Websecurity - Веб безпека

В даній добірці уразливості в веб додатках:

• Two Vulnerabilities in NetworkMiner: DLL Hijacking + Directory Traversal (деталі)
• movabletype-opensource security update (деталі)
• CVE-2013-6429 Fix for XML External Entity (XXE) injection (CVE-2013-4152) in Spring Framework was incomplete (деталі)
• CVE-2013-6430 Possible XSS when using Spring MVC (деталі)
• Plone URL redirection / Forwarding of cookie data (session hijack) in certain browsers (деталі)

У січні, 28.01.2014, я знайшов Login Enumeration, Brute Force та Insufficient Anti-automation уразливості на http://grytsenko.com.ua - сайті Анатолія Гриценка, одного з кандидатів в президенти. А також багато інших уразливостей. Про що найближчим часом сповіщу адміністрацію сайта.

В жовтні 2009 року хакери вже ламали сайт Гриценка, як раз під час попередньої президентської компанії. Тому не дивно, що в цьому році він також використовував діряву CMS в себе на сайті - це в нього давня практика.

Login Enumeration:

http://grytsenko.com.ua/admin/login.php

Brute Force:

http://grytsenko.com.ua/admin/login.php

Insufficient Anti-automation:

http://grytsenko.com.ua/messageadmin.html

Дані уразливості досі не виправлені. На сайті використовується Catapulta I.W. Edition, тому він має всі уразливості цієї CMS, а також багато інших дірок. Зокрема це Information Leakage уразливості, що призводять до витоків персональних даних користувачів сайту.

28.02.2014

У січні, 28.01.2014, я знайшов Login Enumeration, Brute Force та Insufficient Anti-automation уразливості в Catapulta I.W. Edition. Це українська комерційна CMS. Про що найближчим часом повідомлю розробникам системи.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам.

30.05.2014

Login Enumeration (WASC-42):

http://site/admin/login.php

Різні відповіді при вірному і невірному логіні.

Brute Force (WASC-11):

http://site/admin/login.php

Немає захисту від BF атак.

Insufficient Anti-automation (WASC-21):

В контактній формі (http://site/messageadmin.html) немає захисту від автоматизованих запитів (капчі).

Вразливі всі версії Catapulta I.W. Edition.

В даній добірці уразливості в веб додатках:

• HP LaserJet Pro printers remote admin password extraction (деталі)
• Multiple Vulnerabilities in Horizon QCMS (деталі)
• Improper Authentication in Burden (деталі)
• Cross Site Scripting (XSS) in q-pulse application (деталі)
• HP Data Protector Arbitrary Remote Command Execution (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах WP-Cron, AskApache Firefox Adsense та Ad-minister. Для котрих з’явилися експлоіти. WP-Cron - це плагін для шелдулінга, AskApache Firefox Adsense - це плагін для розміщення реклами через Google AdSense, Ad-minister - це плагін для розміщення реклами на сайті.

• WordPress WP-Cron 1.1.5 Cross Site Scripting (деталі)
• AskApache 3.0 Cross Site Request Forgery (деталі)
• WordPress Ad-minister 0.6 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У квітні, 24.04.2014, я виявив Content Spoofing та Cross-Site Scripting уразливості в плагіні DZS Video Gallery для WordPress. Про що найближчим часом повідомлю розробникам веб додатку.

Стосовно плагінів для WordPress раніше я писав про уразливості в DZS Video Gallery для WordPress.

Всього є 4 флешки, які уразливі до CS і XSS. Тобто всі флешки в сумі мають 12 уразливостей.

http://site/wp-content/plugins/dzs-videogallery/deploy/preview.swf
http://site/wp-content/plugins/dzs-videogallery/deploy/preview_skin_rouge.swf
http://site/wp-content/plugins/dzs-videogallery/deploy/preview_allchars.swf
http://site/wp-content/plugins/dzs-videogallery/deploy/preview_skin_overlay.swf

Content Spoofing (WASC-12):

http://site/wp-content/plugins/dzs-videogallery/deploy/preview.swf?video=1.flv&thumb=1.jpg

Content Spoofing (WASC-12):

http://site/wp-content/plugins/dzs-videogallery/deploy/preview.swf?video=1.flv&logo=1.jpg&logoLink=http://websecurity.com.ua

Cross-Site Scripting (WASC-08):

http://site/wp-content/plugins/dzs-videogallery/deploy/preview.swf?video=1.flv&logo=1.jpg&logoLink=javascript:alert(document.cookie)

Вразливі все версії DZS Video Gallery для WordPress.

В даній добірці уразливості в веб додатках:

• WD My Net N600, N750, N900, N900C - Plain Text Disclosure of Admin Credentials (деталі)
• User Identity Spoofing in Bitrix Site Manager (деталі)
• SQL Injection in InstantCMS (деталі)
• Path Traversal in eduTrac (деталі)
• Certain HP LaserJet Pro Printers, Remote Information Disclosure (деталі)

В даній добірці уразливості в веб додатках:

• SurgeFtp Server BufferOverflow Vulnerability (деталі)
• Vulnerabilities in munin (деталі)
• typo3-src security update (деталі)
• XSS and Full Path Disclosure in MijoSearch Joomla Extension (деталі)
• WD My Net N600, N750, N900, N900C - Plain Text Disclosure of Admin Credentials (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах WP Realty, Persuasion та Recommend to a friend. Для котрих з’явилися експлоіти. WP Realty - це плагін для торгівлі нерухомістю, Persuasion - це тема движка, Recommend to a friend - це плагін для рекомендації друзям.

• WordPress WP Realty Cross Site Scripting (деталі)
• WordPress Persuasion Theme File Download / Deletion (деталі)
• WordPress Recommend Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

В даній добірці уразливості в веб додатках:

• HP Application Lifecycle Management Quality Center (ALM), Remote Cross Site Scripting (XSS) (деталі)
• Vulnerability in owncloud (деталі)
• Vulnerabilities in mediawiki (деталі)
• Revive Adserver 3.0.2 fixes SQL injection vulnerability (деталі)
• Squid-3.3.5 DoS PoC (деталі)