Websecurity - Веб безпека

Виявлені численні уразливості безпеки в Adobe Flash Player.

Уразливі продукти: Adobe Flash Player 10.0, AIR 1.5.

Переповнення буфера при розборі JPEG, цілочисленне переповнення при виконанні ActionScript.

• Adobe Flash Player ActionScript Exception Handler Integer Overflow Vulnerability (деталі)
• Adobe Flash Player ActionScript Exception Handler Integer Overflow Vulnerability (деталі)
• Adobe Flash Player JPEG Parsing Heap Overflow Vulnerability (деталі)

Продовжуючи розпочату традицію, після попереднього відео про створення експоіта в Metasploit, пропоную новий відео секюріті мануал. Цього разу відео про створення ActiveX експоіта в Metasploit. Рекомендую подивитися всім хто цікавиться цією темою.

milw0rm exploit 2 metasploit (activex)

В даному відео ролику демонструється використання Metasploit Framework для створення експлоіта для вразливого ActiveX-компонента (використовуючи дані з іншого експлоіта). Зокрема, як і в попередньому відео, демонструється процес використання MSF-eXploit Builder, що є складовою Metasploit Framework. Рекомендую подивитися дане відео для розуміння інструментарія середовища MSF.

В даній добірці уразливості в веб додатках:

• Persistent XSS in Kayako Support Suite (деталі)
• Secunia Research: Trend Micro OfficeScan Directory Traversal Vulnerability (деталі)
• Sun Glassfish Enterprise Server - Multiple Linked XSS vulnerabilies (деталі)
• Sun Glassfish Woodstock Project - Linked XSS Vulnerability (деталі)
• MULTIPLE REMOTE VULNERABILITIES TemaTres 1.0.3 (деталі)
• BLIND SQL INJECTION EXPLOIT TemaTres 1.0.3 (деталі)
• IceWarp WebMail Server: SQL Injection in Groupware Component (деталі)
• IceWarp WebMail Server: Cross Site Scripting in Email View (деталі)
• IceWarp WebMail Server: User-assisted Cross Site Scripting in RSS Feed Reader (деталі)
• Apple’s Mail.app stores your S/MIME encrypted emails in clear text (деталі)

Нещодавно я писав про нові уразливості на auction.ua, де згадав про партнерський скрипт від auction.ua. Як я писав, даний партнерський скрипт реалізований таким чином, що домен сайта (основний домен) або його піддомен може бути зроблений як аукціон на движку auction.ua. Тобто він лише редиректить на головний сайт “під виглядом партнерського”. І відповідно всі дірки на головному сайті наявні й на партнерських сайтах.

І я перевірив деякі з раніше мною знайдених і оприлюднених уразливостей на auction.ua (зокрема Cross-Site Scripting), чи вони ще працюють, і чи вони працюють на партнерських сайтах.

XSS (IE):

Дана уразливість на auction.ua була виправлена погано ще в 2007 році. Спочатку її не виправили, а потім в 2007 році її виправили, але погано, і при невеликій модифікації коду вона знову працює.

• alert(document.cookie)
• цікавий

Вона працює на souvenirs.auction.ua та інших сайтах на піддоменах auction.ua:

• alert(document.cookie)

Але не працює у випадку, якщо сайт на окремих доменах: auction.shram.kiev.ua, auction.ukrop.com та ubuy.com.ua.

XSS (IE):

Серед уразливостей на aukcion.ua та auction.ua працює одна (хоча й редиректить на дещо інший URL).

• alert(document.cookie)
• цікавий

Та на партнерських сайтах:

http://souvenirs.auction.ua

• alert(document.cookie)

http://auction.shram.kiev.ua

• alert(document.cookie)

http://auction.ukrop.com

• alert(document.cookie)

http://ubuy.com.ua

• alert(document.cookie)

Всі веб сайти що базуються на движку auction.ua вразливі, так само як і головний сайт аукціону. А таких сайтів чимало (орієнтовно 295 партнерських сайтів).

Корпорація IBM планує придбати ізраїльський стартап Guardium за $225 мільйонів, що займається випуском спеціалізованого програмного забезпечення для захисту баз даних.

