Архів за Квітень, 2012

Добірка уразливостей

17:07 24.04.2012

В даній добірці уразливості в веб додатках:

DoS в Firefox, Internet Explorer та Opera

23:56 23.04.2012

Раніше я писав в добірці уразливостей та добірці експлоітів про DoS уразливість в браузері Opera 10.10 знайдену Inj3ct0r. І от дослідивши сьогодні його експлоіт я виявив, що багато інших браузерів також уразливі до даної атаки (в тому числі більш нова версія Опери, в якій уразливість не була повністю виправлена).

Сьогодні я виявив Denial of Service уразливості в Mozilla Firefox, Microsoft Internet Explorer та Opera. Вони відноситься до типу вибиваючих DoS, блокуючих DoS та DoS через споживання ресурсів.

Експлоіт від Inj3ct0r схожий на експлоіти, що я розробив для Google Chrome та Mozilla Firefox в 2008 році. Атака в моїх експлоітах відбувалася через велику кількість вкладених marquee тегів, а у нього використовуються html, marquee та h1 теги, але суть атаки та сама - велика кількість вкладених тегів (зокрема marquee). Тоді я сповістив Google і Mozilla та розмістив Bug 454434 на Bugzilla Мозіли, але якщо Google виправила уразливість, то Mozilla не виправила дану уразливість.

DoS:

Моя версія експлоіта для різних браузерів. Цей експлоіт використовує JS, але атаку можна так само провести і без JS (як це показано в моєму експлоіті 2008 року).

Firefox, IE & Opera DoS Exploit.html

Даний експлоіт працює наступним чином:

  • Mozilla Firefox 3.0.19 споживає ресурси (50% CPU і багато RAM) і вилітає.
  • Mozilla Firefox 3.5.11 споживає ресурси (50% CPU і багато RAM) і вилітає.
  • Mozilla Firefox 3.6.8 споживає ресурси (50% CPU і багато RAM) і вилітає.
  • Mozilla Firefox 4.0 beta 2 зависає і споживає ресурси (50% CPU і багато RAM).
  • Mozilla Firefox 11.0 зависає і споживає ресурси (50% CPU і багато RAM).
  • Internet Explorer 6 зависає і споживає ресурси (50% CPU і багато RAM).
  • Internet Explorer 7 зависає і споживає ресурси (50% CPU і багато RAM).
  • Internet Explorer 8 лише споживає ресурси (50% CPU і багато RAM). Тобто в IE8 проблема вже частково виправлена Microsoft.
  • Opera 10.62 зависає і споживає ресурси (50% CPU і багато RAM).
  • Експлоіт не працює в браузері Google Chrome вже починаючи з версії 1.0.154.48. Гугл виправила уразливість з marquee тегом після мого повідомлення в 2008 році.

Уразливі Mozilla Firefox 3.0.19, 3.5.11, 3.6.8, 4.0 beta 2, 11.0, Internet Explorer 6 (6.0.2900.2180), Internet Explorer 7 (7.00.5730.13), Internet Explorer 8 (8.00.6001.18702) та Opera 10.62, а також повинні бути уразливими попередні версії даних браузерів. Інші браузери також можуть бути уразливими.

Інфіковані сайти №119

22:47 23.04.2012

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

  • http://orthodox.ho.ua - інфекція була виявлена 04.02.2012. Зараз сайт не входить до переліку підозрілих.
  • http://io.ua - інфекція була виявлена 17.04.2012. Зараз сайт не входить до переліку підозрілих.
  • http://dn.kiev.ua - інфекція була виявлена 16.02.2012. Зараз сайт не входить до переліку підозрілих.
  • http://certsystems.kiev.ua - інфекція була виявлена 12.03.2012. Зараз сайт не входить до переліку підозрілих.
  • http://olimpkino.dp.ua - інфекція була виявлена 28.02.2012. Зараз сайт не входить до переліку підозрілих.

Численні уразливості в Adobe Flash Player

20:11 23.04.2012

Виявлені численні уразливості безпеки в Adobe Flash Player.

Уразливі продукти: Adobe Flash Player 10.3, Flash Player 11.1, Flash Player 11.2, AIR 3.2.

Різні пошкодження пам’яті.

