Websecurity - Веб безпека

За повідомленням www.xakep.ru, витік 100000 паролів IEEE відбувся через “аномалію” проксі.

Наприкінці вересня румунський хакер Раду Драгусін знайшов близько 100 тис. імен користувачів шановної організації Institute of Electrical and Electronics Engineers (IEEE), з паролями у форматі plaintext, у логах на публічно доступному FTP за адресою ftp://ftp.ieee.org/uploads/akamai/. Одержавши 100 гігабайт логів, він витяг звідти корисні дані й опублікував результати, хоча відмовився викласти у відкритий доступ вихідні файли.

Фахівці IEEE швидко усунули уразливість, видаливши логи з відкритого доступу. При цьому вони пояснили витік логів з логінами і паролями “аномалією” проксі.

За статистикою хакера, серед працівників IEEE п’ятьма найбільш вживаними паролями були:

• 123456
• ieee2012
• 12345678
• 123456789
• password

За повідомленням www.vedomosti.ru, Google знову заборонили в Росії.

Нещодавно чергова IP-адреса компанії Google потрапила у російські “чорні списки” сайтів із забороненою інформацією, третій за останній тиждень. Цього разу заборонили IP-адресу блог-сервісу blogspot.com, на якому, серед іншого, зберігаються користувацькі файли поштових скриньок Gmail.com.

Google став регулярним гостем списку сайтів із забороненою інформацією zapret-info.gov.ru, що запрацював з 1 листопада. На початку минулого тижня у нього на кілька годин потрапила адреса служби пошуку картинок, у середині тижня на кілька годин заборонили найбільший відео-хостинг світу YouTube. А в неділю ввечері влада заблокувала IP-адресу 173.194.71.132. Вона належить сервісу блогів blogspot.com, яким володіє Google.

І хоча Роскомнадзор пояснив цей інцидент програмним збоєм, але систематичне попадання сайтів Гугла до Російського реєстру сайтів із забороненою інформацією дуже показове. Блокують цілій IP лише за один сайт зі шкідливим змістом (сервіс картинок заборонили через дитячу порнографію, YouTube - через пропаганду самогубств, а blogspot.com - за інформацію про наркотики), але це говорить, що Гугл весь час погано слідкує зі контентом на своїх сервісах. Зокрема вже давно виявляють malware на сайтах Гугла - ще у 2009 році я писав про інфекції на google.com та blogspot.com.

За повідомленням www.xakep.ru, бекдор у системі веб-аналітики Piwik.

Користувачі Open Source пакета для веб-статистики і аналітики Piwik звернули увагу на проблему з безпекою. Повідомлення про це опубліковано в Seclists увечері 26 листопада. У свіжому архіві Piwik 1.9.2 у файлі /piwik/core/Loader.php виявлено підозрілий код. Який зашифрований, але після дешифрування виявилося, що це бекдор.

Після інформування, розробники оперативно усунули проблему. Вони пояснили, що зловмисник взломав сервер Piwik.org за допомогою уразливого плагіна WordPress і впровадив шкідливий код в один із програмних файлів. Подібні випадки включення бекдорів вже траплялися з phpMyAdmin та іншими популярними опенсорсними програмами.

Виявлені численні уразливості безпеки в Apache Tomcat.

Уразливі версії: Tomcat 5.5, Tomcat 6.0, Tomcat 7.0.

Обхід авторизації і replay-атаки при використанні авторизації Digest, DoS.

• Tomcat vulnerabilities (деталі)

У листопаді, 20.11.2012, вийшов Mozilla Firefox 17. Нова версія браузера вийшла через півтора місяця після виходу Firefox 16 (і майже через місяць після Firefox 16.0.2).

Mozilla офіційно представила реліз веб-браузера Firefox 17, який віднесений до категорії гілок із тривалим терміном підтримки (ESR), оновлення для яких випускаються протягом року. Крім того, випущений коригувальний реліз гілки з тривалим терміном підтримки - Firefox 10.0.11, в якій відзначається тільки виправлення уразливостей і серйозних помилок. Реліз Firefox 18 намічений на перший тиждень січня, а Firefox 19 на 19 лютого.

Також були випущені Thunderbird 17, Seamonkey 2.14 і Firefox 17 для платформи Android.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 17.0 усунуто 16 уразливостей, серед яких 6 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі.

Зазначу, що в останніх версіях Firefox (з 14 по 17) в браузері виправляється велика кількість уразливостей. Для версії Firefox 17 випущено 16 патчів - це на один патч більше ніж у версії 16. І це при тому, що в деяких патчах виправляється більше однієї дірки.

• Релиз Firefox 17 (деталі)

У листопаді місяці Microsoft випустила 6 патчів. Що трохи менше ніж у жовтні.

У листопадовому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 6 бюлетенів по безпеці. Що закривають 19 уразливостей в програмних продуктах компанії. Чотири патчі закривають критичні уразливості і два патчі закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows XP, 2003, Vista, 2008, 7, 2008 R2, 8 та RT. А також Microsoft Office, Internet Explorer, Internet Information Services та .NET Framework.

За повідомленням www.xakep.ru, у США відбувся найбільший витік даних про платників податків.

