Websecurity - Веб безпека

В даній добірці уразливості в веб додатках:

• Cross-site scripting (XSS) vulnerability in TaskFreak! (деталі)
• Cross-site scripting (XSS) vulnerability in TaskFreak! 0.5.5 (деталі)
• Burak Ylmaz Blog (tr) v1.0 SQL injection vulnerability (деталі)
• Vulnerability in SineCMS (деталі)
• modbuild >> 4.1 Remote File Inclusion (деталі)
• doruk100net >> RFI (деталі)
• VirtuaNews.Pro.v1.0.3.Retail.+All.Plugins Remote file Include (деталі)
• PHP remote file inclusion vulnerability in Omegaboard (деталі)
• Міжсайтовий скриптінг і SQL-ін’єкція в DevTrack (деталі)
• SQL-ін’єкція в dB Masters’ Curium CMS (деталі)
• PHP remote file inclusion vulnerability in AT Contenator (деталі)
• DoS in Apache SpamAssassin (деталі)
• Обхід обмежень безпеки в Jetty (деталі)
• Міжсайтовий скриптінг в Qdig (деталі)
• Sun JDK/JRE: Execution of arbitrary code (деталі)

Опубліковано невелике оновлення безпеки, адресоване для виправлення можливих уразливостей в Invision Power Board. Дірка може проявитися тільки при включених додаткових BB-кодах на форумі і тільки при визначеному їхньому використанні. При цих обставинах можлива вставка шкідливого html коду. Додатково у виправленні усунуті проблеми безпеки при використанні flash і помилка з автовизначенням переходу на літній/зимовий час.

Зокрема, в даному секюріті патчі для IPB 2.3.x виправлена знайдена мною XSS уразливість в IPB, про яку я вже писав.

• Исправления безопасности в Invision Power Board 2.3.x (деталі)

13.12.2007

У травні, 27.05.2007, я знайшов Cross-Site Scripting уразливість на проекті http://www.city.zp.ua (каталог та пошукова система Запоріжжя). Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше.

09.04.2008

XSS:

• alert(document.cookie)
• цікавий
• html включення

Дана уразливість досі не виправлена.

В даній добірці експлоіти в веб додатках:

• FaScript FaPersian Petition (show.php) SQL Injection Vulnerability (деталі)
• FaScript FaName v1 (page.php) Remote SQL Injection Vulnerability (деталі)
• FaScript FaMp3 v1 (show.php) Remote SQL Injection Vulnerability (деталі)
• PixelPost 1.7 Remote Blind SQL Injection Exploit (деталі)
• MiniWeb 0.8.19 Multiple Remote Vulnerabilities (деталі)
• ALITALK 1.9.1.1 Multiple Remote Vulnerabilities (деталі)
• MailBee WebMail Pro 4.1 (ASP.NET) Remote File Disclosure Vulnerability (деталі)
• Aria 0.99-6 (effect.php page) Local File Inclusion Vulnerability (деталі)
• Blogcms 4.2.1b (SQL/XSS) Multiple Remote Vulnerabilities (деталі)
• CcMail 1.0 Remote File Inclusion Exploit (деталі)

Ще наприкінці 2006 року в WordPress були знадені численні уразливості. Власникам сайтів на старих версіях движка (котрих чимало в Інтернеті) слід оновити їх, враховуючи, що окрім цих дірок, ще було знайдено, в тому числі і мною, чимало дірок в старих версіях WP.

Були виявлені Denial of Service, Information Leakage та Directory Traversal уразливості (про останню я писав раніше). Вразлива версія WordPress 2.0.5 та попередні версії.

• WordPress: Multiple vulnerabilities (деталі)

Із сьогоднішнього дня клієнти британських банків, що не піклуються про безпеку свого комп’ютера, не зможуть висунути претензії нікому, якщо з їхніх рахунків раптово зникнуть гроші.

У новій версії Банківського кодексу, прийнятого британською банківською асоціацією (British Bankers’ Association) у понеділок, мається стаття 12.9, у якій говориться: “Стежте за безпекою комп’ютера. Використовуйте сучасне антивірусне, антишпигунське ПЗ, а також персональний брандмауер”. Крім того, у кодексі сказано, що банки не несуть відповідальності за збитки, у випадку якщо їх несуть клієнти. Якщо на комп’ютері немає антивірусу, антишпигуна і брандмауера. Також користувачам рекомендується поводитися “обачно”.

Крім того, сьогодні стало відомо про втрату британським банком HSBC диска з інформацією про 370 тисячі клієнтів. Адрес і реквізитів, як пише BBC, на носії не було, однак, по-перше, це вже ніхто не доведе, а по-друге, все рівно неприємно.

По матеріалам http://expert.com.ua.

Продовжуючи тему експлоітів для Apache, пропоную вам нову добірку експлоітів для цього веб сервера.

Дані експлоіти для уразливостей в Apache Tomcat (webdav) та Apache Tomcat Connector (mod_jk2). Адмінам варто слідкувати за оновленням своїх серверів.

• Apache Tomcat (webdav) Remote File Disclosure Exploit (ssl support) (деталі)
• mod_jk2 v2.0.2 for Apache 2.0 Remote Buffer Overflow Exploit (win32) (деталі)
• Apache Tomcat Connector jk2-2.0.2 (mod_jk2) Remote Overflow Exploit (деталі)

В даній добірці уразливості в веб додатках:

• phpbb_wordsearch RFi Vulnerabilities (деталі)
• DotClear v1.2.5 (деталі)
• mAlbum v0.3 admin by default user/pass (деталі)
• Vulnerability in LifeType (деталі)
• Variable extraction vulnerability in Ian Bezanson Apache Stats (деталі)
• Multiple vulnerabilities in Ian Bezanson DropBox (деталі)
• HP OpenView Storage Data Protector, Remote Unauthorized Arbitrary Command Execution (деталі)
• Дві уразливості в Symantec Web Security (деталі)
• Multiple static code injection vulnerabilities in GuppY (деталі)
• Розкриття даних в Nexuiz (деталі)
• Обхід обмежень безпеки в Drupal Textimage Module (деталі)
• Розкриття даних в gtalkbot (деталі)
• Vulnerability in MOHA Chat (деталі)
• Cross-site scripting (XSS) vulnerability in TaskFreak! 0.5.5 (деталі)
• New PostgreSQL packages fix several vulnerabilities (деталі)

У вересні, 20.09.2007, я знайшов Cross-Site Scripting уразливість на проекті http://anonymouse.org. Про що найближчим часом сповіщу адміністрацію сайта.

Уразливість схожа на Remote XSS Include (RXI), але це reflected XSS (тому що сторінка демонструється не у фреймі, а завантажується на сайт).

XSS:

• alert(document.cookie) (через flash)
• редиректор
• редиректор (через flash)

Пропоную вам подивитися цікавий відеоролик “Нове обличчя кіберзлочинності”. Що був розроблений компанією Fortify Software. До речі, в цьому ролику знався RSnake, який продемонстрував XSS уразливість на сайті aol.com. В минулому році я вже писав про уразливості на сайтах AOL.

Trailer: The New Face of Cybercrime

Даний ролик - це трейлер до документального фільму “Нове обличчя кіберзлочинності”, в якому розповідається про сучасне обличчя кіберзлочинності. Та про хакерів і нові й актуальні загрози онлайн безпеки.