Websecurity - Веб безпека

Виявлені численні уразливості безпеки в Mozilla Firefox, Thunderbird і Seamonkey.

Уразливі продукти: Mozilla Firefox 24, Firefox ESR 24, Thunderbird 24, Seamonkey 2.21.

Численні пошкодження пам’яті, підміна адресного рядка, обхід захисту.

• Mozilla Foundation Security Advisory 2013-93 (деталі)
• Mozilla Foundation Security Advisory 2013-94 (деталі)
• Mozilla Foundation Security Advisory 2013-95 (деталі)
• Mozilla Foundation Security Advisory 2013-96 (деталі)
• Mozilla Foundation Security Advisory 2013-97 (деталі)
• Mozilla Foundation Security Advisory 2013-98 (деталі)
• Mozilla Foundation Security Advisory 2013-99 (деталі)
• Mozilla Foundation Security Advisory 2013-100 (деталі)
• Mozilla Foundation Security Advisory 2013-101 (деталі)
• Mozilla Foundation Security Advisory 2013-102 (деталі)

В даній добірці уразливості в веб додатках:

• Null Pointer Derefence in Dart Webserver <= 1.9.2 (деталі)
• GroupLink everything HelpDesk - undocumented password reset/admin takeover and XSS vulnerabilities (деталі)
• Sql Injection in “2easy Web Applications” (деталі)
• VoltEdit CMS SQL Injection Admin Login Bypass & Shell Upload Vulnerability (деталі)
• XAMPP 1.8.1 Local Write Access Vulnerability (деталі)

23.10.2013

Виявлений витік інформації в Microsoft Silverlight.

Уразливі версії: Silverlight 5.

Витік вмісту пам’яті.

• Microsoft Security Bulletin MS13-087 - Important Vulnerability in Silverlight Could Allow Information Disclosure (2890788) (деталі)

12.11.2013

Додаткова інформація.

• Microsoft Silverlight Invalid Typecast / Memory Disclosure (деталі)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://microscope.com.ua - інфекція була виявлена 05.11.2013. Зараз сайт входить до переліку підозрілих.
• http://edelweiss.at.ua - інфекція була виявлена 25.10.2013. Зараз сайт не входить до переліку підозрілих.
• http://sparta1.com - інфекція була виявлена 01.11.2013. Зараз сайт входить до переліку підозрілих.
• http://k-z.com.ua - інфекція була виявлена 21.10.2013. Зараз сайт не входить до переліку підозрілих.
• http://buyincoins.co.ua - інфекція була виявлена 14.10.2013. Зараз сайт не входить до переліку підозрілих.

У жовтні я дав інтерв’ю порталу IzRus. І 25.10.2013 була опублікована стаття, в якій також розповідається і про мене.

Існує думка, що українські хакери найкращі у світі та навіть, на думку деяких компаній, стали однією з найбільших загроз в Інтернеті. Свої думки з цього приводу я висловив виданню IzRus.

Стаття називається “Украинские хакеры ломают Израиль: правда или вымысел?”. В ній розповідається про українських хакерів (whitehat і blackhat хакерів), про їхню діяльність в світі та зокрема на ближньому сході.

Так що кому буде цікаво прочитати інформацію про українскьих хакерів, як тим хто вже читав попередні інтерв’ю зі мною в журналі “Власть денег” на інших журналах , так і всім іншим, можете прочитати статтю на сайті видання.

Стаття була розміщена 25 жовтня на сайті IzRus - Украинские хакеры “ломают” Израиль: правда или вымысел?.

В даній добірці експлоіти в веб додатках:

• ARRIS DG860A NVRAM Backup Password Disclosure (деталі)
• Unicorn WB-3300NR Cross Site Request Forgery Vulnerability (деталі)
• MS13-080 Microsoft Internet Explorer CDisplayPointer Use-After-Free (деталі)
• Zabbix 2.0.8 SQL Injection and Remote Code Execution (деталі)
• Android 2.0/2.1/2.2, Webkit Remote Code Execution Exploit 0day (деталі)

Сьогодні я виявив Cross-Site Scripting та Full path disclosure уразливості в плагіні LBG Zoom In/Out Effect Slider для WordPress. Про що найближчим часом повідомлю розробникам.

