Websecurity - Веб безпека

Цього року я вже писав про численні уразливості в Akismet для WordPress. Він є core-плагіном (починаючи з версії WP 2.0), тому ці уразливості також стосуються самого WordPress. А в жовтні були виявлені та оприлюднені дві Cross-Site Scripting уразливості в Akismet. Які стосуються невідомої версії плагіна (потенційно останньої версії). Вони були знайдені Nafsh.

Раніше я вже писав про XSS уразливість в swfupload в WordPress.

XSS:

В плагіні в скрипті legacy.php через параметр s та в скрипті admin.php через параметр url можна проводити XSS атаки. При цьому обходячи існуючі захисні фільтри.

• WordPress Akismet Cross Site Scripting (http://packetstormsecurity.org/files/117063/WordPress-Akismet-Cross-Site-Scripting.html)

При цьому автор зазначає, що атака відбувається при відправленні POST запитів до legacy.php і admin.php. Але при зверненні до цих скриптів (будь то GET чи POST запит), виводиться повідомлення про помилку (з FPD, про які я писав раніше). І автор наводить експлоіт для XSS в legacy.php - ясна річ неробочий (з вищенаведеної причини). Тому дані уразливості викликають сумніви, як враховуючи те, що атакуючі запити потрібно посилати іншим скриптам, так і наявність фільтрації вказаних параметрів (явно фейкові дірки).

Уразливі WordPress 3.x та попередні версії, що постачаються з вразливими версіями Akismet.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах AJAX post Search, FoxyPress та Spider WordPress. Для котрих з’явилися експлоіти. AJAX post Search - це пошуковий плагін, FoxyPress - це e-commerce плагін для створення онлайн-магазина, Spider WordPress - це плагін для створення каталогу продуктів.

• Sql injection in AJAX post Search wordpress plugin (деталі)
• WordPress FoxyPress 0.4.2.5 XSS / CSRF / SQL Injection (деталі)
• WordPress Catalog HTML Injection / Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://mp3searcher.mk.ua - інфекція була виявлена 12.11.2012. Зараз сайт не входить до переліку підозрілих.
• http://1dowladss.net.ua - інфекція була виявлена 14.11.2012. Зараз сайт входить до переліку підозрілих.
• http://firstline.com.ua - інфекція була виявлена 18.11.2012. Зараз сайт не входить до переліку підозрілих.
• http://theodosia.at.ua - інфекція була виявлена 04.09.2012. Зараз сайт входить до переліку підозрілих.
• http://knopka.ck.ua - інфекція була виявлена 01.10.2012. Зараз сайт не входить до переліку підозрілих.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах My Question, A/B Test та Easy Webinar. Для котрих з’явилися експлоіти. My Question - це плагін для створення опитувань, A/B Test - це плагін для A/B тестування, Easy Webinar - це плагін для створення онлайн-семінарів.

• XSS in answer my question plugin (деталі)
• WordPress Abtest Directory Traversal (деталі)
• WordPress Easy Webinar Blind SQL Injection (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://yalta-gs.gov.ua (хакером NeT-DeViL) - 26.08.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://grid.nas.gov.ua (хакером NeT-DeViL) - 26.08.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://sumy-city.upszn-sumy.gov.ua (хакером ArTiN) - 31.08.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://blog.web2.com.ua (хакером systemroot)
• http://klyaksa-fan.com (хакером x-c0d3r) - 06.11.2012, зараз сайт вже виправлений адмінами

В квітні була анонсована Cross-Site Scripting уразливість в swfupload.swf в WordPress (CVE-2012-3414). Яка була виправлена в WordPress 3.3.2. Але на той час про неї не було жодної детальної інформації. Ця дірка була знайдена Neal Poole і Nathan Partlan. І 17.05.2012 Ніл оприлюднив її в себе на сайті.

