Websecurity - Веб безпека

Виявлений вихід за межі каталогу через WebDav в Apache Tomcat (directory traversal).

Можливе одержання файлів по абсолютному шляху через DAV-запрос LOCK.

• Apache Tomcat File Disclosure (Exploit) (деталі)

Фахівці компанії Core Security Technologies ще влітку на конференції Black Hat продемонстрували новий тип атаки на комерційні бази даних, за допомогою якої зловмисники зможуть одержувати з баз даних закриту інформацію, причому в самій системі керування базами даних чи у сполучному програмному забезпеченні може і не бути яких-небудь уразливостей.

Під час демонстрації уразливості фахівці компанії заявили, що в даному випадку використовується так звана атака таймінга, техніка застосовувана для взлому багатьох криптографічних систем. Нова атака ефективно працює проти алгоритму Btree, використовуваного для створення індексів майже у всіх популярних СУБД, наприклад у MySQL чи Oracle.

“На сьогодні загрози безпеки стосуються в основному помилок у програмному забезпеченні чи невірній конфігурації мережевого оточення і додаткового сполучного програмного забезпечення, тому зловмисники можуть одержати доступ до даних, так чи інакше обійшовши систему авторизації й аутентифікації” - говорять у Core Security.

Новий же тип атак цілком покладається на спадкоємні характеристики алгоритмів індексування даних. У криптографії, атаки, що використовують метод таймінга, являють собою спеціальну техніку, коли нападник аналізує час, витрачений програмою на виконання криптографічного алгоритму.

Далі, за допомогою статистичних даних про швидкість роботи усіх використовуваних алгоритмів хакер з відкритих джерел одержує інформацію про те, який алгоритм використовується (на підставі даних за часом), а також яка саме криптографічна система розгорнута. Після чого, робота зловмисника зводиться до виявлення готових експлоітів для зв’язки алгоритм шифрування - програма шифрування, або до створення власного “ключа” для цього алгоритму, що більш складно, але і більш ефективно.

У випадку з базами даних підхід той же. Зловмисник, що бажає, наприклад, одержати закриті дані з БД якого-небудь сайта, заходить на цей сайт, після чого робить тестові виміри часу виконання команди Insert, що відповідає за додавання даних у БД. Зробити це можна масою способів, наприклад, написавши у форумі сайта повідомлення різної довжини. Далі порівнюються дані вставки малого і великого обсягу даних. У результаті тимчасових вимірів (таймінга) у зловмисника з’являються дані про використовувану СУБД і її версію. Ще більш ефективний метод таймінга у випадку одночасної вставки даних різного обсягу.

В результаті одержання даних про час виконання, можна буде одержати інформацію про структуру даних і дерево індексів СУБД, після чого задача зловмисника по одержанню закритих даних багаторазово спрощується. Ще одна небезпека даного методу в тім, що виявити дану атаку при активному відвідуванні сайта практично неможливо, тому що крім зловмисника з даними активно працюють і легітимні користувачі.

По матеріалам http://www.secblog.info.

Як деякий час тому повідомила Symantec, додаткові пошукові оператори Google допомагають спамерам обходити спам-фільтри. Пошуковий запит, у результаті якого видається бажаний сайт, має більше шансів дійти до кінцевого інбокса, чим пряме посилання.

Новий трюк, освоєний спамерами, працює таким чином. Для початку створюється точний пошуковий запит, у результаті якого Google видає одне єдине посилання - на рекламований сайт. Потім за допомогою додаткового оператора в рядку URL симулюється натискання кнопки “Мені повезе!”, що відсилає відвідувача прямо на перший сайт у списку. Готовий URL розсилається в спамі замість прямого посилання на сайт.

Для створення унікального запиту спамери використовують комбінацію операторів intext та inurl, що дозволяють звузити поле пошуку до вмісту сайта і його домена.

По матеріалам http://news.internetua.com.

P.S.

Використання пошукових систем, зокрема Гугла, для того, щоб обійти спам фільтри для розсилання спаму, а також лінків на фішінг та зловмисні сайти - це відоме явище. Про подібні речі говорили ще задовго до Symantec, зокрема трюк з I’m Feeling Lucky для симуляції редиректора давно відомий. Але це лише один з варіантів, інший - це використання редиректорів. В 2006 році я вже розповідав про використання редиректорів у злочинних цілях. Тому існує ряд можливостей для обходу фільтрів.

Ще в минулому році була виявлена уразливість міжсайтового скриптінга через RSS у багатьох додатках.

Уразливі продукти: Darksky RSS 1.28, Sleipnir 2.49, Portable Sleipnir 2.45, Firefox Sage extension 1.3.

Можливе впровадження скриптів у вміст RSS-новин.