Стосовно плагінів для WordPress раніше я писав про уразливості в RokIntroScroller і RokMicroNews.

До раніше оприлюдненої XSS уразливості в цьому плагіні, я знайшов 26 нових дірок. Всього 24 XSS та 2 FPD уразливості.

Cross-Site Scripting (WASC-08):

XSS в файлах add_playlist_record.php та settings_form.php.

LBG Zoominoutslider XSS.html

LBG Zoominoutslider XSS-2.html

LBG Zoominoutslider XSS-3.html

LBG Zoominoutslider XSS-4.html

LBG Zoominoutslider XSS-5.html

LBG Zoominoutslider XSS-6.html

LBG Zoominoutslider XSS-7.html

LBG Zoominoutslider XSS-8.html

LBG Zoominoutslider XSS-9.html

Full path disclosure (WASC-13):

http://site/wp-content/plugins/lbg_zoominoutslider/tpl/banners.php
http://site/wp-content/plugins/lbg_zoominoutslider/tpl/playlist.php

Уразливі всі версії LBG Zoom In/Out Effect Slider для WordPress.

За повідомленням www.xakep.ru, проект “Щит”. Google захистить слабких від DDoS-атак.

Світова карта DDoS-атак нагадує карту бойових дій третьої світової війни “США проти всіх”. DDoS-атаки в Інтернеті не припиняються ні на секунду, вони вже стали нормальним фоновим шумом, звичним інструментом у розбірках між компаніями й окремими фізичними особами.

Для допомоги жертвам подібних атак компанія Google запустила новий проект “Щит”. Зі своїми мільйонами серверів і точками роздачі контенту по усьому світі інфраструктура Google - це непробивний захист для будь-якого сайта.

За повідомленням www.opennet.ru, в Firefox заблокований за замовчуванням Java-плагін.

Розробники Mozilla, незадоволені постійними проблемами з безпекою браузерного плагіна для платформи Java, зважилися на радикальні міри і внесли Java-плагін у список блокування за замовчуванням. Блокуванню підлягають усі версії даного плагина, включаючи саму останню, пропоновану Oracle - Java Plugin 7 update 45 у версіях для Linux, OS X і Windows. Увесь Java-контент на сайтах тепер вважається небезпечним, у зв’язку з чим виводиться відповідне попередження.

Це нововведення було зроблене в якості апдейта для Firefox 24. Що цікаво, оновлення з блокування Java було зроблено 18.10, а вже 25.10 Мозіла передумала і відмінила його - знявши блокування Java по замовчуванню. Не вистачило в них духу .

За повідомленням www.xakep.ru, Sandy: новий інструмент для аналізу експлоітів.

Фахівці з інформаційної безпеки і прості користувачі одержали у своє розпорядження перший автоматичний інструмент для аналізу експлоітів у JAR і файлах інших форматів.

Веб-сервіс за назвою Sandy створювався для статичного і динамічного аналізу файлів у форматах Microsoft Office, PDF, JAR, Flash і HTML. Онлайнова бета-версія поки що приймає для аналізу тільки JAR і ZIP.

Виявлена можливість виконання коду в Apache OpenJPA.

Уразливі версії: Apache OpenJPA 1.2, OpenJPA 2.2.

Дані, контрольовані користувачем, заносяться у виконуємий файл.

• Remote Code Execution vulnerability in OpenJPA (деталі)

30.01.2013

У липні, 15.07.2012, я знайшов SQL Injection та Cross-Site Scripting уразливості на http://jsbni.kiev.ua - сайті банка “Національні інвестиції”. Про що найближчим часом сповіщу адміністрацію сайта.

Раніше я вже писав про уразливості на jsbni.kiev.ua. Тоді дірки були в системі онлайн-банкінгу, а зараз на основному сайті банка.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

02.11.2013

SQL Injection:

http://www.jsbni.kiev.ua/index.php?Class=fRameWork&TemplateName=%27%20union%20select%201/*

XSS:

http://www.jsbni.kiev.ua/index.php?Class=fRameWork&TemplateName=%3Cscript%3Ealert(document.cookie)%3C/script%3E%27
http://www.jsbni.kiev.ua/index.php?Class=%3C/script%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

Дані уразливості вже виправлені (але вони займалися цим більше року) шляхом замінити одного движка на інший.