Websecurity - Веб безпека

20.12.2011

Виявлена можливість витоку інформації та можливість проведення DoS атак в PHP.

Уразливі версії: PHP 5.3, PHP 5.4.

Звертання за межі виділеної пам’яті при розборі EXIF-заголовків JPEG.

• Integer overflow in the exif extension in PHP 5.4.0beta2 (деталі)

11.02.2011

DoS через передбачувані колізії хеш-функції.

• Denial of service (CPU consumption) in PHP before 5.3.9 (деталі)
• web programming languages and platforms - DoS through hash table (деталі)
• multiple implementations denial-of-service via hash algorithm collision (деталі)

В даній добірці уразливості в веб додатках:

• XSS in IBM Open Admin Tool (деталі)
• Warah Agencia (productos.php?categoria_id) Remote SQL injection Vulnerability (деталі)
• Simply Media Web (archivio.asp?categoria_id) Remote SQL injection Vulnerability (деталі)
• Dataminas (noticias.php?categoria_id) (galeria.php?galeria_id) Remote SQL injection Vulnerability (деталі)
• Nafis Group (review.php?ID) Remote SQL injection Vulnerability (деталі)
• Novell ZENworks Asset Management Remote Code Execution Vulnerability (деталі)
• Nativedreams (Fabarth_gallery.php?categoria_id) Remote SQL injection Vulnerability (деталі)
• Data Center Foz (product_cat.php?CATEGORIA_ID) Remote SQL injection Vulnerability (деталі)
• LAB GRAPHIC DESIGN (index.php?categoria_id) Remote SQL injection Vulnerability (деталі)
• B-Keen communication (dettaglio_news.php&id) Remote SQL injection Vulnerability (деталі)

За повідомленням www.xakep.ru, можливий підбор PIN-кода до Google Wallet.

Хакери знайшли спосіб підбора PIN-кодів до гаманців Google Wallet, що використовуються для платежів по бездротовому зв’язку малого радіуса дії (стандарт NFC, заснований на RFID).

Виявляється, підбирати PIN-код можна методом брутфорса без звертання до сервера Google завдяки виявленій уразливості в архітектурі цього додатка. Раніше viaForensics вже звертала увагу на недостатню безпеку Google Wallet.

За повідомленням www.pravda.com.ua, сервер МВС став надбанням юзерів.

Хакери відкрили доступ до сервера МВС через ftp. В результаті, дані папок з сервера МВС стали відомі тисячам користувачів і вільно гуляли по Інтернету.

Хакери також підтвердили, що на сервері МВС стоїть піратська Windows. Скріншоти з переліком папок і файлів з сервера наводяться в тексті новини.

Після проведення DDoS атак на mvs.gov.ua та інші gov.ua сайти, хакери вирішили взломати сервер Міністерства Внутрішних Справ, хоча я сумніваюся, що це саме сервер МВС. Особисто в мене склалося враження, переглянувши скріншоти, що це не сервер МВС, а просто пересональний комп’ютер одного з працівників міліції. Тому заяви про взлом сервера схожі на фейк. Також висловлюються думки, що ці скріншоти взагалі фейк - що це перелік папок з ПК якогось юзера і до МВС ніякого відношення не мають.

За повідомленням www.xakep.ru, у Китаї виявлений ботнет з 140000 Android-пристроїв.

Користувачі двох найбільших операторів стільникового зв’язку Китаю виявилися жертвами троянської програми, що об’єднала їх у ботнет рекордного розміру. На думку експертів Symantec, розмір цього ботнета може досягати сотень тисяч пристроїв під керуванням операційної системи Android.

Як видно з цього прикладу, не тільки Microsoft зі своєю операційною системою Windows докладається до поширення ботнетів, але й Google зі своєю Android.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://dizklz-lviv.gov.ua (хакером Z4R4THUSTR4) - 30.10.2011 - взломаний державний сайт, зараз сайт вже виправлений адмінами
• http://mr.gov.ua (хакером Over-X) - 02.11.2011 - взломаний державний сайт, зараз сайт вже виправлений адмінами
• http://eng.ukurier.gov.ua (хакером Lekosta) - 13.11.2011 - взломаний державний сайт, зараз сайт не працює (немає контенту)
• http://vichna-ukraina.org.ua (хакером Crazy_r00t) - 07.01.2011, зараз сайт вже виправлений адмінами
• http://сходница.com.ua (хакером Crazy_r00t) - 07.01.2011, зараз сайт не працює

Виявлена можливість впровадження даних у curl.

Уразливі версії: curl 7.21.

Впровадження даних через URL запиту.

• curl vulnerability (деталі)

В даній добірці уразливості в веб додатках:

• HP Managed Printing Administration MPAUploader.dll Remote Code Execution Vulnerability (деталі)
• SQL Injection in LedgerSMB 1.2.24 and lower (деталі)
• Apache Wicket XSS vulnerability (деталі)
• SQL-Ledger patch update for SQL injection (деталі)
• JagoanStore CMS Arbitary file upload vulnerability (деталі)
• HP Managed Printing Administration jobAcct Multiple Vulnerabilities (деталі)
• Database information disclosure in GLPI (деталі)
• ValtNet (photogallery.html?id_categoria) Remote SQL injection Vulnerability (деталі)
• CreatiWeb Remote SQL injection Vulnerability (деталі)
• Alfazeta (list-prodotti.php?idcategoria) Remote SQL injection Vulnerability (деталі)

13.12.2011

Продовжуючи тему уразливостей в D-Link DAP 1150, розповім вам про нові уразливості в даній точці доступу. У листопаді, 17.11.2011, я виявив численні Cross-Site Request Forgery, Denial of Service та Cross-Site Scripting уразливості в D-Link DAP 1150 (Wi-Fi Access Point and Router). Це четвертий advisory з серії записів про уразливості в продуктах D-Link. Попередні були про уразливості в DSL-500T ADSL Router та DAP 1150.

