Websecurity - Веб безпека

Виявлені уразливості безпеки в Apache.

Уразливі версії: Apache 2.2.

DoS-уразливості в mod_proxy_ajp, витік інформації про довжину повідомлення в TLS.

• apache2 security update (деталі)

28.11.2012

Виявленні численні уразливості безпеки в Mozilla Firefox, Thunderbird та Seamonkey.

Уразливі продукти: Mozilla Firefox ESR 10.0, Thunderbird ESR 10.0, Firefox 16.0, Thunderbird 16.0, SeaMonkey 2.13.

Численні пошкодження пам’яті, переповнення буфера, підвищення привілеїв і обхід захисту.

• Mozilla Foundation Security Advisory 2012-91 (деталі)
• Mozilla Foundation Security Advisory 2012-92 (деталі)
• Mozilla Foundation Security Advisory 2012-93 (деталі)
• Mozilla Foundation Security Advisory 2012-94 (деталі)
• Mozilla Foundation Security Advisory 2012-95 (деталі)
• Mozilla Foundation Security Advisory 2012-96 (деталі)
• Mozilla Foundation Security Advisory 2012-97 (деталі)
• Mozilla Foundation Security Advisory 2012-98 (деталі)
• Mozilla Foundation Security Advisory 2012-99 (деталі)
• Mozilla Foundation Security Advisory 2012-100 (деталі)
• Mozilla Foundation Security Advisory 2012-101 (деталі)
• Mozilla Foundation Security Advisory 2012-102 (деталі)
• Mozilla Foundation Security Advisory 2012-103 (деталі)
• Mozilla Foundation Security Advisory 2012-104 (деталі)
• Mozilla Foundation Security Advisory 2012-105 (деталі)
• Mozilla Foundation Security Advisory 2012-106 (деталі)

11.12.2012

Додаткова інформація.

• Mozilla Firefox “DocumentViewerImpl” Class Remote Use-After-Free Vulnerability (деталі)
• Mozilla Firefox “imgRequestProxy” Remote Use-After-Free Vulnerability (деталі)

За повідомленням ridna.ua, Міжнародний день захисту інформації.

Учора відзначили Міжнародний день захисту інформації. У 1988 році американська Асоціація комп’ютерного обладнання оголосила 30 листопада Міжнародним днем захисту інформації (Computer Security Day).

Саме тоді була зафіксована перша масова вірусна епідемія, яка паралізувала роботу шести тисяч інтернет-вузлів у США. Цей мережевий вірус назвали “хробаком Морріса”.

Щороку в цей день з ініціативи Асоціації комп’ютерного обладнання проводяться міжнародні конференції з захисту інформації. Цей день став нагадуванням про те, що кожен користувач, адміністратор і розробник ПЗ має відповідати за безпеку своїх інформаційних активів і ресурсів.

За повідомленням www.xakep.ru, новий 64-бітний руткіт під Linux робить ін’єкції фреймів у HTTP-трафік.

Нещодавно був виявлений новий руткіт, що працює під 64-бітною ОС Linux і використовує Nginx. Шкідливу програму один користувач знайшов на своєму сервері Debian Squeeze, веб-сервер Nginx 1.2.3.

Знайти руткіт удалося після того, як деякі відвідувачі сайта поскаржилися, що їм відвантажується дивний iframe з редиректом на шкідливу сторінку. Тобто зловмиснику вдалося впровадити код на сторінки сайта. Як виявилося впровадження фреймів відбувається шляхом підміни системної функції tcp_sendmsg, тобто впровадження в HTTP-трафік здійснюється шляхом безпосередньої модифікації вихідних TCP-пакетів на сервері Linux.

За повідомленням www.xakep.ru, у продажі модулі Apache для ін’єкцій фреймів.

Відомий фахівець з безпеки Данчо Данчев розповів, як зловмисники автоматизували рутинні операції по масовому інфікуванню уразливих серверів.

Якщо коротко, то алгоритм виглядає так: шукають уразливі сервери, на яких розміщується максимальна кількість доменів (бажано більше тисячі), а потім упроваджують шкідливий iframe у кожний файл .php/.html/.js, що вдалося знайти на цих доменах.

У проведенні подібних операцій допомагають саморобні модулі для Apache 2.x, які Данчо Данчев знайшов у продажі за ціною біля $1000. Судячи з наявних свідчень, ці модулі уже використовувалися для проведення ряду атак, про які повідомляли антивірусні компанії. Один з таких модулів зветься DarkLeech.

