Websecurity - Веб безпека

28.09.2006

В минулому місяці, 27.08.2006, я знайшов Cross-Site Scripting уразливість на популярному проекті http://www.getinfo.ru. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

17.10.2006

XSS:

• alert(document.cookie)

Уразливість вже попередньо виправлена адміністрацією (вони взагалі відключили розділ “Розсилка” де була виявлена уразливість).

В даній добірці уразливості в веб додатках:

• eSyndiCat Directory Software “what” Cross-Site Scripting (деталі)
• Drupal Search Keywords Module Script Insertion (деталі)
• PT News “pgname” Cross-Site Scripting Vulnerability (деталі)
• NextAge Cart “CatId” and “SearchWd” Cross-Site Scripting (деталі)
• PowerNews v1.1.0 (nbs) Remote File Inclusion (деталі)
• PHPartenaire => $url_phpartenaire Remote File Inclusion Exploit (деталі)
• AllMyGuests => ?_AMGconfig[cfg_serverpath] Remote File Inclusion Exploit (деталі)
• SolidState <= 0.4 Multiple Include Vulnerabilities (деталі)
• Banex 2.21 PHP remote file inclusion vulnerability (деталі)
• N.T. Version 1.1.0 XSS and PHP Code Insertion Vulnerabilities (деталі)

26.09.2006

В минулому місяці, 26.08.2006 (як раз на свій день народження ), я знайшов декілька Cross-Site Scripting уразливостей на популярному проекті http://chin.org.ua - Чистий Інтернет. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

15.10.2006

XSS:

• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)
• цікавий
• html включення

Уразливості досі не виправлені.

Вчора до мене звернулися з проханням протестувати сайт Верховної Ради України (ВРУ) на уразливості (сайт http://portal.rada.gov.ua та зокрема http://zakon.rada.gov.ua). І як показав мій попередній секюріті аудит, результати невтішні і сайт Верховної Ради уразливий. В даному випадку я знайшов декілька Cross-Site Scripting уразливостей. Про що попередньо вже повідомив адміністрацію веб сайту, і зараз підготую детальний звіт.

Я регулярно провожу аудит безпеки різноманітних сайтів, як своїх власних, так і сайтів своїх партнерів, і тих сайтів, які мені на очі потрапляють. Ну а також іноді провожу аудит веб сайтів, веб додатків та веб систем на замовлення. Але до цього часу державний сектор вебу (gov) не залучав мою увагу (окрім випадку з сайтом Агентства Національної Безпеки США Cross-Site Scripting уразливість на www.nsa.gov, але в даному випадку це секюріті сайт, і звернув увагу саме через тематику сайту). І ось я оглянув один наш gov сайт - веб сайт Верховної Ради. Найвищого законодавчого органу держави - і тому сайт повинен бути взірцем безпеки.

Але результати невтішні - на сайті мають місце уразливості (і це був лише попередній огляд). Можна представити загальний стан серед державних gov сайтів в Україні (як мінімум, а то і по всьому світі можна екстраполювати). І цю ситуацію потрібно змінювати. Сайту Верховної Ради та іншим сайтам державних органів потрібно приділяти увагу безпеці та секюріті-аудиту. Я зі своєї сторони надам необхідні консультації, головне щоб уразливості оперативно виправляли і слідкували за безпекою.

В даній добірці уразливості в веб додатках:

• Site@School 2.4.02 and below Multiple remote Command Execution Vulnerabilities (деталі)
• NextAge Cart Cross-Site Scripting multiple Vulnerabilities (деталі)
• PT News 1.7.8 (Search.php) XSS Vulnerability (деталі)
• Pie Cart Pro => (Home_Path) Remote File Inclusion Exploit (деталі)
• Innovate Portal v2.0 Index.PHP Xss Vuln. (деталі)
• OSU httpd for OpenVMS path and directory disclosure (деталі)
• DotNetNuke “error” Parameter Cross-Site Scripting Vulnerability (деталі)
• MAXdev MD-Pro Cross-Site Scripting Vulnerability (деталі)
• Banex 2.21 access validation error (деталі)
• Міжсайтовий скриптінг в Snitz Forums 2000 (деталі)

16.09.2006

В минулому місяці, 24.08.2006, я знайшов Cross-Site Scripting уразливість на відомому проекті http://inet.ua. Про що найближчим часом сповіщу адміністрацію проекту. Компанії Адамант потрібно приділяти увагу безпеці власних сайтів.