• Cross-zone scripting vulnerability in Darksky RSS bar for Internet Explorer, Sleipnir and unDonut (деталі)
• Cross-zone scripting vulnerability in Sleipnir and Portable Sleipnir (деталі)
• XSS vulnerability in Firefox Sage extension (деталі)

Компанія Гугл має наміри запропонувати корпоративним клієнтам SaaS-рішення в галузі безпеки.

Ресурсом і основою для них стануть розробки, отримані компанією в результаті поглинання в 2007 році фірм GreenBorder Technologies і Postini. Травнева покупка дала Google технології захисту ПК за допомогою переміщення веб-браузерів Microsoft Internet Explorer і Mozilla Firefox і поштового клієнта Outlook у спеціальне, ізольоване середовище. А завдяки липневому придбанню в розпорядження до пошукового гіганта потрапили інструменти захисту систем обміну повідомленнями. Останні недавно були інтегровані в рішення Google Apps Premier Edition. Очевидно, не варто недооцінювати і факт одержання Google інженерів компаній, що будуть не тільки поєднувати сервіси забезпечення безпеки з прикладними рішеннями, але і працювати над новими захисними засобами.

Варто відмітити, що цілі даної ініціативи Google відмінні від цілей постачальників SaaS-рішень забезпечення безпеки. Якщо останні (наприклад, Symantec), як правило, пропонуючи нову категорію продуктів, прагнуть захопити частину ринку захисних онлайн-засобів, що швидко розвивається, то для першої головне - за допомогою таких рішень вселити в людей упевненість у цілості їх даних. Адже однією з головних перешкод до застосування сервісного ПЗ є побоювання за надійність збереженої на іншому кінці земної кулі інформації і відсутність належного рівня контролю над часом надзвичайно важливими даними.

По матеріалам http://www.ko.itc.ua.

Браузер Firefox від Mozilla є набагато більш небезпечним, ніж Internet Explorer, заявила Microsoft у доповіді “Аналіз уязвимостей Internet Explorer і Firefox”.

Автор доповіді, Джеф Джонс, директор по стратегії безпеки групи Microsoft Trustworthy Computing, порівнює кількість і ступінь небезпеки уразливостей в обох браузерах з моменту виходу Firefox у листопаді 2004 р. За три роки в різних версіях IE було усунуто 87 уразливостей, а в Firefox - 199. Якщо порівнювати уразливості по степені небезпеки (”висока”, “низька”, “середня”), то Firefox лідирує по кількості у всіх категоріях.

Доповідь викликала негативну реакцію серед прихильників Mozilla. Головний ідеолог Mozilla Майк Шейвер назвав дослідження Microsoft неспроможним, ледачим і навіть “злочинним”.

“Якщо в Америці лікують зуби частіше, ніж в Африці, то це не значить, що наші зуби гірше”, - сказав Шейвер. Microsoft, на його думку, зробила висновок з точністю до навпаки: якщо уразливостей усунуто більше, те браузер, відповідно, безпечніше, стверджує він. Більш того, Microsoft не врахувала свої недокументовані патчі і патчі, включені в Service Pack. І, нарешті, один бюлетень безпеки Microsoft може містити декілька патчів, а в доповіді не зазначено, чи була врахована ця деталь. “Для того щоб виглядати краще Microsoft, - написав Шейвер у своєму блозі, - необхідно перестати виправляти й обнародувати уразливості, знайдені самими розробниками”.

По матеріалам http://www.securitylab.ru.

P.S.

Іншого від Microsoft і не почуєш: тільки заяви, що продукти конкурентів (будь то браузери, ОС чи інші додатки) менш безпечні ніж іхні, хоча хакають щодня в основному саме користувачів продуктів Майкрософт. Правду сказати вони не можуть . Зато діри в Internet Explorer, баги в патчах та дослідження незалежних компаній, говорять про наявність серйозних проблем безпеки в IE.

Виявлена можливість доступу до захищених файлів у Microsoft IIS (unauthorized access).

Уразливі версії: Microsoft IIS 5 на Windows 2000 Server.

Через шаблон null.htw можливий доступ до файлів сервера, що вимагають аутентифікацію.

• Microsoft IIS5 NTLM and Basic authentication bypass (деталі)

Виявлено переполнение буфера в бібліотеці t1lib та в PHP, що використовує дану бібліотеку.

Уразливі версії: PHP 4.4, PHP 5.2, t1lib 5.1.

Переповнення буфера в функції intT1_Env_GetCompletePath().

• T1Lib Buffer Overflow Vulnerability (деталі)
• t1lib vulnerability (деталі)

Виявлені численні уразливості в PCRE, що дозволяють віддаленому користувачу одержати доступ до важливих даних, викликати відмову в обслуговуванні та скомпрометувати цільову систему.

