Websecurity - Веб безпека

Виявлена XSS уразливість в Microsoft SQL Server.

Уразливі продукти: Microsoft SQL Server 2000 Reporting Services, SQL Server 2005, SQL Server 2008, SQL Server 2012.

Міжсайтовий скриптінг в SQL Server Report Manager.

• Microsoft Security Bulletin MS12-070 - Important Vulnerability in SQL Server Could Allow Elevation of Privilege (2754849) (деталі)

В липні відбувся новий масовий взлом сайтів на сервері HostPro. Він тривав на протязі 2008 - 2012 років: від 28.01.2008 до 02.08.2012. Шостий масовий взлом сайтів на сервері HostPro відбувся раніше.

Був взломаний сервер української компанії HostPro. Взлом складався з багатьох невеликих дефейсів по одному або декілька сайтів.

Всього було взломано 50 сайтів на сервері хостера HostPro (IP 193.169.189.62). Це наступні сайти: reception.od.ua, www.lis.gov.ua, yunykphoto.com, your-amber.com, webka.kiev.ua, yogavajra.com, skp-studio.com, kolgotki-trusiki.org.ua, djzorro.org.ua, remont-pod-kluch.kiev.ua, bez-sigaret.com, ilark.com.ua, champion.kiev.ua, offset.kiev.ua, vitaline.kiev.ua, kievkids.net, arocars.org, drukarnya.in.ua, elitbud.kiev.ua, evgenia.com.ua, gvindor.com, kradenkov.info, techltdua.com, sb66.com.ua, ua-pr.com, bugaz.od.ua, grow-in-web.net, weddingphoto.com.ua, y-style.com.ua, wakeschool.com.ua, advokat.lviv.ua, www.topmebel.com.ua, webkiev.com, karnizy.com, www.domix.biz, www.fada.com.ua, www.isygen.com, www.domix.biz, www.vip-people.org, www.saaber.in.ua, www.compromat.in.ua, kendo.kiev.ua, a-music.com.ua, www.expertsoft.com.ua, polyforum.info, kdnbc.co.ua, kharkovdnb.co.ua, group.kharkovdnb.co.ua, www.modzzone.com. Серед них український державний сайт www.lis.gov.ua, що був взломаний двічі - в минулому і поточному році.

З зазначених 50 сайтів 1 сайт був взломаний хакером ExE.Ps, 1 сайт хакером Z4X, по 2 сайти хакерами prince_dz, ashiyane digital security team, HiTLEr 737, 7 сайтів хакером Dr.Tmnetk, 6 сайтів хакером fahad, 2 сайти хакером alwahsh, 3 сайти хакерами з TeaM AlQraSna Al3rab, 6 сайтів хакером CoOL BoY, по 1 сайту хакерами Original Dz, ahmdosa hacker, iskorpitx, Fatal Error, Injector, Abu-Slman, Red Eye, IndonesiaCoder Team, ByES-TIM, 3 сайти хакером 3RqU, 5 сайтів хакером Body Null та 1 сайт хакером M3rhametsiz.

Всі невеликі дефейси по одному або декілька сайтів явно були зроблені при взломах окремих сайтів. Також не виключена можливість використання уразливостей на сервері для доступу до інших сайтів.

За повідомленням www.xakep.ru, виявлена універсальна MitB-атака.

Компанія Trasteer знайшла “новий” спосіб викрадання приватних даних, який вона назвала “універсальною MitB-атакой” (Man-in-the-Browser). Як працює дана атака показано на відео.

За повідомленням ain.ua, донецька податкова оштрафувала інтернет-магазин за розрахунки доларами в WebMoney.

Співробітники податкової міліції в Донецьку оштрафували один з інтернет-магазинів за незаконне використання системи WebMoney. Претензії були як за проведення розрахунків у доларах (WMZ), так і за саме використання WebMoney. Загальна сума недонарахованих у бюджет коштів склала 400 тисяч грн.