При наявності на сервері таких рутків чи модулів до веб сервера, які будуть розміщувати malware, визначити це за допомогою скриптів, що працюють на цьому сервері (так званих вбудованих веб антивірусів), не вдасться. Зате зовнішні антивірусні системи, як моя SecurityAlert, зможуть виявити такі інциденти на серверах.

Виявлена можливість обходу захисту в mod_security для Apache. Це тисячний випадок обходу захисту в mod_security.

Цього року я вже писав про обхід захисту в Apache mod_security. Подібні методи постійно виявляються, сам розробив чимало методів обходу WAF, в тому числі mod_security. Тобто це звичайна ситуація для WAF, що їх захисні фільтри обходяться (не кажучи, що вони апріорі не захищають від всіх атак).

Уразливі версії: ModSecurity 2.6.

Можливо обійти фільтрацію через подвійний \r в ідентифікаторі границі частини.

• ModSecurity multipart/invalid part ruleset bypass (деталі)

За повідомленням www.xakep.ru, витік 100000 паролів IEEE відбувся через “аномалію” проксі.

Наприкінці вересня румунський хакер Раду Драгусін знайшов близько 100 тис. імен користувачів шановної організації Institute of Electrical and Electronics Engineers (IEEE), з паролями у форматі plaintext, у логах на публічно доступному FTP за адресою ftp://ftp.ieee.org/uploads/akamai/. Одержавши 100 гігабайт логів, він витяг звідти корисні дані й опублікував результати, хоча відмовився викласти у відкритий доступ вихідні файли.

Фахівці IEEE швидко усунули уразливість, видаливши логи з відкритого доступу. При цьому вони пояснили витік логів з логінами і паролями “аномалією” проксі.

За статистикою хакера, серед працівників IEEE п’ятьма найбільш вживаними паролями були:

• 123456
• ieee2012
• 12345678
• 123456789
• password

За повідомленням www.vedomosti.ru, Google знову заборонили в Росії.

Нещодавно чергова IP-адреса компанії Google потрапила у російські “чорні списки” сайтів із забороненою інформацією, третій за останній тиждень. Цього разу заборонили IP-адресу блог-сервісу blogspot.com, на якому, серед іншого, зберігаються користувацькі файли поштових скриньок Gmail.com.

Google став регулярним гостем списку сайтів із забороненою інформацією zapret-info.gov.ru, що запрацював з 1 листопада. На початку минулого тижня у нього на кілька годин потрапила адреса служби пошуку картинок, у середині тижня на кілька годин заборонили найбільший відео-хостинг світу YouTube. А в неділю ввечері влада заблокувала IP-адресу 173.194.71.132. Вона належить сервісу блогів blogspot.com, яким володіє Google.

І хоча Роскомнадзор пояснив цей інцидент програмним збоєм, але систематичне попадання сайтів Гугла до Російського реєстру сайтів із забороненою інформацією дуже показове. Блокують цілій IP лише за один сайт зі шкідливим змістом (сервіс картинок заборонили через дитячу порнографію, YouTube - через пропаганду самогубств, а blogspot.com - за інформацію про наркотики), але це говорить, що Гугл весь час погано слідкує зі контентом на своїх сервісах. Зокрема вже давно виявляють malware на сайтах Гугла - ще у 2009 році я писав про інфекції на google.com та blogspot.com.

За повідомленням www.xakep.ru, бекдор у системі веб-аналітики Piwik.

Користувачі Open Source пакета для веб-статистики і аналітики Piwik звернули увагу на проблему з безпекою. Повідомлення про це опубліковано в Seclists увечері 26 листопада. У свіжому архіві Piwik 1.9.2 у файлі /piwik/core/Loader.php виявлено підозрілий код. Який зашифрований, але після дешифрування виявилося, що це бекдор.

Після інформування, розробники оперативно усунули проблему. Вони пояснили, що зловмисник взломав сервер Piwik.org за допомогою уразливого плагіна WordPress і впровадив шкідливий код в один із програмних файлів. Подібні випадки включення бекдорів вже траплялися з phpMyAdmin та іншими популярними опенсорсними програмами.

Виявлені численні уразливості безпеки в Apache Tomcat.

Уразливі версії: Tomcat 5.5, Tomcat 6.0, Tomcat 7.0.

Обхід авторизації і replay-атаки при використанні авторизації Digest, DoS.

• Tomcat vulnerabilities (деталі)

У листопаді, 20.11.2012, вийшов Mozilla Firefox 17. Нова версія браузера вийшла через півтора місяця після виходу Firefox 16 (і майже через місяць після Firefox 16.0.2).

