Websecurity - Веб безпека

В даній добірці експлоіти в веб додатках:

• DD-WRT (httpd service) Remote Command Execution Vulnerability (деталі)
• Meta Search Engine Script (url) Local File Disclosure Vulnerability (деталі)
• phpDirectorySource (XSS/SQL) Multiple Remote Vulnerabilities (деталі)
• AnotherPHPBook (APB) v.1.3.0 (Auth Bypass) SQL Injection Vulnerability (деталі)
• Phorum <= 5.2.11 Permanent Cross Site Scripting Vulnerabilities (деталі)
• GLinks 2.1 (cat) Remote Blind SQL Injection Vulnerability (деталі)
• e107 Plugin my_gallery 2.4.1 readfile() Local File Disclosure Exploit (деталі)
• AWCM 2.1 Local File Inclusion / Auth Bypass Vulnerabilities (деталі)
• PHP Melody 1.5.3 Remote File Upload Injection Vulnerability (деталі)
• (GET var ‘name’) BLIND SQL INJECTION EXPLOIT FretsWeb 1.2 (деталі)

Виявлена можливість витоку інформації в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 5.01, 6, 6 SP1, 7 і 8 на Windows 2000 Server, Windows 2000 Professional, Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7.

Можна одержати файли з комп’ютера користувача через уразливості URLMON і динамічні теги OBJECT.

• Internet Explorer Dynamic OBJECT tag and URLMON sniffing vulnerabilities (деталі)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://travel.kiev.ua - інфекція була виявлена 29.11.2009. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 1 раз протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://santechshara.com - інфекція була виявлена 09.02.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 4 рази протягом останніх 90 днів. Зараз сайт входить до переліку підозрілих.
• http://colorcenter.com.ua - інфекція була виявлена 24.11.2009. Зараз сайт не входить до переліку підозрілих.
• http://rodnik.com.ua - інфекція була виявлена 29.12.2009. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 2 рази протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://listelli.com.ua - інфекція була виявлена 06.02.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 1 раз протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.

В даній добірці уразливості в веб додатках:

• Sun Java JRE TrueType Font Parsing Integer Overflow Vulnerability (деталі)
• Sun Java JRE Pack200 Decompression Integer Overflow Vulnerability (деталі)
• Sun Java Web Start GIF Decoding Memory Corruption Vulnerability (деталі)
• Sun Java JRE TrueType Font Parsing Heap Overflow Vulnerability (деталі)
• Java Web Start File Inclusion via System Properties Override (деталі)
• Spiceworks Multiple Vulnerabilities (XSS & CSRF) (деталі)
• Ticket Subject Persistent XSS in Kayako SupportSuite (деталі)
• Papoo CMS: Authenticated Arbitrary Code Execution (деталі)
• XSS in SqLiteManager (деталі)
• SAP Netweaver UDDI - XSS Security Vulnerability (деталі)

Сьогодні вийшла нова версія програми MustLive/BPG MySQL Perl/CGI Client v1.08.

В новій версії 1.08:

• Покращив фільтрацію XSS.
• Додав в файл конфігурації опцію $show_sqlform для налаштування виведення форми “SQL запит до Бази Даних”, з метою протидії можливим SQL Injection атакам (зокрема через CSRF).
• Додав перевірку існування запису в БД (по ключовому полю) при його редагуванні.

Додаткова інформація про MySQL Perl/CGI Client в розділі Онлайн інструменти.

Виявлене пошкодження пам’яті в Google Chrome.

Уразливі версії: Google Chrome 3.0.

Використання після звільнення при обробці блокованих спливаючих вікон.