Влада штату Південна Кароліна визнала факт витоку із серверів податкової служби 3,6 млн. номерів карт соціального страхування, 387 тис. кредитних карт, податкових декларацій громадян та іншої інформації про жителів штату і компанії, що ведуть тут діяльність.

Як повідомляється, невідомі зловмисники (можливо з Росії) викрали докладну фінансову інформацію про 80% жителів Південної Кароліни і про всі 657000 компаній, зареєстрованих у місцевій податковій службі. Це найбільший витік фінансових даних в історії США. Департамент по податкам і зборам Південної Кароліни опублікував термінове попередження для громадян з поясненням ситуації й інструкцією з подальших дій.

За повідомленням opennet.ru, Kernel.org піддався взлому.

Як повідомлялося ще 1 вересня, виявлено факт взлому декількох серверів в інфраструктурі Kernel.org, використовуваних для поширення архівів з вихідними текстами й обслуговування Git-репозиторіїв з ядром Linux. Нападникам вдалося одержати root-доступ до серверів, модифікувати системне програмне забезпечення й організувати перехоплення паролів розробників. Зокрема, нападники замінили openssh-server і openssh-clients, а також організували завантаження свого скрипта через систему ініціалізації.

Факт взлому був виявлений 28 серпня. Після цього взлому серверів основного проекту інфраструктури Linux, у вересні були виявлені взломи інших Linux ресурсів. Зокрема був виявлений факт взлому інфраструктури сайтів linuxfoundation.org і соціальної мережі Linux.com. Власники ресурсів зазначили, що подія можливо пов’язана з атакою на kernel.org.

За повідомленням opennet.ru, інфраструктура проекту FreeBSD піддалася взлому, не виключена підміна пакетів.

Проект FreeBSD опублікував повідомлення про виявлення слідів взлому двох серверів, що беруть участь у збірці пакетів. Інцидент зафіксований 11 листопада, але сліди взлому вказують на те, що зловмисники одержали контроль над системою 19 вересня. Цілісність усіх портів і пакетів, завантажених з 19 вересня по 11 листопада не гарантується.

Окремо відзначається, що взлом не торкнувся компонентів базової системи і портів, що розповсюджуються через svn.freebsd.org. Незважаючи на відсутність прямих свідчень підміни контента, користувачам, що оновлювали чи встановлювали в зазначений період пакети, рекомендовано оцінити доцільність проведення аудита безпеки чи перевстановлення своїх систем з нуля.

Як видно з даної інформації, взлом серверів FreeBSD відбувся у вересні одразу за вломами багатьох серверів інфраструктури Linux. Тому я вважаю, що ці атаки пов’язані. Це була цілеспрямована атака на популярні відкрити ОС, зокрема на сайти з їхніми вихідними кодами, щоб включити бекдори в код ОС або пакетів. Подібні випадки вже траплялися з популярними опенсорсними програмами, що можливо через природу відкритого ПЗ.

Учора, 22.11.2012, вийшли PHP 5.3.19 та PHP 5.4.9. В яких виправлено більше 15 багів. Дані релізи направлені на покращення стабільності гілок 5.3.x і 5.4.x.

Жодних уразливостей в цих версіях PHP виправлено не було.

По матеріалам http://www.php.net.

Виявлена помилка форматного рядка в Applicure dotDefender.

Уразливі версії: Applicure dotDefender 4.26.

Не перевіряються форматні специфікатори при виведенні повідомлення про помилку. Раніше в 2008 році я сам знаходив дірки в dotDefender, тому не здивований новій уразливості в цьому WAF.

• Applicure dotDefender WAF format string vulnerability (деталі)

Виявлені уразливості безпеки в Microsoft Internet Information Services.

Уразливі версії: Microsoft IIS 7.0 і 7.5 для Windows Vista, Windows 2008 Server, Windows 7.

Витік інформації через лог-файли, впровадження команд у STARTTLS-сеанс FTP.

• Microsoft Security Bulletin MS12-073 - Moderate Vulnerabilities in Microsoft Internet Information Services (IIS) Could Allow Information Disclosure (2733829) (деталі)

Виявлені численні уразливості безпеки в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 9 під Windows Vista, Windows 2008 Server, Windows 7.

Кілька помилок використання пам’яті після звільнення.

• Microsoft Security Bulletin MS12-071 - Critical Cumulative Security Update for Internet Explorer (2761451) (деталі)

У листопаді, 06.11.2012, через півтора місяці після виходу Google Chrome 22, вийшов Google Chrome 23.

В браузері зроблено декілька нововведень та виправлені помилки. А також виправлено 14 уразливостей, з яких 6 позначені як небезпечні, 7 - помірні і 1 - незначні. З уразливостей, що мають статус небезпечних, дві проблеми викликані помилками драйверів для платформи Mac OS X, дві проблеми пов’язані зі звертанням до звільненого блоку пам’яті в обробнику SVG-фільтрів і в коді виведення відео, одна проблема пов’язана з виходом за припустимі границі пам’яті в коді обробки текстур і одна проблема виявлена в движку v8.

Чимало з виправлених уразливостей виявлені за допомогою інструментарію address-sanitizer, призначеного для автоматизованого визначення фактів звертання до звільнених областей пам’яті, виходу за межі границь виділеного буфера і деяких інших типів помилок при роботі з пам’яттю.

• Увидел свет web-браузер Chrome 23 (деталі)