Websecurity - Веб безпека

У жовтні, 13.10.2006, я знайшов Cross-Site Scripting уразливість на урядовому порталі http://www.kmu.gov.ua - сайті Кабінета Міністрів України. Про що найближчим часом сповіщу адміністрацію сайту.

Раніше я вже писав про мій аудит безпеки сайту Верховної Ради України. І тоді результати були невтішні. Ситуація з сайтом Кабміну не краща - також мають місце уразливості (про одну знайдену XSS я і повідомлю адміністраторів сайту).

Детальна інформація про уразливість не з’явиться (не планую публікувати). За для безпеки сайту нашого уряду, його працівників та відвідувачів.

Поздоровляю вас всіх з Новим Роком!

Бажаю всього найкращого і більшої безпеки вам в новому році.

Щоб дірявих сайтів вам зустрічалося поменше та щоб у власних сайтах знаходилося менше уразливостей, а всі старі діри були виправлені . Щоб у ваших браузерах було поменше дір і щоб загальний рівень безпеки Уанета та вцілому Інтернета зростав (для цього я й докладаю зусилля щодня).

Веселих свят!

Вчора випустив нову версію програми MustLive/BPG MySQL Perl/CGI Client v1.06.

В новій версії 1.06:

• Виправив визначення форматів колонок-полів зі застарілого $sth->{’format_type_name’} на $sth->{’TYPE’} (для нових версій DBI).
• Виправив XSS уразливість в “SQL запит до Бази Даних” і унеможливив XSS атаки через додавання даних в БД та їх редагування.
• Зробив деякі невеличкі виправлення.

У власних розробках я також слідкую за безпекою, не тільки ж на інших сайтах шукати уразливості . Тому використовуючи мої програми можна бути впевненими в їх безпеці.

Додаткова інформація про MySQL Perl/CGI Client в розділі Онлайн інструменти.

В даній добірці уразливості в веб додатках:

• Drupal 4.6.10 / 4.7.4 fixes multiple XSS issues (деталі)
• phpPowerCards 2.10 (txt.inc.php) Remote Code Execution Vulnerability (деталі)
• Segue CMS <= 1.5.8 (themesdir) Remote File Include Vulnerability (деталі)
• Active Bulletin Board v1.1 beta2 (doprofiledit.asp) Remote User Pass Change (деталі)
• WGCC Beta <= 0.5.6 (quiz.php) Remote SQL InJection Vulnerability (деталі)
• Lou Portail 1.4.1 Remote|Local File Include Vulnerability (деталі)
• local Calendar System v1.1 (lcUser.php) Remote File Include (деталі)
• kawf (config) Remote File Include (деталі)
• SQL-ін’єкція і розкриття даних в myBloggie (деталі)
• Cross-site Scripting Vulnerabilities in the Sun Secure Global Desktop Software (деталі)

Mozilla випустила оновлену версію свого браузера Firefox 1.5.

Незважаючи на вихід другої версії, корпорація буде підтримувати лінійку 1.5x аж до 24 квітня наступного року. Протягом цього часу будуть випускатися оновлення, що стосуються безпеки і стабільності програми, однак усім користувачам рекомендують перейти на Firefox 2. Поточне оновлення закриває вісім уразливостей у системі безпеки браузера.

• Mozilla Firefox 1.5.0.9: обновление старой версии браузера (деталі)

В даній добірці експлоіти в веб додатках:

• ALiCE-CMS 0.1 (CONFIG[local_root]) Remote File Include Vulnerability (деталі)
• YapBB <= 1.2 Beta2 (yapbb_session.php) Remote File Include Exploit (деталі)
• PHP-Post <= 1.01 (template) Remote Code Execution Exploit (деталі)
• Active Bulletin Board <= 1.1b2 Remote User Pass Change Exploit (деталі)
• AMAZONIA MOD Remote File Include Vulnerability (деталі)

07.11.2006

В Ruby виявлена можливість DoS. Уразливі версії: Ruby 1.8.

