Архів за Жовтень, 2012

Пошкодження пам’яті в Microsoft Internet Explorer

16:27 29.10.2012

24.09.2012

Виявлені можливості пошкодження пам’яті в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 6, 7, 8 та 9 під Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7.

Уразливість use-after-free активно використовується для встановлення шкідливого програмного забезпечення.

  • Microsoft Releases Patch for Internet Explorer Exploit (деталі)
  • Microsoft Security Advisory for Internet Explorer Exploit (деталі)
  • Microsoft Security Advisory (2757760) (деталі)
  • Microsoft Security Bulletin MS12-063 - Critical Cumulative Security Update for Internet Explorer (2744842) (деталі)

29.10.2012

Додаткова інформація.

  • Microsoft Internet Explorer “scrollIntoView” Use-After-Free Vulnerability (MS12-063) (деталі)
  • Microsoft Internet Explorer “OnMove” Use-After-Free Vulnerability (MS12-063) (деталі)

Cross-Site Scripting в CorePlayer

23:41 28.10.2012

Сьогодні я виявив Cross-Site Scripting уразливість в CorePlayer. Це флеш відео плеєр, що використовується на vybory2012.gov.ua та webvybory2012.ru - сайтах онлайн трансляції виборів в Україні та Росії. Розробники цих сайтів використали один і той же самий дірявий флеш відео плеєр.

XSS:

http://site/core_player.swf?callback=alert(document.cookie)

Уразливі CorePlayer 4.0.6 та попередні версії. На сайті webvybory2012.ru використовується версія 1.3.2, а на сайті vybory2012.gov.ua - 4.0.6.

Уразливість на webvybory2012.ru

19:12 28.10.2012

Подібно до уразливості на vybory2012.gov.ua, аналогічна уразливість є на сайті http://webvybory2012.ru. Сьогодні я знайшов Cross-Site Scripting уразливість на цьому сайті, де відбувалася онлайн-трансляція на цьогорічних виборах президента Росії.

XSS:

На сайті використовується той же дірявий флеш відео плеєр - з тією самою XSS уразливістю (лише версія флешки на українському сайті більш новіша, але вона так само дірява).

Як видно з цієї флешки та уразливості в ній, за безпекою російського сайту для трансляції виборів так само погано слідкували. А також видно те, що наші урядовці не тільки ідею відео-трансляцій скопіювали у росіян, так ще й той же флеш відео плеєр використали з аналогічною діркою. Самі вони ні до чого не спромоглися додумалися, в тому числі до проведення аудиту безпеки веб сайта.

Численні уразливості в Mozilla Firefox, Thunderbird та Seamonkey

16:04 28.10.2012

Виявленні численні уразливості безпеки в Mozilla Firefox, Thunderbird та Seamonkey.

Уразливі продукти: Mozilla Firefox ESR 10.0, Thunderbird ESR 10.0, Firefox 15, Firefox 16, Thunderbird 15, Thunderbird 16, SeaMonkey 2.12, SeaMonkey 2.13.

Витік інформації, численні пошкодження пам’яті, переповнення буфера, міжсайтовий скриптінг, тощо.

  • Mozilla Foundation Security Advisory 2012-73 (деталі)
  • Mozilla Foundation Security Advisory 2012-74 (деталі)
  • Mozilla Foundation Security Advisory 2012-75 (деталі)
  • Mozilla Foundation Security Advisory 2012-76 (деталі)
  • Mozilla Foundation Security Advisory 2012-77 (деталі)
  • Mozilla Foundation Security Advisory 2012-78 (деталі)
  • Mozilla Foundation Security Advisory 2012-79 (деталі)
  • Mozilla Foundation Security Advisory 2012-80 (деталі)
  • Mozilla Foundation Security Advisory 2012-81 (деталі)
  • Mozilla Foundation Security Advisory 2012-82 (деталі)
  • Mozilla Foundation Security Advisory 2012-83 (деталі)
  • Mozilla Foundation Security Advisory 2012-84 (деталі)
  • Mozilla Foundation Security Advisory 2012-85 (деталі)
  • Mozilla Foundation Security Advisory 2012-86 (деталі)
  • Mozilla Foundation Security Advisory 2012-87 (деталі)
  • Mozilla Foundation Security Advisory 2012-88 (деталі)
  • Mozilla Foundation Security Advisory 2012-89 (деталі)
  • Mozilla Foundation Security Advisory 2012-90 (деталі)

