Websecurity - Веб безпека

В даній добірці експлоіти в веб додатках:

• ARRIS DG860A NVRAM Backup Password Disclosure (деталі)
• Unicorn WB-3300NR Cross Site Request Forgery Vulnerability (деталі)
• MS13-080 Microsoft Internet Explorer CDisplayPointer Use-After-Free (деталі)
• Zabbix 2.0.8 SQL Injection and Remote Code Execution (деталі)
• Android 2.0/2.1/2.2, Webkit Remote Code Execution Exploit 0day (деталі)

Сьогодні я виявив Cross-Site Scripting та Full path disclosure уразливості в плагіні LBG Zoom In/Out Effect Slider для WordPress. Про що найближчим часом повідомлю розробникам.

Стосовно плагінів для WordPress раніше я писав про уразливості в RokIntroScroller і RokMicroNews.

До раніше оприлюдненої XSS уразливості в цьому плагіні, я знайшов 26 нових дірок. Всього 24 XSS та 2 FPD уразливості.

Cross-Site Scripting (WASC-08):

XSS в файлах add_playlist_record.php та settings_form.php.

LBG Zoominoutslider XSS.html

LBG Zoominoutslider XSS-2.html

LBG Zoominoutslider XSS-3.html

LBG Zoominoutslider XSS-4.html

LBG Zoominoutslider XSS-5.html

LBG Zoominoutslider XSS-6.html

LBG Zoominoutslider XSS-7.html

LBG Zoominoutslider XSS-8.html

LBG Zoominoutslider XSS-9.html

Full path disclosure (WASC-13):

http://site/wp-content/plugins/lbg_zoominoutslider/tpl/banners.php
http://site/wp-content/plugins/lbg_zoominoutslider/tpl/playlist.php

Уразливі всі версії LBG Zoom In/Out Effect Slider для WordPress.

За повідомленням www.xakep.ru, проект “Щит”. Google захистить слабких від DDoS-атак.

Світова карта DDoS-атак нагадує карту бойових дій третьої світової війни “США проти всіх”. DDoS-атаки в Інтернеті не припиняються ні на секунду, вони вже стали нормальним фоновим шумом, звичним інструментом у розбірках між компаніями й окремими фізичними особами.

Для допомоги жертвам подібних атак компанія Google запустила новий проект “Щит”. Зі своїми мільйонами серверів і точками роздачі контенту по усьому світі інфраструктура Google - це непробивний захист для будь-якого сайта.

За повідомленням www.opennet.ru, в Firefox заблокований за замовчуванням Java-плагін.

Розробники Mozilla, незадоволені постійними проблемами з безпекою браузерного плагіна для платформи Java, зважилися на радикальні міри і внесли Java-плагін у список блокування за замовчуванням. Блокуванню підлягають усі версії даного плагина, включаючи саму останню, пропоновану Oracle - Java Plugin 7 update 45 у версіях для Linux, OS X і Windows. Увесь Java-контент на сайтах тепер вважається небезпечним, у зв’язку з чим виводиться відповідне попередження.

Це нововведення було зроблене в якості апдейта для Firefox 24. Що цікаво, оновлення з блокування Java було зроблено 18.10, а вже 25.10 Мозіла передумала і відмінила його - знявши блокування Java по замовчуванню. Не вистачило в них духу .

За повідомленням www.xakep.ru, Sandy: новий інструмент для аналізу експлоітів.

Фахівці з інформаційної безпеки і прості користувачі одержали у своє розпорядження перший автоматичний інструмент для аналізу експлоітів у JAR і файлах інших форматів.

Веб-сервіс за назвою Sandy створювався для статичного і динамічного аналізу файлів у форматах Microsoft Office, PDF, JAR, Flash і HTML. Онлайнова бета-версія поки що приймає для аналізу тільки JAR і ZIP.

Виявлена можливість виконання коду в Apache OpenJPA.

Уразливі версії: Apache OpenJPA 1.2, OpenJPA 2.2.

Дані, контрольовані користувачем, заносяться у виконуємий файл.

• Remote Code Execution vulnerability in OpenJPA (деталі)

30.01.2013

У липні, 15.07.2012, я знайшов SQL Injection та Cross-Site Scripting уразливості на http://jsbni.kiev.ua - сайті банка “Національні інвестиції”. Про що найближчим часом сповіщу адміністрацію сайта.

Раніше я вже писав про уразливості на jsbni.kiev.ua. Тоді дірки були в системі онлайн-банкінгу, а зараз на основному сайті банка.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

02.11.2013

SQL Injection:

http://www.jsbni.kiev.ua/index.php?Class=fRameWork&TemplateName=%27%20union%20select%201/*

XSS:

http://www.jsbni.kiev.ua/index.php?Class=fRameWork&TemplateName=%3Cscript%3Ealert(document.cookie)%3C/script%3E%27
http://www.jsbni.kiev.ua/index.php?Class=%3C/script%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

Дані уразливості вже виправлені (але вони займалися цим більше року) шляхом замінити одного движка на інший.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Bradesco Gateway, Sharebar та LBG Zoominoutslider. Для котрих з’явилися експлоіти. Bradesco Gateway - це розширення для плагіна WP-Ecommerce, Sharebar - це плагін для поширення постів в соціальних медіа, LBG Zoominoutslider - це плагін для збільшення або зменшення зображень.

• WordPress Bradesco Gateway Cross Site Scripting (деталі)
• WordPress Sharebar 1.2.5 Cross Site Scripting (деталі)
• WordPress LBG Zoominoutslider Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, в тому числі web security (статті з Вікіпедії):

• Cyber-security regulation
• Cyber security standards
• Firewall (computing)
• Information assurance vulnerability alert
• Proactive Cyber Defence

У жовтні, 29.10.2013, вийшов Mozilla Firefox 25. Нова версія браузера вийшла через півтора місяця після виходу Firefox 24.

Mozilla офіційно випустила реліз веб-браузера Firefox 25, а також мобільну версію Firefox 25 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 26 намічений на 10 грудня, а Firefox 27 на 21 січня.

Також був випущений Seamonkey 2.22 та оновлені гілки із тривалим терміном підтримки Firefox 24.1.0 і Thunderbird 24.1.0. А також минулих ESR-гілок Firefox 17 і Thunderbird 17, що будуть оновлятися до моменту виходу Firefox 24.2.0, запланованого на 10 грудня.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 25.0 усунуто 10 уразливостей, серед яких 5 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 25 (деталі)

В даній добірці експлоіти в веб додатках:

• TP-Link Cross Site Request Forgery Vulnerability (деталі)
• Linksys WRT110 Remote Command Execution Vulnerability (деталі)
• Internet Haut Debit Mobile Buffer Overflow Vulnerability (деталі)
• HP Data Protector Cell Request Service Buffer Overflow (деталі)
• Internet Explorer 7.0 “document.getElementById” DOS (деталі)

Сьогодні я опублікував відео про мою програму DAVOSET (DDoS attacks via other sites execution tool) - інструмент для проведення DDoS атак через інші сайти.

Більш детально про інструмент DAVOSET ви можете прочитати в розділі мого сайту.