Websecurity - Веб безпека

У Москві затриманий хакер з Казахстану, що підозрюється у крадіжці 1 мільйона доларів. Про це повідомила представник прес-служби УВС по Центральному федеральному окрузі столиці Олена Перфилова.

За її словами, міліціонери розшукували 20-літнього уродженця Казахстану, що підозрювався в взломі банківського рахунка. “Молода людина, по оперативним даним, взломала банківську мережу і перевела на свій рахунок з чужого більш 1 мільйона доларів, - розповіла Перфилова. - Перевівши в готівку частину суми, він прибув на територію Росії, після чого був оголошений у федеральний розшук”.

У Росії він, за даними міліції, переїжджав з одного міста в інше, намагаючись зробити документи для виїзду з країни в Європу. “У Москві він спробував зняти частину грошей, що залишилася на його рахунку, що був на той час заблокований”, - продовжила представниця УВС.

За її словами, у результаті спільної роботи співробітників карного розшуку ОВД району “Арбат” і співробітників Департаменту карного розшуку МВС Росії в приміщенні одного зі столичних банків молода людина була затримана.

За словами самого хакера, він хотів відправитися в Німеччину на постійне місце проживання. У відношенні кіберзлочинця порушена кримінальна справа по статті 159 КК РФ “Шахрайство”, ведеться розслідування.

По матеріалам http://www.xakep.ru.

08.06.2009

Виявлені численні уразливості безпеки в Apache Tomcat.

Уразливі версії: Apache Tomcat 4.1, Tomcat 5.5, Tomcat 6.0.

Витік інформації, перевірка існування користувача, DoS.

• CVE-2009-0580 UPDATED Apache Tomcat User enumeration vulnerability with FORM authentication (деталі)
• CVE-2009-0783 Apache Tomcat Information disclosure (деталі)
• CVE-2009-0580 Apache Tomcat User enumeration vulnerability with FORM authentication (деталі)
• CVE-2009-0033 Apache Tomcat DoS when using Java AJP connector (деталі)

11.06.2009

Додаткова інформація.

• CVE-2008-5515 RequestDispatcher directory traversal vulnerability (деталі)

18.06.2009

Додаткова інформація.

• UPDATED CVE-2008-5515 RequestDispatcher directory traversal vulnerability (деталі)

Виявлена можливість проведення DoS атаки проти Mozilla Firefox на Linux та Unix платформах.

Уразливі версії: Mozilla Firefox 3.0.

Відмова при використанні великого зображення GIF в якості body background.

• Firefox (GNU/Linux version) <= 3.0.10 Denial Of Services (деталі)

Нещодавно, 11.06.2009, вийшов Firefox 3.0.11. В якому було виправлено 9 уразливостей: чотири критичні, одна високого, дві середнього та дві низького рівня ризику.

Про численні уразливості в Mozilla Firefox, які були виправлені в даній версії, я вже писав детально.

Жодна зі знайдених мною уразливостей (зокрема цьогорічних), ні Properties not-inheritance уразливість, що дозволяє проводити XSS атаки, ні DoS уразливості виправлені не були. Що є типовим для Мозіли.

10.06.2009

Виявлені численні уразливості безпеки в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 5.01, 6, 7 та 8 на Windows 2000 Server, Windows 2000 Professional, Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server.

Міжсайтовий доступ, численні пошкодження пам’яті.

• [Full-disclosure] CORE-2008-0826 - Internet Explorer Security Zone restrictions bypass (деталі)
• Microsoft Security Bulletin MS09-019 - Critical Cumulative Security Update for Internet Explorer (969897) (деталі)

16.06.2009

Додаткова інформація.

• FortiGuard Advisory: Microsoft Internet Explorer DHTML Handling Remote Memory Corruption Vulnerability (деталі)
• Microsoft Internet Explorer Event Handler Memory Corruption Vulnerability (деталі)
• Microsoft Internet Explorer Concurrent Ajax Request Memory Corruption Vulnerability (деталі)
• Microsoft Internet Explorer onreadystatechange Memory Corruption Vulnerability (деталі)
• Microsoft Internet Explorer 8 Rows Property Dangling Pointer Code Execution Vulnerability (деталі)
• Microsoft Internet Explorer setCapture Memory Corruption Vulnerability (деталі)

Виявлені численні уразливості в Mozilla Firefox.