За допомогою розробок купленої компанії бізнес-користувачі можуть більш широко надавати доступ до своїх баз даних клієнтам, партнерам і стороннім контрагентам, у той же час ключові відомості в базах можуть бути надійно закриті.

Компанія Guardium утворена в Ізраїлі в 2002 р., а в 2003 р. вона переїхала в американський Бостон. На сьогодні в Guardium працює трохи більш 60 чоловік, і всі вони одержать свій відсоток від прибутку з продажу. Guardium була створена по більшій частині на гроші інвесторів, зокрема компаній Ascent Venture Partners і Cisco Systems. Крім того, Guardium має в Ізраїлі дочірнє підприємство Log-On Software, що також увійде до складу IBM.

По матеріалам http://ain.ua.

P.S.

Даний випадок демонструє активний стан справ в секторі безпеки. І що у IBM, незважаючи ні на яку фінансову кризу, достатньо коштів для купівлі інших компаній, причому щороку (хоча не вистачає коштів на безпеку власних сайтів).

Тим самим IBM намагається предстати серйозним секюріті гравцем. І це при тому, що у самої сайти діряві, і купівля інших компаній аж ніяк не допомагає їй покращити власну безпеку.

В цьому місяці, окрім XSS уразливості та знайдених мною XSS уразливостей, в IPB також були знайдені інші уразливості.

Зокрема були виявлені Local File Inclusion та SQL Injection уразливості в Invision Power Board. LFI дозволяє інклюдити php-файли на сервері та працює лише на 3.0.x версіях IPB, а SQL Injection працює в 2.x та 3.0.x версіях движка.

Уразливі Invision Power Board 3.0.4 та попередні версії.

• Invision Power Board 3.0.4 Local PHP File Inclusion and SQL Injection (деталі)

В даному advisory також наводяться патчі для IPB 2.3.6 та 3.0.4.

В даній добірці експлоіти в веб додатках:

• Escon SupportPortal Pro 3.0 (tid) Blind SQL Injection Vulnerability (деталі)
• Unclassified NewsBoard 1.6.4 Multiple Remote Vulnerabilities (деталі)
• ASP Football Pool 2.3 Remote Database Disclosure Vulnerability (деталі)
• AdaptBB 1.0 (forumspath) Remote File Inclusion Vulnerability (деталі)
• PAD Site Scripts 3.6 Remote Arbitrary Database Backup Vulnerability (деталі)
• R2 Newsletter Lite/Pro/Stats (admin.mdb) Database Disclosure Vuln (деталі)
• ecsportal rel 6.5 (article_view_photo.php id) SQL Injection Vulnerability (деталі)
• Joomla Component Joomlaequipment 2.0.4 (com_juser) SQL Injection (деталі)
• ASMAX AR 804 gu Web Management Console Arbitrary Command Exec (деталі)
• Online Grades & Attendance 3.2.6 Multiple SQL Injection Vulnerabilities (деталі)
• Online Grades & Attendance 3.2.6 Credentials Changer SQL Exploit (деталі)
• Flashlight Free Edition (LFI/SQL) Multiple Remote Vulnerabilities (деталі)
• AlstraSoft Article Manager Pro Remote Shell Upload Vulnerability (деталі)
• Online Grades & Attendance 3.2.6 Blind SQL Injection Exploit (деталі)
• Alice BackDoor hash creator (деталі)

Існують численні Cross-Site Scripting уразливості в Invision Power Board. Атака відбувається через атачмент (при кліку на атачмент в пості на форумі чи на лінку на даний атачмент). Це persistent XSS уразливості.

Про можливість атаки через swf-файли мені вже давно відомо. Тому я вже багато років тому відключив підтримку swf-файлів в атачментах (і в аватарах та фотографіях). Також я писав на початку 2008 про XSS уразливість в IPB через включені флешки і випустив виправлення для неї в своєму MustLive Security Pack.

