripting (деталі)
• LFI in DZCP (деталі)
• Path disclosure in MyBB (деталі)

Раніше я вже писав про уразливість в Cumulus для Drupal. Така ж уразливість є і в плагіні sfWpCumulusPlugin для symfony, що використовує tagcloud.swf розроблений автором WP-Cumulus. Про мільйони флешек tagcloud.swf вразливих до XSS атак я згадував у своїй статті XSS уразливості в 34 мільйонах флеш файлах.

Сьогодні я знайшов Cross-Site Scripting уразливість в sfWpCumulusPlugin для symfony. Про що найближчим часом повідомлю розробнику.

XSS:

http://site/sfWpCumulusPlugin/swf/wp-cumulus.swf?mode=tags&tagcloud=%3Ctags%3E%3Ca+href='javascript:alert(document.cookie)'+style='font-size:+40pt'%3EClick%20me%3C/a%3E%3C/tags%3E

Код виконається при кліку. Це Strictly social XSS. Також можна провести HTML Injection атаку, подібно до WP-Cumulus.

Уразливі всі версії sfWpCumulusPlugin.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://strongsoft.com.ua - інфекція була виявлена 04.03.2011. Зараз сайт не входить до переліку підозрілих.
• http://mylink.com.ua - інфекція була виявлена 01.03.2011. Зараз сайт входить до переліку підозрілих.
• http://zarabotalo.at.ua - інфекція була виявлена 29.01.2011. Зараз сайт не входить до переліку підозрілих.
• http://almandry.com.ua - інфекція була виявлена 04.03.2011. Зараз сайт входить до переліку підозрілих.
• http://areasoft.com.ua - інфекція була виявлена 24.02.2011. Зараз сайт не входить до переліку підозрілих.

Як і у випадку з іншими веб сайтами, інфіковані сайти mylink.com.ua та almandry.com.ua також хостить в себе Укртелеком.