Websecurity - Веб безпека

В даній добірці уразливості в веб додатках:

• RateMe <= all versions => ( main.inc.php ) Remote File Include Vulnerability (деталі)
• WebCalendar >=1.0 Cross-Site Scripting Vulnerabilities (деталі)
• HyperVM Cross-Site Scripting (деталі)
• Novell NetWare Welcome web-app Cross-Site Scripting Vulnerability (деталі)
• eyeOS File Upload Vulnerability (деталі)
• cwmExplorer 1.0 (show_file) Source Code Disclosure Vulnerability (деталі)
• Multiple PHP remote file inclusion vulnerabilities in DCP-Portal SE 6.0 (деталі)
• PHP-інклюдинг в phpFullAnnu (деталі)
• mod_auth_kerb security update (деталі)
• PHP-інклюдинг в Beautifier (деталі)

Нещодавно, з 22 по 23 травня, призупинив свою роботу сервіс Google Analytics: сайт не надавав своїм користувачам інформацію, а після поновлення роботи навіть попросив повторити реєстрацію.

Безкоштовний корпоративний сервіс веб-метрики Google Analytics не працював майже протягом цілої доби, дуже стурбувавши своїх клієнтів. Коли робота сайта відновилася, здивовані користувачі знайшли сторінку з написом: “Ви усього в декількох кроках від того, щоб повернути свій аккаунт на Google Analytics”. Після поновлення реєстрації багато хто з полегшенням знайшли, що їхня інформація на сервері не втрачена і не ушкоджена.

На цьому інцидент був вичерпаний, але неприємні спогади залишилися. Крім того, по Мережі поповзли чутки: деякі фахівці вважають, що сервіс був взломаний.

По матеріалам http://www.securitylab.ru.

P.S.

Гуглу треба покращувати безпеку своїх сервісів і готуватися до участі в Місяці багів в Пошукових Системах. Де також буде йтися про безпеку пошукових сервісів Гугла.

12.02.2007

У листопаді, 10.11.2006, я знайшов Cross-Site Scripting уразливість на популярному проекті http://realmusic.ru. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

28.05.2007

XSS:

• alert(document.cookie)
• цікавий
• html включення

Дана уразливість досі не виправлена. В своєму пошуковці адміни лише зробили обмеження на 50 символів в ключовому слові. Котре з легкістю обходиться (в редиректорі та html включенні).

В даній добірці експлоіти в веб додатках:

• LocazoList <= 2.01a beta5 (subcatID) Remote SQL Injection Vulnerability (деталі)
• Apple Quicktime (rtsp URL Handler) Stack Buffer Overflow Exploit (деталі)
• Apple Quicktime (rtsp URL Handler) Buffer Overflow Exploit (win2k) (деталі)
• iLife iPhoto Photocast (XML title) Remote Format String PoC (деталі)
• Aratix <= 0.2.2b11 (inc/init.inc.php) Remote File Include Vulnerability (деталі)
• iG Shop 1.0 (eval/sql injection) Multiple Remote Vulnerabilities (деталі)
• DigiRez <= 3.4 (book_id) Remote SQL Injection Exploit (деталі)
• Exploits OmniWeb Javascript alert() Format String Vulnerability (деталі)
• Cacti 0.8.6i “copy_cacti_user.php” sql injection create new admin exploit (деталі)
• Click N’ Print Coupons <= V2005.01 (key) Remote SQL Injection Exploit (деталі)

Під час дослідження уразливості в плагіни Akismet для WordPress 2.1.3 (про котру я писав), 16.05.2007, я виявив нову уразливість в движку WordPress. На додаток до вже згаданих уразливостей в движку Вордпрес, котрі я знайшов в минулому році.

Тоді я виявив Local file include та Directory traversal уразливість в WP. Дірку виявив в себе на локалхості (під Windows XP) в файлі plugins.php.

Local file include та Directory traversal:

http://site/wp-admin/plugins.php?page=\..\..\file.php
http://site/wp-admin/plugins.php?page=\..\..\.htaccess

Уразливість має місце в WordPress 2.0.3 (і потенційно в наступних версіях). Як я виявив пізніше, також вразливі WP 2.0.11 та попередні версії.

Скоріше за все уразливість працює лише на Windows системах (в котрих використовуються зворотні слеши). На Linux дана уразливість не спрацьовує. Виходить, що під Віндовс фільтри движка не спрацьовують.