• Google Chrome Pop-Up Block Menu Handling Vulnerability (деталі)

В даній добірці експлоіти в веб додатках:

• RadLance Gold 7.5 Multiple Remote Vulnerabilities (деталі)
• RadBIDS GOLD v4 Multiple Remote Vulnerabilities (деталі)
• MCshoutbox 1.1 (SQL/XSS/Shell) Multiple Remote Vulnerabilities (деталі)
• MiniCWB 2.3.0 (LANG) Remote File Inclusion Vulnerabilities (деталі)
• Netrix CMS 1.0 Authentication Bypass Vulnerability (деталі)
• Silentum Guestbook 2.0.2 (silentum_guestbook.php) SQL Injection Vuln (деталі)
• powerUpload 2.4 (Auth Bypass) Insecure Cookie Handling Vulnerability (деталі)
• E-Xoopport 3.1 Module MyAnnonces (lid) SQL Injection Vulnerability (деталі)
• Alibaba-clone CMS (SQL/bSQL) Remote SQL Injection Vulnerabilities (деталі)
• BLIND SQLi exploit S-CMS <= v-2.0 Beta3 (деталі)

Раніше я вже писав про уразливість в 3D Cloud для Joomla. Така ж уразливість є і в плагіні Tagcloud для DLE, що використовує tagcloud.swf розроблений автором WP-Cumulus. Про мільйони флешек tagcloud.swf вразливих до XSS атак я згадував у своїй статті XSS уразливості в 34 мільйонах флеш файлах.

У січні, 07.01.2010, я знайшов, а сьогодні додатково дослідив Cross-Site Scripting уразливість в плагіні Tagcloud для DataLife Engine. Про що найближчим часом повідомлю розробникам.

XSS:

http://site/engine/classes/tagcloud/tagcloud.swf?mode=tags&tagcloud=%3Ctags%3E%3Ca+href='javascript:alert(document.cookie)'+style='font-size:+40pt'%3EClick%20me%3C/a%3E%3C/tags%3E

Код виконається при кліку. Це Strictly social XSS.

Також можна провести HTML Injection атаку, в тому числі на ті флешки, де заборонені (у флешках чи через WAF) javascript та vbscript URI в параметрі tagcloud.

HTML Injection:

http://site/engine/classes/tagcloud/tagcloud.swf?mode=tags&tagcloud=%3Ctags%3E%3Ca+href='http://websecurity.com.ua'+style='font-size:+40pt'%3EClick%20me%3C/a%3E%3C/tags%3E

Уразливі всі версії плагіна Tagcloud.

Пропоную вашій увазі добірку цікавих новин на тему безпеки.

За повідомленням www.ea-ua.info, Google планує співпрацювати з розвідкою США. Інтернет-гігант Google та агентство США, відповідальне за зовнішню електронну розвідку та безпеку американської частини Інтернет, згідно з повідомленням, близькі досягення угоди про співробітництво у справі посиленого захисту кібер-простору.

Як повідомляється, угода між Google та Агентством з питань національної безпеки передбачає співпрацю обох структур в розслідуванні китайських кібер-атак. Раніше я вже писав, що на початку року була проведена Операція Аврора спрямована проти Гугла та ряду інших американських компаній.

За повідомленням www.securitylab.ru, самі небезпечні хакерські угруповання сформувалися в Східній Європі. Ще в 2007 році журнал Information Week опублікував статтю про те, як працює “хакерська економіка”. Як зазначається в статті, особливо небезпечні хакерські угруповання сформувалися в Східній Європі, тобто в Бєларусі, Росії, Румунії та інших країнах регіону.

За повідомленням www.securitylab.ru, аддони для Firefox заражені троянськими програмами. Компанія Mozilla сьогодні випустила два екстрених бюлетені по інформаційній безпеці, де говориться про появу в каталозі аддонів для браузера Firefox, заражених троянськими програмами.

Зазначу, що ще в 2007 році я передбачив можливість розповсюдження інфікованих або зловмисних плагінів та аддонів для браузерів Мозіли через їхній офіційний сайт. Лише зараз Мозіла виявила подібний випадок, хоча цілком можливо, що подібні аддони з троянами могли бути й раніше.

Наприкінці грудня 2009 року - початку січня 2010 року відбулася хакерська атака, що отримала назву Операція Аврора (Operation Aurora). Дана атака проводилася проти Google та ряду інших американських компаній.

Ось декілька відео про Операцію Аврора:

McAfee Operation Aurora Overview

The Operation Aurora Internet Explorer exploit - live!

The «Aurora» IE Exploit in Action

В даних відео роликах розповідається про саму Операцію Аврора та демонструється використання експлоіта для Internet Explorer, що використовувався під час даної атаки.