Websecurity - Веб безпека

В липні були виявлені численні уразливості в Mozilla Firefox, Thunderbird, Seamonkey. Після яких у вересні я виявив нові дірки в Firefox (3.0.x і попередніх версіях, а також вони стосуються і Seamonkey), що зокрема оприлюднив в Дні багів в браузерах.

Уразливі продукти: Mozilla Firefox 2.0, Thunderbird 2.0, Seamonkey 1.1, Firefox 3.0.

Переповнення індексу масиву при розборі CSS, відмова при розборі GIF під Mac OS X, виконання коду при запуску через обробник URI.

• Mozilla Firefox CSSValue Array Memory Corruption Vulnerability (деталі)
• Mozilla Foundation Security Advisory 2008-34 (деталі)
• Mozilla Foundation Security Advisory 2008-35 (деталі)
• Mozilla Foundation Security Advisory 2008-36 (деталі)

В минулому році була виявлена DoS уразливість в Mozilla Firefox.

Уразливі версії: Mozilla Firefox 2.0

Можливо створити велику кількість спливаючих повідомлень, що не закриваються, використовуючи Java.

• Firefox 2.0.0.6 Java Pop-Up DoS flaw (деталі)

До знайдених в минулому році численних уразливостей в платформі Microsoft .Net, нещодавно додалася ще одна. В минулому році була виявлена можливість обходу анти-XSS фільтрів ASP.NET. Що було виправлено Microsoft патчем в липні 2007 року.

Торік, для проекту MOSEB, я сам створив техніки Expressive comments filters bypass та Expressive comments space-hack filters bypass для обходу Майкрософтських фільтрів .

В минулому місяці була оприлюднена інформація про методи обходу “пропатчених” анти-XSS фільтрів ASP.NET для проведення XSS та HTML Injection атак.

• Bypassing ASP .NET “ValidateRequest” for Script Injection Attacks (деталі)

Виявлена DoS уразливість в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 7 та Internet Explorer 8 beta на Windows 2000 Server, Windows 2000 Professional, Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server.

Браузер зависає при розборі зображення PNG.

• Microsoft Internet Explorer DoS in Rendering Malicious PNG Files (деталі)

05.08.2008

Виявлені численні уразливості в Apache Tomcat.

Уразливі версії: Apache Tomcat 4.1, Tomcat 5.5, Tomcat 6.0.

Можливий міжсайтовий скриптінг, витік інформації.

• Apache Tomcat XSS vulnerability (деталі)
• Apache Tomcat information disclosure vulnerability (деталі)

12.08.2008

Додаткова інформація.

• Apache Tomcat <= 6.0.18 UTF8 Directory Traversal Vulnerability (деталі)

16.09.2008

Додаткова інформація.

• Apache Tomcat information disclosure vulnerability - Updated (деталі)

В минулому році була виявлена уразливість підміни тексту в рядку статусу в Mozilla Firefox.

Уразливі версії: Mozilla Firefox 2.0.0.6 та попередні (і потенційно наступні) версії.

Браузер Firefox вразливий до statusbar spoofing атаки через використання data схеми. Що може використовуватися для фішинг атак.

• Firefox 2.0.0.6 Encoded URI Statusbar Spoofing Vulnerability (деталі)

Пропоную вашій увазі нову уразливість в рамках продовження проекту День багів в Google Chrome (Day of bugs in Google Chrome). Вчора я виявив цікавий баг, що безпосередньо впливає на безпеку користувачів браузера Chrome.

При заходженні на https://google.com, Хром видає наступне повідомлення:

Можливо, це не той сайт, який ви шукаєте!
Ви спробували отримати доступ до google.com, але натомість встановлено з’єднання з сервером, який ідентифікує себе як www.google.com. Це може бути спричинено неправильною конфігурацією на сервері або чимось серйознішим. Зловмисник у мережі міг спробувати змусити вас відвідати оманну (та потенційно шкідливу) версію google.com. Рекомендуємо не продовжувати.

Виходить, що Гугл вважає власний сайт небезпечним .

Зображення екрану “Помилка SSL”:

Скріншот на англійській мові: SSL Error.