На початку місяця я звернув увагу, що почали з’являтися нові описи XSS дірки в swfupload.swf в інших веб додатках. Як у плагіні WordPress Shopp, де я її знайшов. З чого стало зрозумілим, що деталі цієї уразливості вже були оприлюднені.

Після чого я зробив дослідження і виявив різні версії swf-файла (з різними іменами) та всі версії WordPress, що містять будь-які з цих swf-файлів. Тобто не одна флешка (згадана Нілом), а дві флешки з різними іменами мають цю XSS. Це лише в WP, бо існують версії цієї флешки ще з іншими іменами в інших веб додатках, про що я розповім окремо.

XSS:

http://site/wp-includes/js/swfupload/swfupload.swf?movieName=%22]);}catch(e){}if(!self.a)self.a=!alert(document.cookie);//

WordPress 2.7-3.3.1.

http://site/wp-includes/js/swfupload/swfupload_f9.swf?movieName=%22]);}catch(e){}if(!self.a)self.a=!alert(document.cookie);//

WordPress 2.5-2.7.1.

20.04.2012 в WordPress 3.3.2 дана уразливість була виправлена. Розробники WP випустили оновлену версію флешки, яку могли використати всі веб розробники, що використовують swfupload.

Уразливі версії WordPress 2.5 - 3.3.1.

Файл swfupload.swf постачається з WordPress 2.7 - 3.3.1.

Файл swfupload_f9.swf постачається з WordPress 2.5 - 2.7.1.

У версіях WP 2.7 - 2.7.1 присутні обидві флешки.

Swfupload використовується в WordPress, в плагінах до нього та в інших веб додатках. Уразливість в swfupload - це дірка “мільйонник”. Тільки в одному WP вона була поширена на десятках мільйонах сайтів (за статистикою wordpress.com, зараз в світі більше 57,5 мільйонів сайтів на WP).

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://avtovokzal.gov.ua - інфікований державний сайт - інфекція була виявлена 16.10.2012. Зараз сайт не входить до переліку підозрілих.
• http://ero.od.ua - інфекція була виявлена 02.09.2012. Зараз сайт не входить до переліку підозрілих.
• http://arey.com.ua - інфекція була виявлена 06.11.2012. Зараз сайт не входить до переліку підозрілих.
• http://mwm-kiev.com.ua - інфекція була виявлена 11.11.2012. Зараз сайт не входить до переліку підозрілих.
• http://didjeridu.org.ua - інфекція була виявлена 06.10.2012. Зараз сайт не входить до переліку підозрілих.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах GRAND Flash Album Gallery, Spider Calendar та Shopp. Для котрих з’явилися експлоіти. GRAND Flash Album Gallery - це плагін для створення фото галерей, Spider Calendar - це органайзер і календар, Shopp - це плагін для створення онлайн-магазина.

• Multiple Vulnerabilities in Wordpress GRAND Flash Album Gallery Plugin (деталі)
• WordPress Spider 1.0.1 SQL Injection / XSS (деталі)
• WordPress Shopp 1.0.17 XSS / Shell Upload / Disclosure (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього виявлення похаканих сайтів в моїх логах, приведу нову інформацію про взломані українських сайти. Що використовуються для атак (зокрема RFI атак) на інші сайти.

Похакані сайти в Уанеті:

• http://librportal.org.ua (невідомим хакером) - 10.2012

Файли, що використовувалися для RFI атак:

http://librportal.org.ua/images/test - файл вже прибраний з сайта.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Social Discussions, Download Monitor та DM FileManager. Для котрих з’явилися експлоіти. Social Discussions - це плагін для інтеграції сайта з соціальними мережами, Download Monitor - це плагін для ведення статистики скачувань файлів, DM FileManager - це файловий менеджер.

• Multiple Vulnerabilities in Wordpress Social Discussions Plugin (деталі)
• Wordpress Download Monitor - Download Page Cross-Site Scripting (деталі)
• DM FileManager Remote File Inclusion (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.