Уразливість на vybory2012.gov.ua

14:55 28.10.2012

Сьогодні в Україні вибори до Парламенту. Я вже проголосував і всім українцям, хто ще не встиг, раджу це зробити.

А тим часом зверну вашу увагу на дірявість сайта http://vybory2012.gov.ua, де відбувається онлайн-трансляція виборів. Сьогодні, ще перед голосуванням, я знайшов Cross-Site Scripting уразливість на цьому сайті (а також інші уразливості, ця одна з найменш небезпечних).

XSS:

По капчам на всіх зовнішніх сторінках сайта здається, що vybory2012.gov.ua засекюрений. Але це лише на перший погляд. Як видно з цієї та інших дірок на сайті, за його безпекою особливо не слідкували. При тому що на веб камери для голосування, сюди ж входить і створення веб сайта, уряд виділив майже 1 мільярд гривень (993,6 мільйонів). Але, враховуючи розкрадання коштів, на безпеку не вистачило (подібно до інших державних сайтів).

Численні Content Spoofing та XSS уразливості в Bitrix

23:52 20.10.2012

20.08.2012

У серпні, 12.08.2012, я виявив численні Content Spoofing та Cross-Site Scripting уразливості в Bitrix Site Manager. Які обходять WAF та захисні фільтри Bitrix. Уразливості були виявлені на www.1c-bitrix.ua та www.1c-bitrix.ru. Про що на минулому тижні вже повідомив розробникам системи.

Раніше я вже писав про уразливості в Bitrix.

Детальна інформація про уразливості з’явиться пізніше.

20.10.2012

XSS:

http://site/bitrix/components/bitrix/player/mediaplayer/player.swf?playerready=alert(document.cookie)

Та інші Content Spoofing та Cross-Site Scripting уразливості в JW Player, що використовується в Bitrix (версія JW Player Pro).

CS:

http://site/bitrix/components/bitrix/player/mediaplayer/player.swf?abouttext=Player&aboutlink=http://site

XSS:

http://site/bitrix/components/bitrix/player/mediaplayer/player.swf?abouttext=Player&aboutlink=data:text/html;base64,PHNjcmlwdD5hbGVydChkb2N1bWVudC5jb29raWUpPC9zY3JpcHQ%2B

Уразливі Bitrix Site Manager 11.5 та попередні версії.

Розробник виправив уразливість в CMS шляхом видалення даного флеш файла.

Новини: дірявий PayPal, рухи очей замість паролів та штраф для поліції

22:43 20.10.2012

За повідомленням www.xakep.ru, PayPal з небажанням виплатив винагороду за серйозний баг.

21 червня 2012 року PayPal приєднався до числа компаній, що платять хакерам за знайдені уразливості. З огляду на характер веб сервісу PayPal - фінансові транзакції - можна було припустити, що вони більш уважно поставляться до знайдених багів, ніж який-небудь Google, і запропонують більшу нагороду за уразливості. На практиці усе виявилося інакше.

Хакер з l8security розповів захоплюючу історію в скріншотах, як він шукав уразливість у PayPal. Він знайшов SQL Injection уразливість, за допомогою якої отримав доступ до акаунта одного користувача. Продемонструвавши цю уразливість PayPal, він спочатку отримав відмову, бо працівник компанії протупив і не зміг повторити атаку відповідно до опису хакера, а потім, затягнувши цей процес, компанія все ж таки підтвердила наявність уразливості, зарахувала її як XSS і оплатила по “дешевому тарифу”.

