Websecurity - Веб безпека

Виявлені уразливості дозволяють віддаленому користувачу обійти обмеження безпеки і підвищити свої привілеї в додатку.

Уразливі версії: MySQL 5.x.

1. Користувач із привілеями на доступ до визначеної бази даних, без права на створення нової БД, може створити однойменну базу даних, змінивши регістр букв. Уразливість існує на файлових системах, чуттєвих до регістра.

2. Уразливість існує через помилку при обробці аргументів у suid механізмі. Віддалений користувач із привілеями на виконання “EXECUTE” може виконати довільні DML вираження з підвищеними привілеями.

Рекомендую встановити виправлення.

• Повышение привилегий в MySQL (деталі)

Нещодавно PHP Development Team оголосила про вихід обновленої версії PHP 5.2.0.

У поточній версії представлений новий менеджер пам’яті для Zend Engine, додане розширення JSON, з’явилася можливість створення і редагування файлів ZIP, доданий новий режим помилок E_RECOVERABLE_ERROR, нові можливості керування інформацією про дату і час, обновлені бібліотеки SQLite, PCRE, OpenSSL, MySQL і PostgreSQL, виправлено безліч помилок у системі безпеки.

09.11.2006

Виявлене переповнення буфера в PHP. Уразливість дозволяє віддаленому користувачу викликати відмовлення в обслуговуванні чи виконати довільний код на цільовій системі.

Уразливі версії PHP: 4.0.x, 4.1.x, 4.2.x, 4.3.x, 4.4.x, 5.0.x, 5.1.x.

Уразливість існує через помилку перевірки границь даних у функціях “htmlentities()” і “htmlspecialchars()”. Зловмисник може передати спеціально сформовані дані PHP додатку, що використовує уразливі функції, викликати переповнення буфера і виконати довільний код на цільовій системі.

Уразливість дозволяє перезаписати до 7 символів, впроваджуючи некоректні UTF-8 символи в рядок, що буде оброблений уразливими функціями. Символи обмежені 0×00, 0xc0-0xfd.

Уразливість виправлена в останній версії php - 5.2.0.

• Переполнение буфера в PHP (деталі)

14.11.2006

Виявлене переповнення буфера у функціях PHP (buffer overflow).

Переповнення буфера у функціях htmlentities() і htmlspecialchars() при використанні UTF-8.

Уразливі версії: PHP 4.4, PHP 5.1.

• PHP HTML Entity Encoder Heap Overflow Vulnerability (деталі)

Виявленні численні DoS-умови в популярній СУБД PostgreSQL.

Можливі різні DoS-умови при виконанні клієнтських запитів.

• postgresql (деталі)

Компанія Acunetix, розробники популярного секюріті сканера, в своєму повідомленні Cross-Site Scripting ranks first in top security risks звертає вашу увагу на те, що в даний час XSS уразливості стали серйозною і поширеною загрозою безпеки. Раніше я згадував, що XSS набирає обертів (і секюріті компанії все більше звертають увагу на даний тип уразливостей).

Сама компанія займається розробкою секюріті сканера та регулярно проводить аудити проти разноманітних загроз безпеки, в тому числі XSS. Я вже розповідав про статистику веб атак.

І як показують дослідження компанії, зараз хакери відходять від атак переповнення буфера (які раніше були найпопулярнішими), і в даний час Cross-Site Scripting та SQL Injection є самими популярними атаками (котрі дозволяють дістатися зловмисникам до конфеденційної інформації).

Проект Common Vulnerabilities and Exposures (CVE) по власній статистиці за 2006 також підтвержує дану ситуацію: Cross-Site Scripting - 21,5%, SQL Injection - 14%, PHP includes - 9,5% (при тому, що Buffer overflows лише 7,9%).

Збільшення поширенності XSS уразливостей показує, що вектор атак зараз зміщується в напрямку веб додатків (з мов программування таких як C, до веб орієнтованих мов, таких як PHP, Perl, Java та платформи .Net). Зловмисники все більше використовують веб орієнтовані атаки. Тому потрібно приділяти увагу захисту ваших веб сайтів, веб додатків та веб систем.

Виявлена ін’єкція HTTP заголовка в плагіні Macromedia Flash.

Уразливі версії: Flash Player plugin 9.0.

• HTTP Header Injection Vulnerabilities in the Flash Player Plugin (деталі)

Деякий час тому вийшли оновлення для Mozilla Firefox (до 1.5.0.7), Mozilla Thunderbird (до 1.5.0.7) та Mozilla Seamonkey (до 1.0.5).

В даних оновленнях виправлені наступні уразливості в программах Mozilla:

• Crashes with evidence of memory corruption
• Executing JavaScript within E-Mail using XBL
• Pop up-blocker cross-site scripting (XSS)
• Frame spoofing using document.open()
• RSA Signature Forgery
• Concurrency-related vulnerability
• Auto-Update compromise through DNS and SSL spoofing
• JavaScript Regular Expression Heap Corruption

Рекомендується оновити ваші Firefox, Thunderbird та Seamonkey.

• SUSE Security Announcement: Mozilla Firefox, Thunderbird, Seamonkey (деталі)

В Seamonkey (колишній Mozilla Application Suit) були знайдені численні уразливості.

Уразливі версії: Seamonkey < 1.0.5.

Серед уразливостей є такі, що можуть змусити користувача відвідати небезпечний сайт, вибити браузер або запусти довільний код в системі. Знайдені уразливості виправлені в версії 1.0.5.

• Seamonkey: Multiple vulnerabilities (деталі)

26.10.2006

Виявлений міжсайтовий скриптінг (XSS) в ASP.NET. Міжсайтовий скриптінг можливий при використанні форм із AutoPostBack. Вразливі усі веб-додатки на даній платформі, які використовують AutoPostBack.

• Microsoft Security Bulletin MS06-056 Vulnerability in ASP.NET 2.0 Could Allow Information Disclosure (922770) (деталі)

05.11.2006

Міжсайтовий скриптінг в Microsoft .NET Framework.

Уразливі версії: Microsoft .NET Framework 2.0.

Уразливість дозволяє віддаленому користувачу виконати XSS напад.

• Межсайтовый скриптинг в Microsoft .NET Framework (деталі)

Міністерство юстиції Німеччини деякий час тому опублікувало виправлення до антихакерскому закону країни. Зокрема, пропонується ввести в перелік карних злочинів взлом і атаки на домашні комп’ютери. Бо раніше вважалися незаконними лише взлом і шкідливі дії проти комп’ютерів компаній і державних установ.

Пропонується також арешт навіть за несанкціонований доступ до даних без їхньої крадіжки. Максимальний термін заключення за комп’ютерні злочини пропонується збільшити до 10 років, якщо вони сполучені з іншими злочинними діями. Виправлення в німецький закон приведуть його у відповідність з резолюцією по атаках на інформаційні системи ЄС.

Пропозиція зробити злочином створення чи поширення “хакерських інструментів” одержало суперечливі коментарі. Критики вважають, що це неприйнятно, оскільки багато системних адміністраторів і фахівці з ІТ-безпеки нерідко створюють подібні інструменти для перевірки захищеності корпоративних систем.

Аналогічні заходи для боротьби з хакерами запропоновані в британському “Біллі про поліцію і юстицію”, опублікованому урядом у січні. Тут експерти по безпеці також виразили невдоволення забороною “хакерских інструментів”.

По матеріалам http://www.securitylab.ru.