  • Adobe Flash Player NetStream Remote Code Execution Vulnerability (APSB12-07 / CVE-2012-0773) (деталі)

Добірка експлоітів

16:06 23.04.2012

В даній добірці експлоіти в веб додатках:

  • Opera <= 10.10 Remote Denial of Service Exploit (деталі)
  • XOOPS Module Repository (viewcat.php) BLIND SQL Injection Exploit (деталі)
  • Xoops Module Friendfinder <= 3.3 (view.php id) BLIND SQL Injection Exploit (деталі)
  • XOOPS Module Library (viewcat.php) BLIND SQL Injection Exploit (деталі)
  • XOOPS Module Core (viewcat.php) Remote BLIND SQL Injection Exploit (деталі)

XSS та FPD уразливості в Organizer для WordPress

23:54 21.04.2012

14.04.2012

Ще 27.09.2006 я знайшов Cross-Site Scripting та Full path disclosure уразливості в плагіні Organizer для WordPress (одразу як почав ним користуватися). Але довго відкладав публікацію інформації про дані уразливості. Це перша порція уразливостей в плагіні Organizer. Про що найближчим часом повідомлю розробникам плагіна.

Стосовно уразливостей в плагінах для WP раніше я писав про уразливості в Register Plus Redux для WordPress.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам.

21.04.2012

XSS:

http://site/wp-admin/admin.php?page=organizer/page/users.php&delete_id=%3Cscript%3Ealert(document.cookie)%3C/script%3E

XSS (Persistent):

POST запит на сторінці http://site/wp-admin/admin.php? page=organizer/page/users.php в полі “File extensions allowed”. Код виконається на сторінці users.php плагіна.

Organizer XSS-1.html

FPD:

http://site/wp-content/plugins/organizer/plugin_hook.php

http://site/wp-content/plugins/organizer/page/index.php

http://site/wp-content/plugins/organizer/page/dir.php

http://site/wp-content/plugins/organizer/page/options.php

http://site/wp-content/plugins/organizer/page/resize.php

http://site/wp-content/plugins/organizer/page/upload.php

http://site/wp-content/plugins/organizer/page/users.php

http://site/wp-content/plugins/organizer/page/view.php

Уразливі Organizer 1.2.1 та попередні версії.

Як заявив мені розробник плагіна, він більше не підтримує цей плагін і не буде виправляти численні уразливості в ньому, про які я повідомив. Тому користувачам даного плагіна потрібно буде власноруч виправляти всі уразливості.

Новини: повідомлення про взлом, malware в Google Play та закриття онлайн-магазинів

22:44 21.04.2012

За повідомленням www.xakep.ru, Google розіслала 20 тисяч повідомлень про взлом.

Метт Каттс (Matt Cutts), керівник відділу якості пошуку Google і боротьби з пошуковим спамом, повідомив у своєму твітері цікаву новину. Виявляється, декілька днів тому компанія Google розіслала на адресу 20000 власників доменів повідомлення “Ваш сайт міг бути взломаний”.

Як можна зрозуміти з твіта, сповіщення власників сайтів здійснено автоматично. Пошуковий робот Google зайшов, як звичайно, на сайт, але замість звичайного контента знайшов редирект. Очевидно, така поведінка є підозрілою, про що миттєво повідомляється власнику сайта.

Торік я вже писав про сповіщення Гугла. Що починаючи з 20 червня компанія Google почала сповіщати користувачів WordPress про необхідність оновити движок. А зараз компанія пішла далі і почала сповіщати про появу підозрілих редиректів на сайтах. Як і в інших випадках, сповіщення відбувається в інтерфейсі Google Webmaster Tools (GWT), а також по емайлу, якщо користувач зареєструвався в GWT (тобто сповіщають не кожного власника сайта, а лише користувачів GWT).

За повідомленням www.3dnews.ru, Symantec знайшла нові шкідливі додатки в Google Play.

Близько 30 додатків з онлайн-магазина Google Play нещодавно були відзначені Symantec як “шкідливі”. Фрагменти заражених програм, що визначаються як Androіd.Dougalek, містилися в іграх і додатках так чи інакше стосовних до відео. Перші аналогічні шкідливі елементи були виявлені ще в лютому цього року, а потім у березні. На думку фахівців Symantec, кількість смартфонів, на які були встановлені ці програми, може варіюватися від 70 до 300 тисяч.

Шкідливі програми та уразливості в Android Market вже знаходили неодноразово. А в цьому році дійшла черга до нового онлайн-магазину Гугла.

За повідомленням ain.ua, податкова призупинила роботу найбільшого інтернет-магазина України Rozetka.UA.

На цьому тижні відбулося закриття онлайн магазинів Rozetka.ua і Sokol.ua та проведені обшуки в офісних приміщеннях даних компаній податковою інспекцією. Претензії до магазинів від Державної Податкової Служби стосуються несплати податків у великих розмірах. Разом з відкриттям кримінальної справи проти Rozetka і проведенням обшуків в двох магазинах, податківці також вирішили закрити їхні сайти. Зараз сайти обох магазинів вже відновили свою роботу (після перенесення хостингу закордон).