Детальна інформація про уразливості з’явиться пізніше.

12.10.2006

XSS:

• alert(document.cookie)

Як мені сьогодні повідомили адміністратори компанії Адамант уразливість вже виправлена.

05.10.2006

Вчора, 04.10.2006, я виявив Cross-Site Scripting уразливість в phplist - системі керування розсилками. XSS знайдена в phplist v 2.10.2 (і відовідно вразливі попередні версії - як я перевірив, в версіях до 2.10.2 уразливість працює).

До речі це остання версія phplist (як заявлено на офіційному сайті), тому всім користувачам цієї системи прийдеться бути обережними (і відвідувачам сайтів, де встановлена дана система). Та їм потрібно буде звернутися до розробників за апдейтом, а самим розробникам прийдетья терміново випускати нову версію.

Як я вже казав, дану уразливість в phplist я знайшов, коли заходив на сайт phpbb і виявив уразливість на www.phpbb.com.

Як я провів відповідні досліження, існує чимало уразливих сайтів з цією системою. Зокрема по одному запиту Гугл виводить приблизно 320000 сайтів. Тому в інтернеті зараз є вилика кількість сайтів, яким прийдеться зайнятися власною безпекою (раз раніше цим не зайнялися). На що взагалі потрібен звертати увагу кожен власник сайта.

Серед вразливих сайтів:

http://www.phplist.com
http://www.sed.gr
http://www.chrisvaughn.net
http://www.aliquotconsulting.com
http://www.tomalogy.com.ua
http://www.znayu.org.ua
http://helicon.com.ua
http://lists.longform.ca
http://www.localenergy.org
http://britannicadreams.com

Сайт розробників системи - www.phplist.com - також вразливий, що і не дивно, бо вони на своєму сайті використовують власну ж систему.

Деталі уразливості з’являться трохи згодом, спочатку повідомлю розробників системи та перший десяток власників уразливих сайтів.

11.10.2006

Уразливість в параметрі unsubscribeemail в скрипті index.php системи phplist.

XSS:

http://host/phplist_path/?p=unsubscribe&id=1&unsubscribeemail=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

Автор phplist вже випустив нову версію системи (phplist 2.10.3). Всім користувачам даної системи потрібно терміново оновити її до останньої версії, хто ще цього не зробив. Як я вже казав, в інтернеті приблизно 319000-320000 сайтів, які використовують дану систему (по інформації від Гугл), тому їм всім потрібно підвищити безпеку власних сайтів.

В даній добірці уразливості в веб додатках:

• Pie Cart Pro => (Inc_Dir) Remote File Inclusion Exploit (деталі)
• Pie Cart Pro => (Home_Path) Remote File Inclusion Exploit (деталі)
• Bcwb 0.99(root_path)Remote File Include Vulnerability (деталі)
• Gnuturk Portal “t_id” Parameter SQL Injection Vulnerability (деталі)
• aeDating “dir[inc]” File Inclusion Vulnerabilities (деталі)
• A.I-Pifou (Cookie) Local File Inclusion (деталі)
• DotNetNuke HTML Code Injection (деталі)
• Neon WebMail for Java Multiple Vulnerabilities (деталі)
• Міжсайтовий скриптінг в GeoClassifieds Enterprise (деталі)
• MWGuest XSS Vulnerability (деталі)

24.09.2006

В минулому місяці, 25.08.2006, я знайшов Cross-Site Scripting уразливість на популярному проекті http://news2.ru. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

10.10.2006

XSS:

• alert(document.cookie)

Уразливість вже виправлена.

В даній добірці уразливості в веб додатках:

• Techno Dreams Articles&Papers Package <=v2.0 (ArticlesTableview.asp) Remote SQL Injection Vulnerability (деталі)
• Techno Dreams FAQ Manager Package v1.0(faqview.asp) Remote SQL Injection Vulnerability (деталі)
• AzzCoder => PNphpBB (Latest) Remote File Include (деталі)
• Artmedic Links Script Remote File Include Vulnerability (деталі)
• eSyndiCat Portal System XSS Vuln. (деталі)
• Simple Discussion Board Multiple F.le Inclusion Vulnerability (деталі)
• Tekman Portal v1.0 (tr) SQL Injection Vulnerability (деталі)
• Digital WebShop = v1.128 Multiple Remote File Include Vulnerabilities (деталі)
• SQL-ін’єкція в xpoll (деталі)
• Декілька уразливостей в Nuked-Klan (деталі)