Цей баг першим виявив автор сайта www.anewmorning.com, в статті про Google Chrome якого я і дізнався про нього. Причому ще в середу, як поставив Хром, я пройшовся по декільком сайтам, в тому числі і на https ресурс заходив, але жодних проблем не виникло (бо заходив я по лінці, а не набирав адресу вручну).

Автор сайта, що виявив баг, заявив, що Хром зовсім на підтримує SSL. Після власних досліджень можу заявити, що SSL він підтримує, але не повноцінно - іноді глючить при SSL з’єднанні . У випадку коли заходять на сайт за адресою “без www” та на сайті існує редирект з “домена без www” на “домен з www”.

Даний баг призводить до появи уразливості в браузері - до появи ризику витоку інформації (зокрема логінів та паролів), у випадку використання звичайного, а не SSL з’єднання з сайтом (навіть коли на сайті є SSL). Бо після отримання такого повідомлення, користувач може або зовсім передумати йти на даний сайт, або перейти на версію сайта без SSL, щоб уникнути даного повідомлення. Тобто Хром сам зменшує безпеку своїх користувачів.

В минулому році були виявлені численні уразливості в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 6 та Internet Explorer 7 на Windows 2000 Server, Windows 2000 Professional, Windows XP, Windows 2003 Server, Windows Vista.

Виявлені численні пошкодження пам’яті.

• Microsoft Internet Explorer JavaScript setExpression Heap Corruption Vulnerability (деталі)
• Microsoft Internet Explorer setExpression Vulnerability (деталі)
• Microsoft Internet Explorer Node Manipulation Memory Corruption (деталі)
• Microsoft Internet Explorer Element Tags Vulnerability (деталі)
• Microsoft Security Bulletin MS07-069 - Critical Cumulative Security Update for Internet Explorer (942615) (деталі)

В минулому році були виявлені численні уразливості в Mozilla Firefox, Thunderbird, Seamonkey.

Уразливі продукти: Mozilla Firefox 2.0, Thunderbird 2.0, Seamonkey 1.1, xulrunner 1.8, iceweasel 2.0.

Виконання коду, ушкодження пам’яті, підміна вмісту, міжсайтовий скриптінг, DoS.

• Mozilla Foundation Security Advisory 2007-25 (деталі)
• Mozilla Foundation Security Advisory 2007-22 (деталі)
• Mozilla Foundation Security Advisory 2007-21 (деталі)
• Mozilla Foundation Security Advisory 2007-20 (деталі)
• Mozilla Foundation Security Advisory 2007-19 (деталі)
• Mozilla Foundation Security Advisory 2007-18 (деталі)
• US-CERT Technical Cyber Security Alert TA07-199A — Mozilla Updates for Multiple Vulnerabilities (деталі)

Виявлені численні уразливості безпеки в Oracle.

Уразливі продукти: Oracle WebLogic Server 6.1, WebLogic Server 7.0, Oracle 9i, Oracle 10g, WebLogic Server 8.1, Oracle 11g, PeopleSoft Enterprise PeopleTools 8.48, PeopleSoft Enterprise PeopleTools 8.49, WebLogic Server 10.0, WebLogic Server 9.0, WebLogic Server 9.1, WebLogic Server 9.2, PeopleSoft Enterprise CRM 8.9, PeopleSoft Enterprise CRM 9.0.

Чергове квартальне оновлення закриває майже 50 уразливостей в усіх продуктах Oracle.

• SQL Injection in Oracle Database (DBMS_DEFER_SYS.DELETE_TRAN) (деталі)
• Cross-site scripting in Oracle Enterprise Manager (REFRESHCHOICE Parameter) (деталі)
• SQL Injection in Oracle Application Server (WWEXP_API_ENGINE) (деталі)
• Oracle Database Local Untrusted Library Path Vulnerability (деталі)
• Oracle Portal XSS fixed by CPU July 2008 (деталі)
• Oracle Application Server PLSQL injection flaw (деталі)
• Oracle Database Local Untrusted Library Path Vulnerability (деталі)
• Oracle Database DBMS_AQELM Package Buffer Overflow Vulnerability (деталі)
• Oracle Internet Directory Pre-Authentication LDAP DoS Vulnerability (деталі)
• Oracle Critical Patch Update Advisory - July 2008 (деталі)