З даних інцидентів цілком очевидно, що не тільки СБУ і МВС можуть закривати сайти через порушення законодавства (про що я писав неодноразово), а також і ДПС.

LoginWall - новий погляд на паролі

20:17 21.04.2012

Нещодавно знайшов цікаве рішення, що призначене для покращення надійсності старих добрих паролів. Компанія LoginWall пропонує новий погляд на паролі.

Вона пропонує новий підхід до формування паролів, що на порядки покращує їх захист перед брутфорс атаками. Окрім безпоседньо секретної фрази, як у звичайних паролів, також використовується часова інформація (таймінг). Вона включає час між натисканням різних кнопок та час натискання кожної кнопки. За рахунок поєднання текстових даних з часовими даними, стійкість такого пароля до підбору збільшується на порядки.

Для демонстрації надійності своєї системи паролів компанія проводить хакерський марафон :-) - LoginWall’s New Cyber Hackathon. Який проводиться на цьому тижні. Переможець змагання отримає новий iPad. Але навряд чи такий знайдеться виходячи з рівня надійності даної системи.

Добірка уразливостей

17:21 21.04.2012

В даній добірці уразливості в веб додатках:

  • Oracle Exadata Infiniband Switch default logins and world readable shadow file (деталі)
  • CMS wizard Cross Site Scripting (деталі)
  • F*EX (Frams’s Fast File EXchange) Cross Site Scripting Vulnerability (деталі)
  • Aurora WebOPAC SQL Injection (деталі)
  • XSS (CROSS SITE SCRIPTING VULNERABILITIES) (ZAPHOD BREEBLEBROX’S BLOCKER A.K.A. ZB BLOCK) (деталі)
  • APPLE-SA-2012-03-07-2 iOS 5.1 Software Update (деталі)
  • phpMyVisites 2.4 XSS (деталі)
  • XWeavers (sysMsg.php?errMsg) Cross Site Scripting Vulnerabilities (деталі)
  • Arte Dude (collections.php?id) (property.php?id) Remote SQL injection Vulnerability (деталі)
  • Web Design Sydney (news-item.php?id) (news-item.php?newsid) Remote SQL injection Vulnerability (деталі)

IA, CSRF та FPD уразливості в Organizer для WordPress

23:57 20.04.2012

Ще 18.04.2008 я знайшов Insufficient Authorization, Cross-Site Request Forgery та Full path disclosure уразливості в плагіні Organizer для WordPress. Але довго відкладав публікацію інформації про дані уразливості. Це третя порція уразливостей в плагіні Organizer. Як заявив мені розробник плагіна, він більше не підтримує цей плагін і не буде виправляти численні уразливості в ньому, про які я повідомив.

Раніше я писав про уразливості в Organizer для WordPress.

Insufficient Authorization:

Доступ до users.php та виконання всіх операцій дозволено будь-яким користувачам системи (навіть Subscriber).

http://site/wp-admin/admin.php?page=organizer/page/users.php

Можливий перегляд налаштувань, додавання, редагування та видалення налаштувань користувачів. Зокрема будь-який користувач (той же Subscriber) зможе задати, в тому числі для свого акаунту, дозволені розширення для завантаження файлів, наприклад, php.

В тому числі непривілегійований користувач може проводити Persistent XSS атаки на адміна (через дві раніше згадані Persistent XSS дірки). А також дана уразливість дозволяє проводити CSRF атаки (для зміни налаштувань) не тільки на адміна, а на будь-якого залогіненого користувача.

CSRF:

Увесь фунціонал плагіна вразливий до CSRF атак. Окрім раніше загадних CSRF в скрипті users.php, наприклад, в скрипті dir.php через CSRF можна створювати, переіменовувати та видаляти директорії (переіменовувати та видаляти можна лише пусті директорії). Для цього потрібно відправити три відповідних POST запити.

http://site/wp-admin/admin.php?page=organizer/page/dir.php

А в скрипті view.php через CSRF можна переіменовувати, копіювати та видаляти завантажені файли. Для цього потрібно відправити три відповідних POST запити.

http://site/wordpress/wp-admin/admin.php?page=organizer/page/view.php

FPD:

Скрипт http://site/wordpress/wp-admin/admin.php?page=organizer /page/view.php має вбудований функціонал (і уразливість) - виведення повного шляху на сервері.

Уразливі Organizer 1.2.1 та попередні версії.