У квітні в Києві податкова вже проводила обшуки в офісних приміщеннях онлайн магазинів Rozetka.ua і Sokol.ua. І цей новий випадок - це продовження цієї лінії ДПС. Додатковою причиною до закриття сайтів через обшук податкової чи штрафів від ДПС, окрім раніше згаданих причин, може бути й використання WebMoney, зокрема доларів (WMZ).

В тому числі це може й трапитися через взлом будь-якого е-комерс сайта і розміщення на ньому інформації про прийом електронних грошей (WebMoney чи інших), зокрема в доларах. Навіть якщо сам онлайн-магазин (чи будь-який інший е-комерс сайт) офіційно їх не приймає. Це є черговою причиною для всіх адмінів і власників е-комерс сайтів слідкувати за безпекою власних ресурсів, щоб не потрапити у таку ситуацію - щоб не було ні зайвих перевірок, ні закриття сайтів, ні штрафів.

За повідомленням www.xakep.ru, Яндекс почав платити за уразливості.

Як й деякі інші фірми, компанія “Яндекс” теж оголосила про введення програми по пошуку уразливостей з виплатою винагород. Програма називається “Полювання за помилками”.

Грошові призи складають від 3000 до 30000 руб., у залежності від серйозності виявленої уразливості. В особливих випадках розмір нагороди може бути збільшений. Взяти участь у програмі можуть хакери з будь-якої країни.

Раніше Яндекс недостатньо слідкував за безпекою своїх сайтів - про уразливості на яких я писав багато в попередні роки. Подивимося як компанія буде це робити зараз.

Виявлені уразливості безпеки в Apache.

Уразливі версії: Apache 2.4.

Підвищення привілеїв через динамічні бібліотеки, міжсайтовий скриптінг у mod_negotiation.

Раніше вже були XSS і HTTP Response Splitting уразливості у mod_negotiation, а зараз знайдена нова дірка в цьому модулі.

• Vulnerabilities in Apache (деталі)

Виявлені численні уразливості безпеки в IBM SDK Java Technology Edition.

Уразливі версії: IBM SDK Java Technology Edition 6.0, IBM SDK Java Technology Edition 7.0.

Понад 10 різний уразливостей з виходом з обмеженого середовища.

• Security vulnerabilities in IBM Java (деталі)

У вересні, 26.09.2012, більше ніж через півтора місяці після виходу Google Chrome 21, вийшов Google Chrome 22.

В браузері зроблено декілька нововведень та виправлені помилки. А також виправлено 26 уразливостей, з яких 2 позначені як критичні, 15 - небезпечні, 6 - помірні і 3 - незначні. Це найбільший показник виправлених уразливостей починаючи з реліза 1.0.

Чимало з виправлених уразливостей виявлені за допомогою інструментарію address-sanitizer, призначеного для автоматизованого визначення фактів звертання до звільнених областей пам’яті, виходу за межі границь виділеного буфера і деяких інших типів помилок при роботі з пам’яттю.

• Релиз web-браузера Chrome 22 (деталі)

За повідомленням www.xakep.ru, Google купила антивірусний веб-сервіс VirusTotal.

Компанія Google купила безкоштовний веб-сервіс VirusTotal. Заснований у 2004 році, цей сервіс дає можливість будь-якому бажаючому завантажити підозрілий файл на сервер чи вказати URL. Файл перевіряється на віруси за допомогою більш 40 відомих антивірусних продуктів.

За ці роки VirusTotal став надійним і перевіреним інструментів в арсеналі незалежних дослідників і багатьох звичайних користувачів. До речі, та ж компанія Google давно користалася послугами VirusTotal, як говориться в офіційній заяві на сайті VirusTotal, опублікованому по факту досягнення домовленості про продаж.

