Websecurity - Веб безпека

28.09.2009

Виявлені численні уразливості безпеки в PHP.

Уразливі версії: PHP 5.2, PHP 5.3.

Підміна сертифікатів, пошкодження пам’яті при розборі зображень.

• Vulnerabilities in PHP (деталі)

27.04.2010

Додаткова інформація.

• PHP <=5.3 - preg_match() full path disclosure (деталі)
• PHP <=5.3 - mysqli_real_escape_string() full path disclosure (деталі)
• Vulnerability in gd (деталі)

Пропоную вашій увазі добірку цікавих новин на тему безпеки.

За повідомленням ain.ua, у Twitter з’явилася система перевірки лінок. Сервисі скорочення посилань, що використовуються в мікроблогах, є одним зі способів поширення шкідливого програмного забезпечення. Таке коротке посилання може вести на заражений чи фішинговий сайт. Тому адміністрація Twitter сьогодні повідомила про появу нового інструмента перевірки зовнішніх лінок. Метою цього інструмента є захист від фішинга і поширення вірусів.

Про атаки через редиректори та про небезпеки сервісів редирекції я писав неодноразово. Зокрема я писав про розповсюдження шкідливого ПЗ через TinyURL. Подивимося, чи зможе новий сервіс Twitter (як і нова ініциатива TinyURL) впоратися з перевіркою лінок, враховучи ефективність існуючих систем пошуку вірусів на веб сайтах. Подивимося, чи зроблять вони свою технологію, чи використають вже існуючі від інших компаній.

За повідомленням hackzona.com.ua, компанії втрачають $2 мільйони в рік через кібератаки. Symantec опублікував результати свого глобального дослідження корпоративної безпеки.

Дослідження показало, що 42% компаній вважають забезпечення безпеки одним з ключових завдань. Результати не стали сюрпризом, оскільки за останні 12 місяців кібератакам піддалися до 75% організацій. Подібні атаки обходяться компаніям в середньому по $2 мільйони в рік.

За повідомленням www.theregister.co.uk, thousands of sites loaded with potent malware cocktail. Компанія ScanSafe, що розробила сервіс подібний до моєї системи Web VDS, виявила тисячі нових інфікованих сайтів.

За повідомленням компанії, що була торік куплена Cisco, кіберзлочинці розмістили на приблизно 2000 легітимних веб сайтах коктейл зі шкідливих кодів, що заражає відвідувачів даних сайтів. Подібне трапляється щодня, але ScanSafe відзначає, що цього разу використовувалися просунуті методи приховування шкідливих файлів, які значно ускладнили їх виявлення адмінами сайтів чи anti-malware програмами.

Виявлені можливості обходу захисту в Imperva SecureSphere WAF.

Уразливі версії: Imperva SecureSphere 7.0.

Можливий обхід фільтрів Web Application Firewall, що дозволяє проводити SQL Injection, Cross-Site Scripting та інші атаки на веб додатки, що захищаються SecureSphere. Як я вже зазначав стосовно Apache mod_security, обхід WAF - це звичайна справа (ще з 2006 року я регулярно обхожу різні WAF).

• Imperva SecureSphere Web Application Firewall and Database Firewall Bypass Vulnerability (деталі)

На початку квітня вийшло оновлення безпеки для Invision Power Board 3.0.5, що вийшла в грудні 2009 року. В даному оновленні виправлена невелика Information Leakage уразливість, яка стосується 3.0.x версій движка.

• Обновление безопасности в IP.Board 3.0.5 (деталі)

Компанія IBResource повідомляє про вихід оновлення безпеки в IP.Board останніх версій, а саме IPB 3.0.5. Була знайдена невелика уразливість, пов’язана з недостатньою перевіркою вхідних даних при редагування профілю. В останній версії дистрибютива IPB 3.0.5 дана уразливість вже виправлена.

Пропоную вашій увазі добірку цікавих новин на тему безпеки.

За повідомленням hackzona.com.ua, ФБР розповіло про структуру кібербанд. ФБР представило типову структуру банди, що займається злочинами у сфері комп’ютерних технологій.

Заступник директора департаменту ФБР з кіберзлочинів Стівен Чабінскі заявив, що кібербанди починають нагадувати за своєю структурою високоорганізовані злочинні синдикати, тобто мафію. Він також зазначив, що боротьба зі злочинами у сфері високих технологій перетворилася в найважливішу задачу для ФБР.

Цікаво, звідки у ФБР інформація про внутрішню структуру кібербанд. Може вони власну банду створили і розповідають виходячи з власного досвіду. Або може вони свого агента впровадили в подібну банду.

За повідомленням ain.ua, Internet Explorer 8 краще всіх захищає від загроз. Компанія NSS Labs представила звіт про безпеку сучасних браузерів. Відповідно до цього звіту, Internet Explorer 8 краще інших справляється з захистом комп’ютера від онлайн-загроз.