В даній добірці експлоіти в веб додатках:

• Simple Web Content Management System Remote SQL Injection Exploit (деталі)
• VerliAdmin <= 0.3 (language.php) Local File Inclusion Exploit (деталі)
• E-SMARTCART 1.0 (product_id) Remote SQL Injection Vulnerability (деталі)
• Acunetix WVS <= 4.0 20060717 HTTP Sniffer Component Remote DoS (деталі)
• Fishyshoop Proof of Concept (деталі)

Microsoft продовжує “славну традицію” випуску “патчів для патчів” після практично кожного виходу щомісячного пакета оновлень. Цього разу проблема торкнулася одного з травневих оновлень для Internet Explorer 7.

Після його встановлення під час роботи в браузері може з’явитися діалог “Save File” служби безпеки, якщо папка збереження тимчасових файлів “Temporary Internet Files” переміщена в обрану вами директорію. Далі можливі різні додаткові умови. Якщо ви користуєтеся Vista, антифішинговий фільтр відключений, але включений модуль Protected Mode (заборона на зміну настроювань браузера без відому користувача), то після закриття вікна діалогу, що з’явився, ви більше не зможете запустити IE до наступного завантаження системи. Ті ж незручності вам доведеться випробувати, якщо в Windows XP Service Pack 2 папка “Temporary Internet Files” у місці первісного розташування видалена, а для доступу до нової в IE немає відповідних прав доступу.

Як тимчасові міри Microsoft пропонує скасувати встановлення бюлетеня MS07-027, а також використовувати “Temporary Internet Files” у директорії, де він знаходиться по замовчуванню. Розробка патча, що усуває виниклу проблему, вже ведеться.

По матеріалам http://www.secblog.info.

В даній добірці уразливості в веб додатках:

• mxBB Module Charts <= 1.0.0(module_root_path) Remote File Include Vulnerability (деталі)
• Bandsite portal system Admin Added Access (деталі)
• mxBB Module WebLinks <= 2.05(mx_root_path) Remote File Include Vulnerability (деталі)
• SiteCatalyst Web Login Cross Site Vulrnabilities (деталі)
• Contra Haber Sistemi v1.0 SqL Injection Vuln. (деталі)
• Dog(antepe Ziyareti Defteri (tr) Sql Injection Vuln. (деталі)
• SQL-ін’єкція в ICBlogger (деталі)
• Vulnerability in Bluview Blue Magic Board (aka BMForum) (деталі)
• Обхід обмежень безпеки в Web Dictate (деталі)
• SQL injection vulnerability in DCP-Portal SE 6.0 (деталі)

Десять днів тому, 16.05.2007, вийшла нова версія WordPress 2.2 - перша версія нової гілки WP 2.2.x.

В цій версії додано безліч нових функцій (зокрема інтеграція Віджетів) та більше двох сотень виправлень багів.

Нові фішки:

• WordPress Widgets для налаштування вашого блогу (з можливістю drag-and-drop).
• Повна підтримка Atom.
• Новий імпортер Blogger.
• Нескінченний потік коментів (з використанням AJAX).
• Захист від активації плагінів чи редагування файлів, що можуть пошкодити блог.
• Оптимізована швидкість основних плагінів та фільтрів.
• Хук для підтрики WYSIWYG для наступних версій Safari.
• Та безліч інших покращень.

Нові можливості для розробників:

• Нові Вордпресовські XML-RPC APIs.
• Використання jQuery для внутрішніх функцій.
• Фіди коментарів підтримують нові формати, в тому числі Atom.
• Функція роботи з емайлом тепер використовує phpMailer (котрий підтримує SMTP).
• Налаштування collation та character set для БД у файлі конфігурації.
• Також у файлі конфігурації можна задати налаштування адреси вашого сайта та WP.
• Збільшена контекстна документація багатьох функцій движка.

18.02.2007

У листопаді, 08.11.2006, я знайшов Cross-Site Scripting уразливості на популярному проекті http://tv.uaportal.com. Про що найближчим часом сповіщу адміністрацію проекту.

Нещодавно я вже писав про уразливості на job.uaportal.com - іншому проекті Українського портала.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

26.05.2007

XSS:

• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)

Дані уразливості вже виправлені. Але не повністю. І при невеличкій модифікації остання з наведених дірок знову працює (приклад для Internet Explorer).

XSS:

• alert(document.cookie) (IE)
• цікавий (IE)

Адмінам ЮАпорталу варто більш якісно виправляти уразливості. Враховуючи при цьому можливості обходу фільтрів, тому й потрібно покращувати (регулярно) власні фільтри та серйозно займатися безпекою свого порталу.