Websecurity - Веб безпека

Виявлені Cross-Site Scripting уразливості в Adobe Coldfusion.

Уразливі версії: Adobe Coldfusion 8.

Численні умови міжсайтового скриптінга.

• Adobe Coldfusion 8 Multiple Linked XSS Vulnerabilies (деталі)

Ідея створення систем honeypot полягає в тому, щоб заманити хакерів на сервер чи у мережу, а потім стежити за ними. У консорціуму Web Application Security Consortium (WASC) мається для нападників свій власний різновид такої системи, що складається із суміші відкритого ПЗ і відкритих проксі-серверів.

Проект WASC за назвою Distributed Open Proxy Honeypot Project досяг третьої фази свого розвитку, у ході якої відбудеться його більш широке розгортання з залученням додаткових фахівців. Ціль все та ж - надати дослідникам і правоохоронним органам новий засіб для боротьби з мережевими атаками. Глава проекту Райан Барнетт підкреслює, що кількість пасток тепер збільшиться з 14 до 60, при цьому ідентифікувати й аналізувати шкідливий трафік буде набагато більше число експертів.

Звичайно honeypot-и видають себе за легку ціль для нападу, тому, за словами Барнетта, вони в основному залучають до себе увагу автоматизованих програм, що сканують діапазони IP-адрес і випадково натикаються на адреси, що належать honeypot. Open Proxy Honeypot Project заснований на інших принципах.

Райан Барнетт відзначає, що проект складається з відкритих проксі-серверів, через які люди можуть перенаправляти свій трафік. Зловмисники користуються такими проксі-серверами, щоб сховати джерело проведення атаки, тому WASC прагне надати їм саме такі проксі, через які вони захочуть робити свої набіги.

Серце проекту - відкрите програмне забезпечення. Для перенаправлення трафіка використовується веб-сервер Apache, а для його аналізу - відкрите доповнення mod_security, що зазвичай застосовують у якості фаєрвола для встановлення розширених наборів правил. У Open Proxy Honeypot Project це доповнення нічого не забороняє і не обмежує, а лише намагається вірно класифікувати трафік.

По матеріалам http://www.xakep.ru.

Виявлена можливість проведення DoS атаки проти Microsoft ASP.NET.

Уразливі продукти: Internet Information Services (IIS) 7.0 на Microsoft Windows Vista та Windows 2008 Server.

• Microsoft Security Bulletin MS09-036 - Important Vulnerability in ASP.NET in Microsoft Windows Could Allow Denial of Service (970957) (деталі)

Виявлене цілочисленне переповнення в Adobe Flash Player та AIR.

Уразливі продукти: Adobe Flash Player 10.0, AIR 1.5.

Цілочисленне переповнення в полі intf_count структури instance_info.

• Adobe Flash Player Invalid Loader Object Reference Vulnerability (деталі)
• Adobe Flash Player URL Parsing Heap Overflow Vulnerability (деталі)
• Advisory: Adobe Flash Player and AIR AVM2 intf_count Integer Overflow Remote Code Execution (CVE-2009-1869) (деталі)

31.07.2009

Виявлені численні уразливості безпеки в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 5.01, 6, 7 та 8 на Windows 2000 Server, Windows 2000 Professional, Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server.

Численні ушкодження пам’яті, крім того, додане тимчасове рішення для уразливості бібліотеки ATL.

• Microsoft Security Bulletin MS09-034 - Critical Cumulative Security Update for Internet Explorer (972260) (деталі)

07.08.2009

Додаткова інформація.

• Microsoft Internet Explorer getElementsByTagName Memory Corruption Vulnerability (деталі)
• Microsoft Internet Explorer CSS Behavior Memory Corruption Vulnerability (деталі)
• Microsoft Internet Explorer HTML TIME ‘ondatasetcomplete’ Use After Free Vulnerability (деталі)

У червні, 25.06.2009, вийшла Invision Power Board 3.0.0 - нова версія відомого форумного движка IPB. IPB 3 - це повністю новий продукт, в якому є чимало нововведень порівняно з IPB 2.х. Тому всі, хто користується движком IPB, можуть звернути увагу на нову версію.

