Websecurity - Веб безпека

В даній добірці експлоіти в веб додатках:

• Dahua DVR 2.608.0000.0 and 2.608.GV00.0 - Authentication Bypass (деталі)
• Ruckus Wireless Zoneflex 2942 Wireless Access Point - Authentication Bypass (деталі)
• Apache + PHP 5.x - Remote Code Execution Vulnerability (деталі)
• OpenMediaVault Cron Remote Command Execution Vulnerability (деталі)
• Moodle Remote Command Execution Vulnerability (деталі)

28.09.2013

У вересні, 17.09.2013, я виявив Code Execution уразливість в плагіні Contact Form 7 для WordPress. Про що найближчим часом повідомлю розробникам веб додатку.

Стосовно плагінів для WordPress раніше я писав про уразливості в численних плагінах для WordPress з VideoJS.

Детальна інформація про уразливість з’явиться пізніше. Спочатку повідомлю розробникам.

21.11.2013

Code Execution (WASC-31):

Атака відбувається через аплоадер. Для виконання коду потрібно завантажити phtml (на веб серверах з PHP) чи asp/aspx (на IIS) файли.

В контактній формі потрібно, щоб був тег аплоадера, для якого потрібно вказати дозволені розширення (бо окрім списку заборонених розширень, плагін має ще й список дозволених, серед яких немає скриптів).

[file file-423 filetypes:phtml]

Файли завантажуються в папку:

http://site/wp-content/uploads/wpcf7_uploads/

При створенні цієї папки створюється файл .htaccess (Deny from all).

Це можна обійти або при використанні інших веб серверів окрім Apache (де .htaccess ігнорується), або на Апачі можна використати уразливості в WP для видалення файлів, або через LFI уразливість включити файл з цієї папки.

Уразливі Contact Form 7 3.5.2 та попередні версії. В версії 3.5.3 розробник вже виправив дану уразливість.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://www.menr.gov.ua - інфікований державний сайт - інфекція була виявлена 09.10.2013. Зараз сайт не входить до переліку підозрілих.
• http://all.zp.ua - інфекція була виявлена 14.11.2013. Зараз сайт не входить до переліку підозрілих.
• http://vrazrabotke.com.ua - інфекція була виявлена 13.11.2013. Зараз сайт входить до переліку підозрілих.
• http://utro.ua - інфекція була виявлена 13.11.2013. Зараз сайт не входить до переліку підозрілих.
• http://ytro.ua - інфекція була виявлена 28.10.2013. Зараз сайт не входить до переліку підозрілих.

У листопаді, 15.11.2013, вийшов Mozilla Firefox 25.0.1. Нова версія браузера вийшла лише через шістнадцять днів після виходу Firefox 25. І в ній виправлені один баг та декілька уразливостей допущених в останньому релізі.

Mozilla представила коригувальний випуск Firefox 25.0.1 у якому усунуті наступні проблеми:

• 5 уразливостей в бібліотеці Network Security Services (NSS), що використовується в програмах Мозіли.
• помилка, яка приводить до того, що в деяких ситуаціях сторінка не завантажується доти доки не зрушиться курсор.

В даній добірці уразливості в веб додатках:

• Denial of Service vulnerabilities in Subversion (деталі)
• Django vulnerabilities (деталі)
• Multiple Vulnerabilities in X2CRM (деталі)
• joomla com_zimbcomment Components Local File Include vulnerability (деталі)
• Remote Code Execution in GLPI (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах SEO Watcher, Slimstat Ex та Quick Contact Form. Для котрих з’явилися експлоіти. SEO Watcher - це плагін для SEO, Slimstat Ex - це плагін для ведення статистики, Quick Contact Form - це контактна форма.

• WordPress SEO Watcher Remote Code Execution (деталі)
• WordPress Slimstat Ex Code Execution (деталі)
• WordPress Quick Contact Form 6.0 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Виявлені численні уразливості безпеки в lighttpd.

Уразливі версії: lighttpd 1.4.

Обхід захисту, підвищення привілеїв, пошкодження пам’яті.

• lighttpd security update (деталі)

У листопаді, 12.11.2013, через півтора місяці після виходу Google Chrome 30, вийшов Google Chrome 31.

В браузері зроблено декілька нововведень, в тому числі додана технологія Portable Native Client, та виправлені помилки. А також виправлено 27 уразливостей (включаючи уразливості знайдені під час внутрішнього аудиту). 21 з яких позначені як небезпечні, 5 як помірні та одна отримала статус критичної проблеми, що дозволяє обійти всі рівні захисту браузера і зробити атаку на систему користувача.

Критична і 16 небезпечних уразливостей виявлені співробітниками Google у процесі внутрішнього аудиту кодової бази. У процесі аудита також були виявлені уразливості в зовнішніх компонентах libjpeg, libjpeg-turbo і libjingle, код яких використовується в Chrome.

• Выпуск web-браузера Chrome 31 с реализацией технологии Portable Native Client (деталі)

В даній добірці експлоіти в веб додатках:

• Belkin NetCam Wifi Camera Hardcoded Credentials (деталі)
• D-Link Router 2760N Cross Site Scripting Vulnerability (деталі)
• Open Flash Chart 2 Arbitrary File Upload Vulnerability (деталі)
• Symantec Workspace Streaming 7.5.0.493 Rmote Code Execution (деталі)
• WatchGuard Firewall XTM 11.7.4u1 - Remote Buffer Overflow (деталі)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://vslicey.com - інфекція була виявлена 26.10.2013. Зараз сайт входить до переліку підозрілих.
• http://uspeh-print.in.ua - інфекція була виявлена 03.11.2013. Зараз сайт не входить до переліку підозрілих.
• http://kimoliga.majdan.com - інфекція була виявлена 25.10.2013. Зараз сайт входить до переліку підозрілих.
• http://majdan.com - інфекція була виявлена 25.10.2013. Зараз сайт не входить до переліку підозрілих.
• http://kvartal.zp.ua - інфекція була виявлена 13.11.2013. Зараз сайт не входить до переліку підозрілих.