Дана програма для веб-серфінга блокує в три рази більше небезпечних додатків і лінок, ніж інші програми - Chrome 4, Firefox 3.5 чи Opera 10. Зазначу, що торік я вже писав про те, що IE8 перемагає в серії тестів на безпеку (проведених ціє ж компанією NSS Labs). І як і того разу, в новому проплаченому Microsoft тесті нічого не змінилося .

Як раніше повідомляли онлайн ЗМІ, Касперьский заблокував Яндекс.Метрику. За повідомленням www.f1cd.ru, через деякий час проблема KIS 2010 з Яндекс.Метрикою була усунута.

Проблема полягала в тому, що Kaspersky Internet Security 2010 вважав сайти, на яких розміщений код Яндекс.Метрики шкідливими. Даний інцидент подібний до випадку з Google AdSense, коли Антивірус Касперського признав в Google AdSense трояна. Зазначу, що якщо б Касперський використовував в своїх антивірусах не власні бази для пошуку вірусів на сторінках, а мою систему Web Virus Detection System, то такої проблеми не сталося би.

Виявлена можливість проведення timing-атак на Apache CouchDB.

Уразливі версії: Apache CouchDB 0.10.

Алгоритм перевірки пароля дозволяє вгадати довжину співпадаючої частини.

• Apache CouchDB Timing Attack Vulnerability (деталі)

23.09.2009

Виявлені численні уразливості безпеки в mod_proxy_ftp під Apache.

Уразливі версії: Apache 2.0, Apache 2.2.

Відмова в обслуговуванні, обхід обмежень.

• Vulnerabilities in mod_proxy_ftp in Apache (деталі)

13.04.2010

Додаткова інформація.

• HP Secure Web Server for OpenVMS (based on Apache) CSWS, Remote Denial of Service (DoS), Unauthorized Disclosure of Information, Unauthorized Modification of Information (деталі)

Пропоную вашій увазі добірку цікавих новин на тему безпеки.

За повідомленням www.bezpeka.com, Microsoft випускає екстрене оновлення для Internet Explorer. Вже після виходу березневого вівторка патчів, Microsoft випустила позачергове екстрене оновлення для браузера Internet Explorer різних версій.

До складу кумулятивного оновлення ввійшов патч для діри, що зловмисники експлуатують вже декілька тижнів. Уразливість дозволяє одержати несанкціонований доступ до віддаленого комп’ютера з правами поточного користувача через сформовану спеціальним чином веб-сторінку. Проблема торкається Internet Explorer 6 і 7.

За повідомленням techlabs.by стосовно випуску позачергового патча для Internet Explorer, Microsoft планує виправити уразливості в IE6 та IE7. А також компанія закриє ще декілька критичних уразливостей, що містяться в тому числі й у восьмій версії браузера.

Вперше про уразливість в IE6 і 7 було заявлено 9 березня, на той час говорилося про цілеспрямовані атаки. Трохи пізніше ізраїльський дослідник Моше Бен Абу створив робочій експлоіт для дірки й опублікував його вихідний код. Тим самим він стимулював Microsoft швидше виправити дірки в своєму браузері.

За повідомленням www.theregister.co.uk, Cisco borgs real-time security biz ScanSafe. Минулої осені компанія Cisco купила ScanSafe - компанію, що надавала послуги по виявленню шкідливих веб сайтів.

ScanSafe розробила сервіс подібний до моєї системи Web VDS. Їхній секюріті сервіс в реальному часі аналізує запити користувачів компаній до веб сайтів, на предмет шкідливості вмісту даних сайтів. Що цікаво, Cisco купила дану компанію за 183 мільйони доларів. Це ще один приклад нагоди (до раніше згаданої), яку впустила Head Technology в цій сфері.

Виявлені численні уразливості в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 6 і 7 на Windows 2000 Server, Windows 2000 Professional, Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server.

Численні уразливості використовуються для прихованого встановлення шкідливого коду.

• Microsoft Internet Explorer Tabular Data Control ActiveX Remote Code Execution Vulnerability (деталі)
• Microsoft Internet Explorer TIME2 Behavior Remote Code Execution Vulnerability (деталі)
• Microsoft Internet Explorer ‘onreadystatechange’ Use After Free Vulnerability (деталі)
• Microsoft Security Bulletin MS10-018 - Critical Cumulative Security Update for Internet Explorer (980182) (деталі)

Наприкінці 2009 року була виявлена Command Execution уразливість в dotDefender. В даному випадку в dotDefender Site Management - в панелі адміністратора даного WAF.

Уразливі версії: dotDefender 3.8-5 та попередні версії.

Виконання команд можливе через CSRF-атаки на адміна, або при отриманні доступу до адмінки.

• Remote Command Execution in dotDefender Site Management (деталі)

Зазначу, що раніше я вже писав про уразливості на www.applicure.com - сайті виробника dotDefender. І з часом я оприлюдню інформацію про уразливості в самому WAF DotDefender.