Websecurity - Веб безпека

В даній добірці уразливості в веб додатках:

• Multiple Vulnerabilities in D-Link devices (деталі)
• Multiple Vulnerabilities in Gnew (деталі)
• phpbb3 security update (деталі)
• Cross-Site Scripting (XSS) in WikkaWiki (деталі)
• OWASP ESAPI Security Advisory: MAC Bypass in ESAPI Symmetric Encryption (деталі)

У лиспопаді місяці Microsoft випустила 8 патчів. Що так само як і у жовтні.

У листопадовому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 8 бюлетенів по безпеці. Що закривають численні уразливості в програмних продуктах компанії. Три патчі закривають критичні уразливості та п’ять патчів закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows XP, 2003, Vista, 2008, 7, 2008 R2, 8, 2012, RT, 8.1 та RT 8.1. А також Microsoft Office та Internet Explorer.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://bioline.com.ua - інфекція була виявлена 13.11.2013. Зараз сайт входить до переліку підозрілих.
• http://medbiz.com.ua - інфекція була виявлена 04.11.2013. Зараз сайт не входить до переліку підозрілих.
• http://csrjournal.com - інфекція була виявлена 26.11.2013. Зараз сайт входить до переліку підозрілих.
• http://datagroup.ua - інфекція була виявлена 11.10.2013. Зараз сайт не входить до переліку підозрілих.
• http://etm.org.ua - інфекція була виявлена 22.11.2013. Зараз сайт не входить до переліку підозрілих.

В даній добірці експлоіти в веб додатках:

• FortiAnalyzer 5.0.4 - CSRF Vulnerability (деталі)
• Pirelli Discus DRG A125g - Remote Change WiFi Password Vulnerability (деталі)
• ProcessMaker Open Source Authenticated PHP Code Execution (деталі)
• ISPConfig Authenticated Arbitrary PHP Code Execution Vulnerability (деталі)
• Zabbix Authenticated Remote Command Execution Vulnerability (деталі)

Після проведення проектів День багів в WordPress (Day of bugs in WordPress) в 2007 році та День багів в WordPress 2 в 2010 році, а також MOSEB, MoBiC та багатьох інших проектів в 2007-2008 роках, я анонсую свій новий проект.

На наступному тижні я проведу проект День багів в WordPress 3. Він присвячений безпеці WP та безпеці веб додатків у цілому.

Я вирішив провести даний проект у цьому місяці, щоб відзначити річницю проведення Місяця багів в Капчах (MoBiC), що відбувся у листопаді 2007 року.

В першому проекті я оприлюднив 81 уразливість в WP, в другому проекті оприлюднив 8 уразливостей. В новому проекті я оприлюдню нові уразливості в WP.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Woopra Analytics, Simple Flash Video та WordPress Pingback Port Scanner. Для котрих з’явилися експлоіти. Woopra Analytics - це плагін для ведення статистики, Simple Flash Video - це відео-плеєр, WordPress Pingback Port Scanner - це експлоіт для сканування портів через pingback функціонал в WP 3.5. У версії 3.5.1 цю уразливість виправили.

• WordPress Woopra Remote Code Execution (деталі)
• WordPress Simple Flash Video 1.7 Cross Site Scripting (деталі)
• Wordpress Pingback Port Scanner (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Раніше я писав про три обхідних методи виконання коду через аплоадери. Які дозволяють обходити захисні механізми веб додатків і проводити Code Execution атаки.

Коли файл містить дозволене розширення (не скриптове), але при доступі до нього виконується код скрипта. Це атака “через ;” в імені файла та атака “через .asp” в імені папки на IIS та атака через подвійні розширення в Apache. А зараз розповім про новий метод атаки, що працює на nginx.

Нещодавно була оприлюднена уразливість в nginx (CVE-2013-4547), яка вже виправлена у версіях nginx 1.4.4 і 1.5.7. Уразливість призводить до розкриття інформації та до виконання довільного коду (якщо завантажити файл з пробілом в імені через аплоадер). До цієї атаки вразливі версії nginx 0.8.41 - 1.5.6.

Code Execution атака на nginx:

1. Завантажити через аплоадер файл з пробілом в кінці "file ". Наприклад, php-скрипт.

2. Зробити запит до цього файла на сайті наступним чином: "http://site/file \0.php". Це призведе до виконання php-скрипта.

Атака спрацює лише при відповідних налаштуваннях веб сервера. Зокрема для зв’язки nginx + php5-fpm значення fastcgi_param PATH_TRANSLATED повинно бути виду $document_root/$fastcgi_script_name та в конфігурації fpm pool значення security.limit_extensions повинно пропускати будь-які файли (що відмінно від значення по замовчуванню).

Окрім попередніх уразливостей, є ще багато дірок на stopthehacker.com. Це секюріті сервіс, що є конкурентом моїм Web VDS та SecurityAlert.

Торік, зокрема 15.12.2012, я знайшов численні уразливості на сайті http://stopthehacker.com. Серед них Brute Force та Insufficient Anti-automation уразливості. Ще у лютому 2012 я звертав увагу розробників цього сервісу на наявність багатьох інших дірок окрім тих, про які я повідомив їм, але вони проігнорували це. І не провели жодних аудитів безпеки і не виправили жодних нових уразливостей (а з попередніх дірок виправили лише одну дірку).

Brute Force:

https://panel.stopthehacker.com/login/

Insufficient Anti-automation:

https://panel.stopthehacker.com/login/signup

Ці та багато інших уразливостей досі не виправлені.

Продовжуючи розпочату традицію, після попереднього відео про викрадення кукісів в Internet Explorer, пропоную нове відео на веб секюріті тематику. Цього разу відео про виконання коду в Mozilla Firefox. Рекомендую подивитися всім хто цікавиться цією темою.

CVE-2011-0065 : Mozilla Firefox mChannel use after free vulnerability

В даному відео ролику демонструється використання Metasploit Framework для проведення атаки на уразливість в Mozilla Firefox 3.5.18, 3.6.16 та попередніх версіях. В Metasploit створюється і запускається експлоіт, який призводить до віддаленого виконання коду в Firefox при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в Firefox спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.poltav-oblosvita.gov.ua (хакером Dr.SHA6H) - 15.11.2013 - похаканий державний сайт, зараз сайт закритий адмінами
• http://neoclima.ua (хакером Cyber-turk) - 03.08.2013, зараз сайт вже виправлений адмінами
• http://web.optim.ua (хакером Cyber-turk) - 03.08.2013, зараз сайт вже виправлений адмінами
• http://hodovka.com.ua (хакером 4SH4BUL K4HFI) - 22.11.2013, зараз сайт закритий хостером
• http://diana-secret.com (хакерами з White Lotus Brotherhood) - 03.11.2013, зараз сайт вже виправлений адмінами