Гугл використовує сервіс VirusTotal для свого Safe Browsing. І після покупки фірми він ще більше інтегрує цей сервіс зі своїм. А також цілком може випустити такий собі хмарний сервіс Google Antivirus.

За повідомленням www.opennet.ru, виявлено факт підстановки бекдора в код phpMyAdmin на одному з дзеркал SourceForge.net.

Розробники вільного проекту phpMyAdmin заявили про виявлення факту поширення на одному з дзеркал SourceForge.net модифікованого архіву phpMyAdmin-3.5.2.2-all-languages.zip, у якому був упроваджений бекдор. Ураженими виявилися системи користувачів, що при завантаженні з офіційного сайта phpMyAdmin були переспрямовані на дзеркало cdnetworks-kr-1.

Раніше я наводив багато випадків включення бекдорів в опенсорсні програми, такі як OpenSSL, OpenSSH та інші. А цього разу бекдор з’явився в phpMyAdmin.

За повідомленням www.xakep.ru, сертифікат Adobe використовувався для підпису malware.

Компанія Adobe оголосила, що з 4 жовтня анулює один з цифрових сертифікатів для програмного забезпечення, що було підписано після 10 липня 2012 року. Причина в тім, що виявлено дві хакерскі програми, які використовують інфраструктуру Adobe для генерації своїх сертифікатів.

Анулювання сертифікатів торкається платформи Windows, а також три додатки Adobe AIR, що працюють і на Windows, і на Macintosh: це Adobe Muse, додатка Adobe Story AIR і десктопні сервіси Acrobat.com.

Виявлена проблема символьних лінків у Config::IniFiles.

Уразливі версії: Perl libconfig-inifiles 2.70.

Проблема символьних лінків при створенні тимчасових файлів.

• Config-IniFiles vulnerability (деталі)

Виявлена можливість обходу обмежень обмеженого середовища (sandbox) в Java.

Уразливі продукти: Oracle JDK 7, JRE 7.

Існує кілька способів обходу обмежень і виконання привілейованого коду з аплета.

• New security issue affecting Java SE 7 Update 7 (деталі)
• Oracle Java 7 Security Manager Bypass Vulnerability (деталі)
• Information regarding recently discovered Java 7 attack (деталі)

У липні, 06.07.2012, відбувся масовий взлом сайтів на сервері Hetzner Online AG. Нещодавно я вже розповідав про інші масові взломи.

Був взломаний сервер німецької компанії Hetzner Online AG, на якому хостилися українські сайти. Взлом відбулася після згаданого масового взлому сайтів на сервері Adamant.

Всього було взломано 24 сайти на сервері компанії Hetzner Online (IP 176.9.90.197). Це наступні сайти: kprda.arsana.com.ua, catalog.novini.net.ua, dopros.arsana.com.ua, eljuris.arsana.com.ua, iren.arsana.com.ua, lawonline.arsana.com.ua, lesya.arsana.com.ua, stezhkami.arsana.com.ua, all.arsana.com.ua, portatemporis.com, daniloviko.com.ua, lesiapylypchuk.com.ua, nachasi.com.ua, novini.net.ua, polimet.km.ua, vip-info.com.ua, zabava-tour.com, kprda.gov.ua, portatempus.com, arsana.com.ua, fishka-shop.com, wellkamianets.com.ua, eljuris.com.ua, pererojdenie.info. Серед них український державний сайт kprda.gov.ua. Це черговий державний сайт, що хоститься закордоном.

Всі 24 сайти були взломані хакером nO lOv3 на протязі одного дня.

Враховуючи велику кількість сайтів на одному сервері та короткий проміжок часу для дефейсу всіх 24 сайтів, то вони могли бути атаковані хакером nO lOv3 через взлом серверу хостінг провайдера. Коли через взлом одного сайта, через уразливості в програмному забезпеченні самого сервера, атаковані інші сайти на даному сервері. Або вони могли бути атаковані через взлом одного сайта та подальшого взлому всіх сайтів в акаунті.