Websecurity - Веб безпека

В даній добірці уразливості в веб додатках:

• Personal File Share HTTP Server Remote Overflow Vulnerability (деталі)
• Cross-Site Scripting (XSS) in Feng Office (деталі)
• Apache Shindig information disclosure vulnerability (деталі)
• Cross-Site Scripting (XSS) in GuppY (деталі)
• D-Link IP Cameras Multiple Vulnerabilities (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах MobileChief, Curvo та MoneyTheme. Для котрих з’явилися експлоіти. MobileChief - це плагін для створення мобільного сайта, Curvo - це тема движка, MoneyTheme - це тема движка.

• WordPress MobileChief Cross Site Scripting (деталі)
• WordPress Curvo Cross Site Request Forgery (деталі)
• WordPress MoneyTheme Cross Site Scripting / Shell Upload (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

В презентації Pentesting web applications, Satish розповідає про пентест веб додатків. Про методику проведення аудитів безпеки веб сайтів і веб додатків.

В даній добірці експлоіти в веб додатках:

• Beetel TC1-450 Airtel Wireless Router - Multiple CSRF Vulnerabilities (деталі)
• UPC Ireland Cisco EPC 2425 Router / Horizon Box (деталі)
• PineApp MailSecure - Remote Command Execution Vulnerability (деталі)
• DesktopCentral AgentLogUpload Arbitrary File Upload Vulnerability (деталі)
• NETGEAR ReadyNAS Perl Code Evaluation Vulnerability (деталі)

На початку року я вже писав про Denial of Service уразливість в Adobe Flash. Тоді уразливість стосувался останньої на той момент версій Flash плагіна 11.5.502.146 і була приховано виправлена Адобом в своєму патчі APSB13-05. Компанія тоді з’їхала, що під час виправлення іншої дірки вони “випадково” виправили мою дірку (але враховуючи, що за 1,5 місяці тестування вони не змогли відтворити її на своїх комп’ютерах, то вони списали це на баг драйверів AMD/ATI, тому заявили, що ця дірка їх не стосується).

На початку грудня, зокрема 09.12.2013, я виявив новий DoS в Flash, що призводить до зависання ОС. Ця Denial of Service уразливість в Adobe Flash може бути повністю новою діркою, або мати відношення до попередньої DoS (коли Адоб в нових версіях Флеша “відновила” її). Дана DoS спрацьовує при перегляді відео через флеш плагін і призводить до краху операційної системи (BSOD). Про що найближчим часом повідомлю розробникам додатку. На протязі всього місяця у мене зависає ОС при перегляді відео у флеші на ПК з відеокартою AMD/ATI (перевіряв на різних комп’ютерах).

На відміну від попередньої DoS уразливості, нова дірка працює в більшій кількості браузерів і навіть на різних ОС. А також вона працює по суті в усіх флеш відео плеєрах - на будь-яких сайтах, в тому числі на YouTube (не вимагаючи флешки VideoJS, як попередня).

Denial of Service:

Це memory corruption (access violation) уразливість. Яка може використовуватися для краху системи та потенційно для віддаленого виконання коду. Ось відео демонстрація:

DoS in Adobe Flash (BSOD)

У відео-ролику показаний сайт з JW Player (але зависання ОС відбуваються на будь-яких флеш відео плеєрах). На Windows XP частіше відбувається повне зависання ПК, а BSOD виводиться лише у 5% випадків. А на Windows 7 BSOD має місце у 85%.

Атака працює в браузерах Firefox (на XP зависання або BSOD може відбутися з першого, а може і не з першого разу). У Mozilla Firefox 3.0.19, 10.0.7 ESR, 15.0.1 і 26 - зависання браузера і BSOD системи.