Через деякий час вийшло оновлення IPB 3.0.1, в якому виправлені баги, що були знайдені в версії 3.0.0. А нещодавно, 03.08.2009, вийшла російська версія IP.Board 3.0.1.

• Русская версия форума IP.Board v3.0.1 (деталі)

Компанія IBResource випустила російську версію IP.Board 3.0.1. Invision Power Board - це зовсім новий продукт, що включив у себе всі сучасні технології і користувацький досвід. Нова версія - значний крок уперед, це нова платформа з безліччю нових унікальних можливостей для користувачів і адміністраторів.

Основні переваги третьої версії перед своїми попередниками:

• новий вигляд;
• удосконалена система стилів;
• інтеграція в глобальну мережу;
• оптимізація для пошукових систем (SEO);
• особисті переписування;
• глобальна система скарг;
• рейтинги;
• перероблена архітектура додатка;
• упровадження механізму модифікації (hooks).

В минулому місяці, 21.07.2009, вийшов Firefox 3.0.12. В якому було виправлено 7 уразливостей:

• Crashes with evidence of memory corruption (rv:1.9.1/1.9.0.12)
• Crash and remote code execution during Flash player unloading
• Heap/integer overflows in font glyph rendering libraries
• Crash and remote code execution using watch and __defineSetter__ on SVG element
• Data corruption with SOCKS5 reply containing DNS name longer than 15 characters
• setTimeout loses XPCNativeWrappers
• Multiple cross origin wrapper bypasses

Про численні уразливості в Mozilla Firefox, які були виправлені в даній версії, я вже писав детально.

І вже на початку цього місяця, 03.08.2009, вийшла нова версія Firefox 3.0.13. В якій були виправлені 3 нові уразливості:

• Compromise of SSL-protected communication
• Heap overflow in certificate regexp parsing
• Location bar and SSL indicator spoofing via window.open() on invalid URL

Виявлене пошкодження пам’яті в Adobe Flash Player. Що призводить до виконання коду, як я вже писав раніше і наводив приклад експлоіта для Adobe Flash.

Уразливі продукти: Adobe Flash Player 9.0, Flash Player 10.0, Acrobat 9.1, Adobe Reader 9.1.

Пошкодження пам’яті при відтворенні Flash.

• Adobe Flash Vulnerability Affects Flash Player and Other Adobe Products (деталі)
• Security advisory for Adobe Reader, Acrobat and Flash Player (деталі)

Чиновники з органів влади США і Південної Кореї вважають, що кібератака, якій на позаминулому тижні піддалися сім південнокорейських сайтів (серед яких був і офіційний сайт уряду цієї республіки), а також ряд ресурсів у Сполучених Штатах (у їхньому числі були сайти Секретної служби, Федеральної торгової комісії і Міністерства транспорту), була організована Північною Кореєю.

Однак технічний директор каліфорнійської компанії Іmperva Амічай Шульман має свою думку на цей рахунок. Він вважає, що немає ніяких підстав стверджувати, що атака направлялася винятково з Північної Кореї.

За словами Шульмана, для проведення цієї DDoS-атаки використовувалися зомбі, розосереджені по всьому світі. Крім того, така атака коштує порівняно дешево - близько 50000 доларів, що дозволяє замовити її проведення не тільки уряду Північної Кореї, але і горезвісному Тоні Сопрано.

Шульман вважає, що атака дійсно проводилася хакерами, що симпатизують Північній Кореї, однак обвинувачувати в її організації один лише північнокорейський уряд не варто.

По матеріалам http://www.xakep.ru.

Виявлена уразливість міжсайтового скриптінгу в Google Chrome.

Уразливі версії: Google Chrome 2.0.

Міжсайтовий скриптінг через chrome://history/ і view-source:chrome://history/.

• cross site scripting the browser google “chrome” (деталі)

Якщо дана уразливість працює лише в Chrome 2 (бо в мене в першій версії Хрома вона не спрацювала), то знайдена мною Cross-Site Scripting уразливість в Google Chrome, працює в усіх версіях Chrome (0.x, 1.x, 2.x).