За повідомленням www.3dnews.ru, рухи очей можуть у майбутньому замінити введення паролів.

Неможливо знайти двох людей, які б дивилися на світ однаково - буквально. Недавнє дослідження показало, що при погляді на картинку різні люди сковзають поглядом по точках інтересу в різній послідовності. Навіть якщо дві людини ведуть очі по тому самому шляху, точний спосіб руху очей відрізняється. Саме тому комп’ютерний дослідник Техаського державного університету міста Сан-Маркос Олег Комогорцев збирається створити систему ідентифікації людей на основі того, як поводяться їхні очні яблука при погляді на екран комп’ютера.

За повідомленням www.xakep.ru, поліцію оштрафували за використання незашифрованих флешек.

Управління по захисту персональної інформації у Великобританії (Information Commissioner’s Office, ІCO) наклало штраф у розмірі 120 тисяч фунтів стерлінгів на поліцію міста Манчестер за хронічне недотримання правил інформаційної безпеки, а саме - запис інформації на USB-флешки в незашифрованому виді. Управління ІCO класифікувало ці дії як навмисне неприйняття належних заходів для захисту приватної інформації, що привело до кількаразових витоків користувацьких даних.

Про закон ЄС стосовно cookies я вже писав. Окрім цього закону, ІCO також опікується витоками персональних даних, за які накладає штрафи. І це є одним з яскравих прикладів використання цього закону на практиці. Наприклад, в Україні влітку стався витік персональних даних на solor.da-kyiv.gov.ua і з 01.07.2012 вступили в дію поправки до АК та КК стосовно таких витоків. І враховуючи, що Державна служба України з питань захисту персональних даних сама не звернула увагу на це, то я її сповістив, щоб вона відреагувала і оштрафувала цей несерйозний державний сайт. Але наша ДСПЗД лише проігнорувала це (як й інформацію про дірки на їхньому сайті).

Уразливості в Microsoft Fast Search Server

20:11 20.10.2012

Виявлені уразливості в Microsoft Fast Search Server.

Уразливі версії: Microsoft FAST Search Server 2010.

Численні уразливості у вбудованих бібліотеках Oracle Outside In.

  • Microsoft Security Bulletin MS12-067 - Important Vulnerabilities in FAST Search Server 2010 for SharePoint Parsing Could Allow Remote Code Execution (2742321) (деталі)

Добірка уразливостей

17:29 20.10.2012

В даній добірці уразливості в веб додатках:

  • DomsHttpd 1.0 <= Remote Denial Of Service (деталі)
  • Apache Wicket XSS vulnerability via manipulated URL parameter (деталі)
  • SQL Injection in Dr.Web Anti-virus (деталі)
  • SEO New York (prod.php?id) Remote SQL injection Vulnerability (деталі)
  • RSA Authentication Manager Multiple Vulnerabilities (деталі)
  • ES Job Search Engine v3.0 - SQL injection vulnerability (деталі)
  • TP Link Gateway v3.12.4 - Multiple Web Vulnerabilities (деталі)
  • eFront Enterprise v3.6.11 - Multiple Web Vulnerabilities (деталі)
  • EMC Documentum Information Rights Management Multiple Vulnerabilities (деталі)
  • Ektron CMS - Multiple Vulnerabilities (деталі)

Уразливості в плагінах для WordPress №73

23:55 19.10.2012

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Google Analytics, NextGEN Gallery та Tierra Audio. Для котрих з’явилися експлоіти. Google Analytics - це плагін для розміщення рахівника Analytics Гугла, NextGEN Gallery - це плагін для створення галерей зображень, Tierra Audio - це аудіо плагін.

  • WordPress Google Analytics 4.2.4 Cross Site Scripting (деталі)
  • WordPress NextGEN Gallery 1.9.5 Cross Site Scripting (деталі)
  • WordPress Tierra Audio Path Disclosure (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.