26.07.2012
У липні, 04.07.2012, я виявив численні уразливості в системі MODX Revolution, зокрема Brute Force, Cross-Site Request Forgery, Abuse of Functionality та Insufficient Anti-automation. Які виявив на сайті www.gov.ua. Частково уразливості збігаються з MODx 1.0.х. Про що найближчим часом повідомлю розробникам системи.
Раніше я вже писав про уразливості в MODx.
Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам.
27.12.2012
Brute Force (WASC-11):
В формі логіна (http://site/manager/) немає захисту від Brute Force атак.
Cross-Site Request Forgery (WASC-09):
Відсутність захисту від Brute Force (такого як капча) в формі логіна (http://site/manager/) також призводить до можливості проведення CSRF атаки, про що я писав в статті Атаки на незахищені логін форми. Це дозволяє проводити віддалений логін в акаунт (щоб проводити атаки на уразливості всередині акаунта). Це також може бути використано для автоматизованого входу в акаунт, фішинга та інших автоматизованих атак.
Abuse of Functionality (WASC-42):
В формі логіна (http://site/manager/) можна виявляти логіни користувачів (Login Enumeration). Різні повідомлення виводяться для коректних і некоректних логінів.
Insufficient Anti-automation (WASC-21):
Із-за відсутності захисту від автоматизованих атак в формі логіна, окрім Brute Force атак також можливі автоматизовані атаки на функції логіна (для автоматизованого виявлення логінів) та відновлення паролю (для виявлення емайлів користувачів). Обидва функціонали знаходяться на одній сторінці.
Уразливі всі весії MODx Revolution (2.x версії движка). Дані уразливості досі не виправлені розробниками. XSS дірки з www.gov.ua не відносяться до CMS - це власний код цього сайта.
31.12.2012
При включеному блокуванні на сайті з’являються дві нові уразливості (аналогічні діркам в MODx Evolution).
Abuse of Functionality (Login Enumeration) (WASC-42):
В формі логіна (http://site/manager/) можливий підбір логінів. Якщо блокування не спрацьовує після трьох запитів (як може бути встановлене на сайті), значить немає такого логіна в системі, тобто воно спрацьовує лише для робочих логінів. Атака можлива, якщо включене блокування.
Експлоіт:
MODx Revolution Abuse of Functionality-1.html
Abuse of Functionality (WASC-42):
Після знаходження логіна з вищезгаданою уразливістю можливе зловживання блокуванням акаунтів. Після трьох запитів (як може бути встановлене на сайті) акаунт може бути заблокований (навіть акаунт адміна). Постійно посилаючи запити до цього функціоналу (по три некоректні запити), можна постійно тримати акаунт заблокованим (в тому числі адмінський).
Експлоіт:
MODx Revolution Abuse of Functionality-2.html