Websecurity - Веб безпека

Виявлена можливість пошкодження пам’яті в різних браузерах для мобільних пристроїв.

Уразливі продукти: вбудовані браузери BlackBerry, HTC Windows, Apple iPhone, Apple iPod, Google Android.

Можливе пошкодження пам’яті при обробці URL. Що призводить до DoS атаки на дані браузери.

• Update your BlackBerry (деталі)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://itgalaxy.com.ua - інфекція була виявлена 07.01.2011. Зараз сайт входить до переліку підозрілих.
• http://rapnews.pp.ua - інфекція була виявлена 17.12.2010. Зараз сайт не входить до переліку підозрілих.
• http://uniupper.com - інфекція була виявлена 24.01.2011. Зараз сайт входить до переліку підозрілих.
• http://dictators.ucoz.ua - інфекція була виявлена 31.12.2010. Зараз сайт не входить до переліку підозрілих.
• http://gurman-prom.dp.ua - інфекція була виявлена 16.01.2011. Зараз сайт входить до переліку підозрілих.

Як і у випадку з іншими веб сайтами, інфіковані сайти itgalaxy.com.ua, uniupper.com і gurman-prom.dp.ua також хостить в себе Укртелеком.

В даній добірці уразливості в веб додатках:

• OpenJDK vulnerabilities (деталі)
• Sun Java Runtime Environment JPEGImageDecoderImpl Remote Code Execution Vulnerability (деталі)
• Sun Java Runtime Environment JPEGImageEncoderImpl Remote Code Execution Vulnerability (деталі)
• SQL Injection and XSS vulnerabilities in CubeCart version 4.3.3 (деталі)
• Sun Java Runtime Environment Mutable InetAddress Socket Policy Violation Vulnerability (деталі)
• Sun Java Runtime Environment XNewPtr Remote Code Execution Vulnerability (деталі)
• Sun Java Runtime RMIConnectionImpl Privileged Context Remote Code Execution Vulnerability (деталі)
• New drupal6 packages fix several vulnerabilities (деталі)
• SQL injection vulnerability in e107 (деталі)
• SQL injection vulnerability in e107 (деталі)

Пропоную вашій увазі добірку цікавих новин на тему безпеки.

За повідомленням hackzona.com.ua, пісочниця Adobe Flash взломана.

Технічний фахівець Google Біллі Ріос у своєму блозі стверджує, що ним був знайдений спосіб обійти нову систему безпеки, реалізовану в новій версії Adobe Flash Player з метою ускладнення атак. Ріос говорить, що його метод дозволяє обійти локальну файлову “пісочницю”, яка спочатку повинна була запобігти доступу Flash-файлів до віддаленої інформації, розташованої за межами ізольованого сегменту пам’яті комп’ютера.

За повідомленням itua.info, співробітників Білого дому поздоровили і відразу пограбували.

Напередодні Різдва по старому стилю, 23 грудня, персонал Білого дому одержав вітальну листівку. Під ангельським обличчям святкового настрою ховався злісний троян. В результаті атаки трояном було вкрадено близько 2 Гб документів.

За повідомленням internetua.com, ЄС підрахував збитки від кіберкрадіжок квот на викиди газів.

Хакери нанесли електронній системі Євросоюзу, в якій здійснюється торгівля квотами на викиди парникових газів і шкідливих речовин в атмосферу, збиток на 30 мільйонів євро.

Як зазначається, 20 січня найбільші європейські біржі, що торгують квотами на викиди, призупинили здійснення угод. У числі таких бірж ICE Futures Europe, Nasdaq OMX Commodities Europe і LCH.Clearnet.

16.11.2010

У липні, 25.07.2010, я знайшов Full path disclosure та SQL Injection уразливості в системі MC Content Manager (це українська комерційна CMS). Які я виявив на декількох сайтах на даному движку. Про що найближчим часом повідомлю розробникам.

Раніше я вже писав про уразливості в MC Content Manager.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам системи.