Mozilla офіційно представила реліз веб-браузера Firefox 17, який віднесений до категорії гілок із тривалим терміном підтримки (ESR), оновлення для яких випускаються протягом року. Крім того, випущений коригувальний реліз гілки з тривалим терміном підтримки - Firefox 10.0.11, в якій відзначається тільки виправлення уразливостей і серйозних помилок. Реліз Firefox 18 намічений на перший тиждень січня, а Firefox 19 на 19 лютого.

Також були випущені Thunderbird 17, Seamonkey 2.14 і Firefox 17 для платформи Android.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 17.0 усунуто 16 уразливостей, серед яких 6 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі.

Зазначу, що в останніх версіях Firefox (з 14 по 17) в браузері виправляється велика кількість уразливостей. Для версії Firefox 17 випущено 16 патчів - це на один патч більше ніж у версії 16. І це при тому, що в деяких патчах виправляється більше однієї дірки.

• Релиз Firefox 17 (деталі)

У листопаді місяці Microsoft випустила 6 патчів. Що трохи менше ніж у жовтні.

У листопадовому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 6 бюлетенів по безпеці. Що закривають 19 уразливостей в програмних продуктах компанії. Чотири патчі закривають критичні уразливості і два патчі закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows XP, 2003, Vista, 2008, 7, 2008 R2, 8 та RT. А також Microsoft Office, Internet Explorer, Internet Information Services та .NET Framework.

За повідомленням www.xakep.ru, у США відбувся найбільший витік даних про платників податків.

Влада штату Південна Кароліна визнала факт витоку із серверів податкової служби 3,6 млн. номерів карт соціального страхування, 387 тис. кредитних карт, податкових декларацій громадян та іншої інформації про жителів штату і компанії, що ведуть тут діяльність.

Як повідомляється, невідомі зловмисники (можливо з Росії) викрали докладну фінансову інформацію про 80% жителів Південної Кароліни і про всі 657000 компаній, зареєстрованих у місцевій податковій службі. Це найбільший витік фінансових даних в історії США. Департамент по податкам і зборам Південної Кароліни опублікував термінове попередження для громадян з поясненням ситуації й інструкцією з подальших дій.

За повідомленням opennet.ru, Kernel.org піддався взлому.

Як повідомлялося ще 1 вересня, виявлено факт взлому декількох серверів в інфраструктурі Kernel.org, використовуваних для поширення архівів з вихідними текстами й обслуговування Git-репозиторіїв з ядром Linux. Нападникам вдалося одержати root-доступ до серверів, модифікувати системне програмне забезпечення й організувати перехоплення паролів розробників. Зокрема, нападники замінили openssh-server і openssh-clients, а також організували завантаження свого скрипта через систему ініціалізації.

Факт взлому був виявлений 28 серпня. Після цього взлому серверів основного проекту інфраструктури Linux, у вересні були виявлені взломи інших Linux ресурсів. Зокрема був виявлений факт взлому інфраструктури сайтів linuxfoundation.org і соціальної мережі Linux.com. Власники ресурсів зазначили, що подія можливо пов’язана з атакою на kernel.org.

За повідомленням opennet.ru, інфраструктура проекту FreeBSD піддалася взлому, не виключена підміна пакетів.

Проект FreeBSD опублікував повідомлення про виявлення слідів взлому двох серверів, що беруть участь у збірці пакетів. Інцидент зафіксований 11 листопада, але сліди взлому вказують на те, що зловмисники одержали контроль над системою 19 вересня. Цілісність усіх портів і пакетів, завантажених з 19 вересня по 11 листопада не гарантується.

Окремо відзначається, що взлом не торкнувся компонентів базової системи і портів, що розповсюджуються через svn.freebsd.org. Незважаючи на відсутність прямих свідчень підміни контента, користувачам, що оновлювали чи встановлювали в зазначений період пакети, рекомендовано оцінити доцільність проведення аудита безпеки чи перевстановлення своїх систем з нуля.

Як видно з даної інформації, взлом серверів FreeBSD відбувся у вересні одразу за вломами багатьох серверів інфраструктури Linux. Тому я вважаю, що ці атаки пов’язані. Це була цілеспрямована атака на популярні відкрити ОС, зокрема на сайти з їхніми вихідними кодами, щоб включити бекдори в код ОС або пакетів. Подібні випадки вже траплялися з популярними опенсорсними програмами, що можливо через природу відкритого ПЗ.

Учора, 22.11.2012, вийшли PHP 5.3.19 та PHP 5.4.9. В яких виправлено більше 15 багів. Дані релізи направлені на покращення стабільності гілок 5.3.x і 5.4.x.

Жодних уразливостей в цих версіях PHP виправлено не було.

По матеріалам http://www.php.net.