Уразливі версії: Mozilla Firefox 3.0.

Підвищення привілеїв, міжсайтовий доступ до даних, DoS, короткочасні умови, підміна SSL при використанні проксі, численні пошкодження пам’яті.

• Mozilla Foundation Security Advisory 2009-24 (деталі)
• Mozilla Foundation Security Advisory 2009-25 (деталі)
• Mozilla Foundation Security Advisory 2009-26 (деталі)
• Mozilla Foundation Security Advisory 2009-27 (деталі)
• Mozilla Foundation Security Advisory 2009-28 (деталі)
• Mozilla Foundation Security Advisory 2009-29 (деталі)
• Mozilla Foundation Security Advisory 2009-30 (деталі)
• Mozilla Foundation Security Advisory 2009-31 (деталі)
• Mozilla Foundation Security Advisory 2009-32 (деталі)
• Secunia Research: Mozilla Firefox Java Applet Loading Vulnerability (деталі)

Виявлена можливість обходу фільтрів в ModSecurity (популярному WAF). Я сам регулярно обхожу WAF на різних веб сайтах (в тому числі й ModSecurity) і окремих advisory з цього приводу не роблю, але даний опис уразливості в ModSecurity доволі цікавий (за рахунок опису HPP атаки), тому вирішив про нього написати.

Уразливі версії: ModSecurity 2.5.9 та попередні версії.

Обхід фільтрів можливий через HTTP Parameter Pollution (HPP) атаку на веб додатки на ASP/ASP.NET.

• ModSecurity <= 2.5.9 (Core Rules <= 2.5-1.6.1) Filter Bypass Vuln (деталі)

Виявлена можливість обходу аутентифікації WebDAV в Microsoft IIS, про що я вже розповідав.

Уразливі продукти: Microsoft Internet Information Services на Windows 2000 Server, Windows 2000 Professional, Windows XP, Windows 2003 Server.

Можливий анонімний доступ до ресурсів, що вимагають аутентифікацію.

• Microsoft Security Bulletin MS09-020 - Important Vulnerabilities in Internet Information Services (IIS) Could Allow Elevation of Privilege (970483) (деталі)

Деякий час тому в США стартував суд над Филипом Габрієлем Петтерсоном. 21-літнього шведа обвинувачують у взломі мереж компанії Cisco і NASA.

Як повідомляється, Петтерсону, більш відомому під ником Stakkato, пред’являються обвинувачення в одержанні коду ПЗ Cisco IOS і його опублікуванні в травні 2004 року. Ситуація посилюється тим, що на базі даного ПЗ працюють, приміром, маршрутизатори Cisco.

Також Петтерсону ставиться в провину проникнення в комп’ютерну мережу NASA у жовтні і травні 2004 року. Зокрема, він взломав машини суперкомп’ютерного підрозділу NASA і дослідницького центра Еймса.

Максимальне покарання, що загрожує хакеру - 10 років в’язниці по кожному з пунктів обвинувачення. Його також можуть зобов’язати виплатити штраф на суму $250000.

По матеріалам http://itua.info.

Деякий час тому була оприлюднена уразливість в Mozilla Firefox. Для якої був розроблений експлоіт. Після чого були оприлюднені подібні експлоіти для Opera та Safari, що базуються на експлоіті для Firefox.

Атака відбувається через XML-парсер в даних браузерах.

• Firefox 3.0.x (XML Parser) Memory Corruption / DoS PoC (деталі)
• Opera 9.64 (7400 nested elements) XML Parsing Remote Crash Exploit (деталі)
• Safari 3.2.2/4b (nested elements) XML Parsing Remote Crash Exploit (деталі)

Уразливі Mozilla Firefox 3.0.10 та попередні версії.

Уразливі Opera 9.64 та попередні версії.

Уразливі Safari 3.2.2/4b та попередні версії.