Уразлива версія D-Link DAP 1150, Firmware version 1.2.94. Дана модель з іншими прошивками також повинна бути вразливою.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам пристрою.

09.02.2012

Як я зазначав в попередній публікації, весь функціонал адмінки вразливий до CSRF. До раніше наведених прикладів, додам нові CSRF, а також DoS та XSS.

Дані уразливості наявні в адмінці пристрою в режимі точки доступа (Access Point). В режимі роутера (Router) в адмінці з’являється багато нових розділів вразливих до CSRF і XSS.

CSRF:

http://192.168.0.50/index.cgi?res_cmd=20&res_buf=null&res_cmd_type=bl&v2=y&rq=y

Через CSRF можна провести збереження конфігурації. Що необхідно для збереження налаштувань після перезавантаження пристрою. Також через CSRF можна виконати операції Reboot, Save&Reboot та Logout.

DoS:

Віддалене перезавантаження пристрою:

http://192.168.0.50/index.cgi?res_cmd=6&res_buf=null&res_cmd_type=nbl&v2=y&rq=y

CSRF:

В розділі Net / Connections через CSRF можна додавати з’єднання (таких типів як PPPoE, IPoE, L2TP, PPTP), видаляти з’єднання (всі окрім основного) та редагувати налаштування існуючих з’єднаннь (в тому числі включати/виключати їх). Налаштування діляться на три підрозділи: Main, DHCP server та Static DHCP. В останньому підрозділі окрім збереження налаштувань можна також додавати та видаляти DHCP сервера.

XSS (persistent):

В розділі Net / Connections при додаванні або редагуванні з’єднаннь можна вказати XSS код в підрозділі Main в полі Name. Код виконається на сторінці Connections.

В розділі Net / Connections при додаванні або редагуванні з’єднаннь можна вказати XSS код в підрозділі Static DHCP в полі Host name. Код виконається на сторінці Main у властивостях з’єднання.

CSRF:

В розділі Wi-Fi в підрозділах Security settings, WPS через CSRF можна змінювати налаштування безпеки.

В розділі Wi-Fi в підрозділах Basic settings, MAC-Filter (Filter mode, MAC-addresses), Station List, WDS, Additional settings, WMM, Client, в розділі Advanced / Device mode, в розділі System в підрозділах System log, NTP client через CSRF можна змінювати налаштування.

Дані уразливості досі не виправлені. D-Link не стала виправляти ці уразливості, так само як вони досі не виправили багато уразливостей в DSL-500T (с 2005 року).

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, в тому числі web security (статті з Вікіпедії):

• Security through obscurity
• Software security assurance
• Secure by design
• Spam
• Secure coding

Виявлені численні уразливості безпеки в Mozilla Firefox, Thunderbird, Seamonkey.

Уразливі продукти: Mozilla Firefox 3.6, Firefox 9.0, Thunderbird 3.1, Thunderbird 9.0, SeaMonkey 2.7.

Численні пошкодження пам’яті, міжсайтовий доступ, витік інформації, слабкі дозволи.

• Mozilla Foundation Security Advisory 2012-01 (деталі)
• Mozilla Foundation Security Advisory 2012-02 (деталі)
• Mozilla Foundation Security Advisory 2012-03 (деталі)
• Mozilla Foundation Security Advisory 2012-04 (деталі)
• Mozilla Foundation Security Advisory 2012-05 (деталі)
• Mozilla Foundation Security Advisory 2012-06 (деталі)
• Mozilla Foundation Security Advisory 2012-07 (деталі)
• Mozilla Foundation Security Advisory 2012-08 (деталі)
• Mozilla Foundation Security Advisory 2012-09 (деталі)

В даній добірці уразливості в веб додатках:

• HP Managed Printing Administration img_id Multiple Vulnerabilities (деталі)
• phpWebSite (publisher) Remote SQL injection Vulnerability (деталі)
• Fabio Rispoli (prodotto.php?id) Remote SQL injection Vulnerability (деталі)
• Marketing & Development (prodotto.php?cat) Remote SQL injection Vulnerability (деталі)
• Datriks Solutions (prodotto.php?id) (dettaglio_socio.php?id) Remote SQL injection Vulnerability (деталі)
• HP Managed Printing Administration jobDelivery Multiple Vulnerabilities (деталі)
• Multimedia Creative (prodotto.php?id) Remote SQL injection Vulnerability (деталі)
• Axway SecureTransport ‘/icons/’ Directory Traversal (деталі)
• LifeSize Room Vulnerabilities (деталі)
• JCE Joomla Extension <=2.0.10 Multiple Vulnerabilities (деталі)