Архів за Серпень, 2006

Добірка уразливостей

00:33 05.08.2006

В даній добірці уразливості в веб додатках:

Уразливість на www.metalweb.ru

20:48 04.08.2006

На минулому тижні знайшов Cross-Site Scripting уразливість на http://www.metalweb.ru. Про що повідомив адміністрації проекту.

XSS:

WordPress 2.0.4

15:50 04.08.2006

Нещодавно, 29.07.2006, вийшла нова версія движку WordPress 2.0.4 (мій сайт використувує саме цю CMS). Всім хто користується попередніми версіями рекомендується оновити движок своїх сайтів.

WordPress 2.0.4 - це останній стабільний реліз Вордпреса, який доступний для скачування з сайту виробника. Даний реліз виправляє декілька серьйозних секюріті уразливостей, тому він дуже рекомендований для всіх користувачів движку WordPress (в цілому в даній версії було виправлено понад 50 багів).

Планую найближчим часом оновити свій WordPress на версію 2.0.4.

Уразливості на startua.com та online.ua

01:50 04.08.2006

02.08.2006

Після знайдення уразливості на online.ua, я знайшов знайшов декілька нових Cross-Site Scripting уразливостей на веб сайтах http://startua.com та http://online.ua (обидва бренди належать одному веб проекту). Про що найближчим часом повідомлю адміністрацію даних сайтів. Нудьгувати їм не доведеться :-)

Детальна інформація про уразливість з’явиться пізніше.

04.08.2006

Уразливості:

  • XSS уразливість на startua.com та online.ua

http://perevod.startua.com
http://pereklad.online.ua

При подачі POST запиту можливий XSS-напад:
</textarea><script>alert(document.cookie)</script>

  • XSS уразливість на startua.com

http://www.startua.com/mlist/ml.asp

При подачі POST запиту можливий XSS-напад:
12345@12345.com<script>alert(document.cookie)</script>

Добірка уразливостей

01:24 04.08.2006

В даній добірці уразливості в веб додатках:

Численні уразливості в Mozilla / Firefox / Seamonkey / Thunderbird

23:27 03.08.2006

28.07.2006

Нещодавно знайдені численні уразливості в Mozilla, Firefox, Seamonkey та Thunderbird дозволяють виконання коду без будь-яких обмежень і можуть бути використані для прихованої установки шкідливого коду.

По матеріалам http://www.security.nnov.ru.

02.08.2006

Додаткова інформація:

  • Множественные уязвимости в Mozilla Firefox (деталі)

03.08.2006

Додаткова інформація:

  • Netscape/K-Meleon/Flock JavaScript navigator Vulnerability (деталі)

P.S.

Планую викласти експлоіти для даних уразливостей ;-)

Уразливості на www.internetua.com

20:50 03.08.2006

01.08.2006

Вчора знайшов дві Cross-Site Scripting уразливості на сайті відомого журналу http://www.internetua.com. Про що найближчим часом повідомлю адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше.

03.08.2006

Перша уразливість.

XSS:

Друга уразливість.

XSS:

POST запит на сторінці http://mail.internetua.com/go/password.php:

<script>alert(document.cookie)</script>В полі: username.

Випуски MustLive Security Pack

18:11 03.08.2006

В розділі MustLive Security Pack розмістив усі випуски мого Security Pack (які також доступні в мене на форумі).

Ви можете зкачати випуски MustLive Security Pack v.1.0.1, MustLive Security Pack v.1.0.2 та MustLive Security Pack v.1.0.3.

Добірка уразливостей

02:12 03.08.2006

В даній добірці уразливості в веб додатках:

  • PrinceClan Chess Mambo Com <= 0.8 Remote Inclusion Vulnerability (деталі)
  • cpanel login problem (деталі)
  • Guestbook Mambo Module <== v1.3.0 Multiple Remote File Include Vulnerabilities (деталі)
  • PHP-Nuke INP XSS (деталі)
  • Remote Include Vulnerability ====> in Dr.Jr7 Gallery 3.2 RC1 (деталі)
  • Ruperts News Script SQL Injection Vulnerability (деталі)
  • HB-NS Multiple XSS and SQL Injection Vulnerabilities (деталі)
  • AZNEWS SQL Injection Vulnerability (деталі)
  • warforge.NEWS SQL Injection and Multiple XSS Vulnerabilities (деталі)
  • RateIt SQL Injection Vulnerability (деталі)

Президент України ратифікував конвенцію про кіберзлочинність

03:06 02.08.2006

Президент України Віктор Ющенко підписав Закон “Про ратифікацію Додаткового протоколу до Конвенції про кіберзлочинність, що стосується криміналізації дій расистського і ксенофобського характеру, зроблених через комп’ютерні системи”.

Відповідний протокол Верховна Рада ратифікувала 21 липня 2006 року. Протокол передбачає зобов’язання кожної зі сторін ужити законодавчих заходів, які необхідні для визнання злочинними ряд визначених у протоколі діянь.

Відповідно до положень Протоколу, кожна сторона приймає такі законодавчі й інші міри, що необхідні для визнання у своєму внутрішньому законодавстві карними злочинами наступні дії:

  • поширення чи іншим способом надання громадськості доступу до расистського і ксенофобного матеріалу через комп’ютерні системи;
  • погроза через комп’ютерну систему здійснення серйозного карного правопорушення, визначеного в її національному законодавстві, проти особи через їхню приналежність до групи, що відрізняється по ознаках раси, кольору шкіри, національному чи етнічному походженню, а також віросповіданню, чи групи осіб, що відрізняється по кожній з цих характеристик;
  • публічна образа через комп’ютерну систему осіб через їхню приналежність до групи, що відрізняється по ознаках раси, кольору шкіри, національному чи етнічному походженню, а також віросповіданню, чи групи осіб, що відрізняються по кожній з цих характеристик;
  • поширення чи іншим способом надання громадськості доступу через комп’ютерні системи до матеріалу, що заперечує, грубо мінімізує, схвалює чи виправдує дії, що є геноцидом чи злочинами проти людства, як визначено в міжнародному праві і як це визнано заключними й обов’язковими рішеннями Міжнародного військового трибуналу, заснованого відповідно до Лондонського договору від 8 серпня 1945 року, чи якого-небудь іншого міжнародного суду, заснованого відповідними міжнародними документами і юрисдикція якого визнана стороною.

По матеріалам http://www.securitylab.ru.