Вичерпання ресурсів процесора в CGI-библіотеці при розборі HTTP запиту з некоректним роздільником MIME.

• OpenPKG Security Advisory (ruby) (деталі)

10.11.2006

В CGI бібліотеці cgi.rb для Ruby 1.8 знайдена уразливість яка дозволяє віддаленому користувачу викликати DoS.

Додаткова інформація:

• CVE-2006-5467 (деталі)
• Updated ruby packages fix DoS vulnerability (деталі)

28.12.2006

Додаткова інформація:

• Updated ruby packages fix DoS vulnerability (деталі)

На секлабі з’явилася цікава стаття - Святкування Нового року, як мірило розвитку ІБ-компанії.

Можете прочитати, розповідь як раз по темі новорічних свят .

• Празднование Нового года, как мерило развития ИБ-компании (деталі)

В даній добірці уразливості в веб додатках:

• SQL Injection simplog (деталі)
• UltraCMS 0.9 sql injection (деталі)
• DigitalHive 2.0 RC2 (base_include.php)File Include (деталі)
• Drupal 4.6.10 / 4.7.4 fixes HTML attribute injection issue (деталі)
• Drupal 4.6.10 / 4.7.4 fixes CRF issue (деталі)
• Serendipity Weblog XSS Vulnerabilities (деталі)
• HP System Management Homepage (SMH), Remote Bypassing of Security Features or Cross Site Scripting or Denial of Service (деталі)
• Power Phlogger 2.0.9 Remote|Local File Include Vulnerability (деталі)
• XMB <= 1.9.6 (u2uid) Remote SQL Injection Exploit (mq=off) (деталі)
• SQL-ін’єкція в Techno Dreams Announcement (деталі)

Виявлені уразливості дозволяють віддаленому користувачу зробити XSS напад, одержати доступ до важливих даних, викликати відмову в обслуговуванні і виконати довільний код на цільовій системі.

1. Виявлено різні помилки в механізмах розкладки і JavaScript. Віддалений користувач може за допомогою спеціально сформованої веб сторінки викликати ушкодження пам’яті і потенційно виконати довільний код на цільовій системі.

2. Уразливість існує через помилку при зменшенні роботи точності процесорів із плаваючою крапкою, наWindows системі при завантаженні плагина, що створює Direct3D пристрій. Зловмисник може змусити функцію “js_dtoa()” спожити всі доступні ресурси на системі і викликати відмову в обслуговуванні.

3. Уразливість існує через помилку перевірки границь даних під час установки курсору в Windows bitmap з використанням CSS властивості курсору. Віддалений користувач може викликати переповнення динамічної пам’яті і виконати довільний код на цільовій системі.

4. Виявлено помилку в JavaScript функції “watch()”. Віддалений користувач може виконати довільний код на цільовій системі.

5. Уразливість існує в LiveConnect, що дозволяє вже звільненому об’єкту бути використаним ще раз. Віддалений користувач може виконати довільний код на цільовій системі.

6. Уразливість існує через помилку при обробці атрибута “src” тега IMG, завантаженому у фреймі. Віддалений користувач може змінити атрибут на “javascript:” URI і виконати довільний javascript сценарій у браузері жертви в контексті безпеки сайта.

7. Помилка ушкодження пам’яті виявлена при обробці SVG. Віддалений користувач може виконати довільний код шляхом приєднання SVG коментарю DOM вузла від одного документа до іншого типу документа (наприклад, HTML).

8. Властивість “Feed Preview” у Firefox 2.0 може дозволити зловмиснику одержати доступ до потенційно важливих даних при одержанні іконки агрегатора новин.

9. Регресія прототипу Function у Firefox 2.0 може дозволити зловмиснику виконати довільний код сценарію в браузері жертви в контексті безпеки уразливого сайта.

Рекомендую встановити останню версію (1.5.0.9 чи 2.0.0.1) із сайта виробника.

• Множественные уязвимости в Mozilla Firefox (деталі)