Уразливі версії: PCRE версії до 7.3.

1. Уразливість існує через помилку при обробці “\Q\E” послідовностей з відділеними (orphan) “\E” кодами. Зловмисник може розсинхронизувати скомпільоване регулярне вираження і виконати ушкоджені байт-коди.

2. Уразливість існує через помилку при обробці різних класів символів. Зловмисник може змусити додаток звернутися до неіснуючої ячейки пам’яті і викликати відмову в обслуговуванні.

3. Уразливість існує через помилку при обробці різних “\X?\d” і “\P{L}?\d” шаблонів у відмінному від UTF-8 режимі. Зловмисник може викликати відмову в обслуговуванні процесу чи одержати доступ до деяких даних.

4. Уразливість існує через помилку при пошуку лапок чи круглих дужок. Зловмисник може за допомогою спеціально сформованого рядка аварійно завершити роботу додатка.

5. Цілочислені переповнення буфера виявлені при обробці escape-символів. Віддалений користувач може викликати ушкодження динамічної пам’яті й аварійно завершити роботу додатка чи виконати довільний код на цільовій системі.

6. Уразливість існує через помилку при обробці “\P” і “\P{x}” послідовностей. Зловмисник може викликати зациклення додатка чи переповнення динамічної пам’яті і скомпрометувати цільову систему.

7. Уразливість існує через помилку в оптимізації класу символів, що містить одиночну Unicode послідовність. Зловмисник може викликати переповнення динамічної пам’яті і виконати довільний код на цільовій системі.

• Множественные уязвимости в PCRE (деталі)

В минулому році компанія Cenzic представила десятку основних уразливостей веб-додатків в I кварталі в “Доповіді про тенденції безпеки додатків”. Документ визначає 1561 уразливість у відомих комерційних і відкритих додатках. Ситуація ж з доморощеними розробками обстоїть набагато гірше, оскільки в них уразливостей більше, ніж у масових продуктах.

Найбільш розповсюдженими уразливостями виявилися вкладення файлів, SQL-ін’єкції, міжсайтові сценарії (XSS) і обхід директорій - 63%. Більшість уразливостей знайдено у веб-серверах, веб-додатках і веб-браузерах.

На першому місці десятки уразливостей стоїть Adobe Acrobat Reader - у ньому можливі атаки міжсайтових сценаріїв і віддалене виконання довільного коду.

Друге місце займає Google Desktop: ряд уразливостей дозволяє здійснити XSS і одержати доступ до даних на комп’ютері користувача.

IBM Websphere, на третім місці, уразливий до атак “розбивки HTTP відповідей”, що приводять до впровадження стороннього коду в кеші, підстановці контента чи XSS.

Lotus Domino Web Access стоїть на четвертому місці: функція Active Content Filter не справляється з відфільтровуванням коду сценаріїв, переданих користувачем усередині електронного листа. Ці сценарії виконуються в поштовому клієнті одержувача.

П’яте місце - за PHP: відмова в обслуговуванні вкладених масивів. Помилка при рекурсивному обході масивів дозволяє здійснити DoS-атаку на пакет PHP, що приводить до аварії на сервері.

Шосте також дісталося PHP: ряд уразливостей типу переповнення буфера, що дозволяють виконати віддалено код і приводять до DoS-атак.

Наступним, сьомим у списку, йде IBM Rational ClearQuest Web 7.0.0.0: XSS-уразливість у продукті дозволяє вбудувати довільний сценарій через вкладення з метою внесення дефектів у записі журналу подій.

На восьмому місці розташувався Sun Java Access Manager: ряд уразливостей XSS, можливість підвищення привілеїв за рахунок викрадення cookies з даними про сесії і різні способи підстановки чужорідного веб-контента.

Apache Tomcat зайняв дев’яте місце: переповнення буфера в Apache Tomcat JK Web Server Connector дозволяє виконати довільний код на сервері.

Замикає десятку BEA WebLogic: переповнення буфера, віддалене виконання коду, відмова в обслуговуванні (DoS) і доступ до закритої інформації.

Фахівці Cenzic, використовуючи дані софтверного сервісу перевірки уразливостей Cenzic ClickToSecure і досліджень, проведених у власній лабораторії, з’ясували, що більш 70% проаналізованих веб-додатків потенційно уразливі до крадіжки інформації.

Помилки в архітектурі, при написанні коду і ненадійні настроювання як і раніше є основними причинами атак. XSS - найпоширеніший вид атаки: він можливий у 70% додатків. Майже 20% додатків допускають SQL-ін’єкції. Майже половина не вміє обробляти комплексні виняткові ситуації.

По матеріалам http://www.secblog.info.