В 2008 році була виявлена Cross-Site Scripting уразливість в IPB через htm і html файли в атачментах. Вона стосувалася Internet Explorer, в якому код виконувався в контексті сайта (в Mozilla і Firefox код виконувався локально). Але як я сьогодні перевірив, в Opera код також виконується в контексті сайта.

А нещодавно була виявлена нова XSS уразливість в IPB, цього разу через txt-файли. Яка стосується Internet Explorer. У випадку htm, html і txt-файлів (а також нищезгаданих php, rtf і xml-файлів) найкращим методом захисту від XSS є відключення їх підтримки на форумі (подібно до swf-файлів).

Сьогодні, 12.12.2009, я виявив нові Cross-Site Scripting уразливості в Invision Power Board. Атака відбувається через файли php, rtf та xml (в атачментах).

Можливі наступні атаки:

1. Атака через завантаження php-файлів з JavaScript кодом. Працює в IE та Opera в контексті сайта. В браузерах Mozilla та Firefox файл запускається локально (не в контексті сайта) при виборі відкрити в браузері. Відповідно у випадку атаки через htm, html та php файли на браузери Mozilla та Firefox, які відкривають їх локально (при виборі користувачем у діалоговому вікні), можлива атака на локальний компьютер користувача.

2. Атака через завантаження rtf-файлів з JavaScript кодом. Працює тільки в Internet Explorer.

3. Атака через завантаження xml-файлів з JavaScript кодом. Працює в Mozilla, Firefox, Opera та Chrome (але без доступу до кукісів).

XSS:

Для атаки через htm, html, php, rtf та txt-файли, потрібно зробити файл з наступним змістом (і завантажити в атачменті на форум):
<script>alert(document.cookie)</script>

Тестував на Invision Power Board 1.3 та 2.2.2. Уразливими повинні бути всі версії IPB 1.x (зокрема для txt), 2.x та 3.0.x. Автор advisory про атаку через txt-файли зазначав, що в IPB 3.0.4 є деяки фільтри проти XSS при завантаженні файлів, але їх можна обійти.

Перевірку провів в наступних браузерах: Internet Explorer 6 (6.0.2900.2180), Mozilla 1.7.x, Mozilla Firefox 3.0.15, Opera 9.52 та Google Chrome 1.0.154.48.

В статті Правила пентеста - аудит по стандарту PCI DSS розповідається про методології пентестингу і про стандарт PCI DSS. А також про методику проведення аудиту безпеки по стандарту PCI DSS (Payment Card Industry Data Security Standard).

В статті наводяться наступні аспекти PCI DSS аудиту:

• Визначення границь дослідження, що проводиться.
• Network-layer penetration tests.
• Application-layer penetration tests.
• Вибір цілей для проникнення:
• Експлуатація уразливостей у мережевих сервісах.
• Аналіз розмежування доступу.
• Атака типу брутфорс.
• Аналіз захищеності web-додатків.
• Аналіз захищеності СУБД.

Проведення аудиту безпеки по стандарту PCI DSS необхідно для тих сайтів банків та e-commerce сервісів, що працюють з кредитними картами.

Виявлена Cross-Site Scripting уразливість в IPB. Це persistent XSS уразливість, що дозволяє розмістити txt-файл з атакуючим html кодом на сторінках форума.

Уразливі Invision Power Board 3.0.4 та попередні версії.

IPB задає такий MIME-тип для txt файлів, що при наявності в них html коду (наприклад атакуючого коду), він виконається в браузері IE. Уразливість працює при перегляді атачмента в Internet Explorer, але не в інших браузерах. Уразливість подібна до Cross-Site Scripting в Invision Power Board, але використовуються не html, а txt файли для атаки.

• IPB v2.x up to 3.0.4 XSS vulnerability (деталі)

Зазначу, що автор advisory заявляє, що в IPB для txt файлів заданий MIME-тип application/x-dirview. При цьому в мене на форумі (на IPB 2.2.2) для txt файлів був по замовчуванню заданий MIME-тип text/plain і атака працювала. Тому рекомендація автора встановити text/plain не є ефективною (а в IPB 1.x взагалі немає можливості встановити MIME-тип) і я раджу взагалі відключити підтримку txt файлів на форумі.