Уразливі Adobe Flash 11.9.900.152 та 11.9.900.170 (остання версія) для Windows та Flash 11.2.202.332 для Linux (остання версія для цієї ОС). На Linux (Ubuntu 13.04) 100% завантаження CPU, а на Windows (XP і 7) - зависання ОС.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://ukrkondprom.com.ua (хакером Holy Lycans) - 23.12.2013, зараз сайт вже виправлений адмінами
• http://wdk.dn.ua (хакером Cellatreis) - 23.12.2013, зараз сайт вже виправлений адмінами
• http://maryfoto.kh.ua (хакером Cellatreis)
• http://yuventadance.com.ua (хакером Holy Lycans) - 24.12.2013, зараз сайт вже виправлений адмінами
• http://rpsnab.com.ua (хакером Cellatreis)

Також виявив, що сайти book.rekord.gov.ua, gprda.gov.ua і che.gov.ua, які вже були похакані в цьому році, взломані повторно. У них там явно “день відкритих дверей” .

У грудні місяці Microsoft випустила 11 патчів. Що більше ніж і у лиспопаді.

У грудневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 11 бюлетенів по безпеці. Що закривають 24 уразливості в програмних продуктах компанії. П’ять патчів закривають критичні уразливості та шість патчів закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows XP, 2003, Vista, 2008, 7, 2008 R2, 8, 2012, RT, 8.1 та RT 8.1. А також Microsoft Office, Internet Explorer, Exchange, Visual Studio, SharePoint та ASP.NET SignalR.

В даній добірці уразливості в веб додатках:

• WowzaMediaServer SecureToken bypass (and worse) (деталі)
• WowzaMediaServer StorageDir escape (regression) (деталі)
• drupal6 security update (деталі)
• Multiple Reflected XSS vulnerabilities in BoltWire <= v3.5 (деталі)
• Multiple Vulnerabilities in Uebimiau <= 2.7.11 (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах e-Commerce Payment Gateways Caller, DailyDeal та GeoPlaces. Для котрих з’явилися експлоіти. e-Commerce Payment Gateways Caller - це плагін для роботи з платіжними шлюзами, DailyDeal - це тема движка, GeoPlaces - це тема движка.

• WordPress e-Commerce Payment Gateways Caller Local File Inclusion (деталі)
• WordPress DailyDeal Theme Shell Upload (деталі)
• WordPress GeoPlaces 4.x Shell Upload (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після початку революційних подій в Україні наприкінці листопада, в Уанеті відбулося багато DoS і DDoS атак, про які я писав. Також в грудні відбулося чимало взломів сайтів та акаунтів в соціальних мережах, що безпосередньо пов’язані з політичними подіями в Україні.

Серед грудневих взломів:

Хакери Anonymous взломали сайти: economy.cg.gov.ua, cg.gov.ua, bahadm.cg.gov.ua, borzadm.cg.gov.ua, bobradm.cg.gov.ua, varadm.cg.gov.ua, koradm.cg.gov.ua, pladm.cg.gov.ua, goradm.cg.gov.ua, ichadm.cg.gov.ua, kozadm.cg.gov.ua, kpadm.cg.gov.ua, kuladm.cg.gov.ua, meadm.cg.gov.ua, neadm.cg.gov.ua, novgadm.cg.gov.ua, nosadm.cg.gov.ua, rpadm.cg.gov.ua, semadm.cg.gov.ua, sosadm.cg.gov.ua, sribadm.cg.gov.ua, taladm.cg.gov.ua, schorsadm.cg.gov.ua, chadm.cg.gov.ua.

Anonymous compromised several Ukrainian government servers in retaliation to the government brutality toward its people.

Взлом хакерами Anonymous поштового сервера mail.voladm.gov.ua і великої кількості поштових скриньок працівників державних органів. Після того, як вони отримали доступ до Єдиного Державного Реєстру Виборців України (наприкінці 2012 року).

Ukraine government emails leaked! @gov.ua accounts and gov databases.

Ці хакери зробили багато різних взломів (поштових скриньок і серверів та мобільних пристроїв таких високопосадовців як Рибак і Захарченко) на замовлення Ігоря Калетника - першого заступника Голови Верховної Ради України. Але той їх кинув і не оплатив роботу, тому вини вирішили оприлюднити цю інформацію.

Також були взломані Twitter акаунт Юрія Луценка (@Lutsenko_Yuri) та пошта, твіттер і ФБ-акаунт його прес-секретаря Лариси Сарган.