22.01.2011

Full path disclosure:

http://site/article.php?root=a

SQL Injection:

http://site/article.php?root=-1%20and%20version()=4

Уразливі лише не самі нові версії MC Content Manager.

На цей рік я запланував ряд оновлень на своєму веб проекті. Частину з яких я реалізував вже в січні (й продовжу активно займатися цим в подальшому).

Це новий тест на знання веб безпеки Тестування: уразливості та атаки, що був презентований нещодавно, та новий розділ Посібника з безпеки. Також найближчим часом будуть оновленні обидва тести.

Окрім цього зверну вашу увагу на наступну зміну в моїй дільяності. З 2005 року (і особливо з моменту відкриття сайту в 2006 році) я активно займався соціальним секюріті аудитом - повідомляв адмінів сайтів про уразливості на їхніх проектах. Про особливості соціального секюріті аудита я писав в статті Просунуте відповідальне оприлюднення уразливостей. Розробникам веб додатків, браузерів та інших додатків я також часто повідомляв про дірки, але найбільше займався саме сайтами.

На цю діяльність я витратив чимало часу за останні шість років, але ефективність її невелика. І з кожном роком все більше часу витрачалося в пусту (на повідомлення невдячним адмінам сайтів, які ігнорують мої повідомлення і продовжують забивати на безпеку, як вони це робили і раніше). Тому з цього року я більше не займаюся цією діяльністю і буду знаходити та повідомляти лише про дірки у веб додатках. Виключенням можуть бути лише секюріті та e-commerce сайти, а також найбільш відомі веб проекти.

В січні я продовжив публікувати інформацію про сайти, на яких я знайшов уразливості раніше. Після того як я завершу публікацію цих дірок, а також тих, що були пропущені, я зосереджуся на дірках у веб додатках, веб серверах та інших додатках. Тому в цьому році буде багато інформації саме стосовно даної категорії уразливостей.

В даній добірці уразливості в веб додатках:

• CompleteFTP Server v 4.x “PORT” command Remote DOS exploit (деталі)
• Joomla Component Clantools version 1.2.3 Multiple Blind SQL Injection Vulnerabilities (деталі)
• Joomla Component Clantools version 1.5 Blind SQL Injection Vulnerability (деталі)
• Scientific Atlanta DPC2100 WebSTAR Cable Modem vulnerabilities (деталі)
• XSS in Horde Application Framework <=3.3.8, icon_browser.php (деталі)
• Security problems in Zenphoto version 1.3 (деталі)
• Webby Webserver v1.01 - Buffer overflow vulnerability with overwritten structured exception handler (SEH) (деталі)
• New typo3-src packages fix regression (деталі)
• Joomla Component Aardvertiser 2.1 free Blind SQL Injection Vulnerability (деталі)
• Multiple Vulnerabilities in Cisco Network Building Mediator (деталі)

В своїй презентації Using Security Engineering and Formal Methods to create secure Web Applications, Nick Mathew розповідає про створення безпечних веб додатків. Про те, як використовуючи секюріті інженерію та формальні методи можна створювати безпечні веб додатки.

08.06.2010

У листопаді, 04.11.2009, я знайшов Cross-Site Scripting та Full path disclosure уразливості на проекті http://xataface.com. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше.

21.01.2011

XSS:

http://xataface.com/admin.php?-table=pages&-search=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E&-action=search_index

Full path disclosure:

Змінна DATAFACE_PATH в тілі кожної сторінки сайта.

Дані уразливості вже виправлені.

В даній добірці експлоіти в веб додатках:

• NovaSTOR NovaNET <= 12.0 remote root exploit (деталі)
• NovaSTOR NovaNET remote DoS + arbitrary memory read (деталі)
• NovaSTOR NovaNET <= 12.0 remote SYSTEM exploit (деталі)
• NovaSTOR NovaNET/NovaBACKUP <= 13.0 remote DoS (деталі)
• Objectivity/DB Lack of Authentication Remote Exploit (деталі)