Websecurity - Веб безпека

Продовжуючи розпочату традицію, після попереднього відео про Insufficient Process Validation уразливість в Приват24, пропоную нове відео на веб секюріті тематику. Цього разу відео про виконання коду в Adobe Flash Player. Рекомендую подивитися всім хто цікавиться цією темою.

CVE-2012-1535 Adobe Flash Player Vulnerability Metasploit Demo

В даному відео ролику демонструється використання Metasploit Framework для проведення атаки на уразливість в Adobe Flash Player 11.3. В Metasploit створюється і запускається експлоіт, який призводить до віддаленого виконання коду в браузері з Flash плагіном (показано на прикладі браузера IE9) при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в браузері з флеш плагіном спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

В даній добірці уразливості в веб додатках:

• Varnish 2.1.5 DoS in fetch_straight() while parsing Content-Length header (деталі)
• Basic Forum by JM LLC - Multiple Vulnerabilities (деталі)
• Xymon Systems and Network Monitor - remote file deletion vulnerability (деталі)
• Cross-Site Scripting (XSS) in Magnolia CMS (деталі)
• Varnish 2.1.5, 3.0.3 DoS in http_GetHdr() while parsing Vary header (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.nsj.gov.ua (хакерами з @Df Brazil Hack Team) - 11.09.2013 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.tsdazu.gov.ua (хакером Error7rB) - 13.09.2013 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://ekonomics.com.ua (хакером dr.m1st3r)
• http://ecopsycholog.com (хакерами Arddzz і A’Rui)
• http://isol-pack.com.ua (хакером Hmei7) - 16.09.2013, зараз сайт вже виправлений адмінами

15.06.2013

У лютому, 22.02.2013, я знайшов нові уразливості на http://kredobank.com.ua - сайті банка КРЕДОБАНК. Цього разу це Cross-Site Scripting дірки. Про що найближчим часом сповіщу адміністрацію сайта.

Раніше я вже писав про уразливості на kredobank.com.ua.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

26.09.2013

XSS:

• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)
• цікавий

На сайті ще є багато інших уразливостей.

Дані уразливості досі не виправлені.

У вересні, 17.09.2013, вийшов Mozilla Firefox 24. Нова версія браузера вийшла через півтора місяця після виходу Firefox 23.

Mozilla офіційно випустила реліз веб-браузера Firefox 24, а також мобільну версію Firefox 24 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 25 намічений на 29 жовтня, а Firefox 26 на 10 грудня. Випуск віднесений до категорії гілок із тривалим терміном підтримки (ESR), оновлення для яких випускаються протягом року. Одночасно вийшов Thunderbird 24, що також віднесений до випусків із тривалим терміном підтримки.

Також був випущений Seamonkey 2.20 та оновлений коригувальний реліз гілки із тривалим терміном підтримки Firefox 17.0.9.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 24.0 усунуто 17 уразливостей, серед яких 7 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 24 (деталі)

В даній добірці експлоіти в веб додатках:

• Good for Enterprise 2.2.2.1611 - XSS Vulnerability (деталі)
• Kwok Information Server 2.7.3 / 2.8.4 SQL Injection Vulnerability (деталі)
• Sophos Web Protection Appliance sblistpack Arbitrary Command Execution (деталі)
• D-Link Devices UPnP SOAP Telnetd Command Execution (деталі)
• HP ProCurve Manager SNAC UpdateCertificatesServlet File Upload (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах IndiaNIC Testimonia, NextGen Smooth Gallery та Event Easy Calendar. Для котрих з’явилися експлоіти. IndiaNIC Testimonia - це плагін для написання рецензій, NextGen Smooth Gallery - це плагін для створення галереї зображень, Event Easy Calendar - це плагін для створення календаря на сайті.

• WordPress IndiaNIC Testimonial 2.2 XSS / CSRF / SQL Injection (деталі)
• WordPress NextGen Smooth Gallery Cross Site Scripting (деталі)
• WordPress Event Easy Calendar 1.0.0 XSS / CSRF / Input Validation (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Виявлені уразливості безпеки в різних Ruby Gem.

Уразливі продукти: Ruby Gem kelredd-pruview 0.3, Ruby Gem ldoce 0.0, Ruby Gem fastreader 1.0, Ruby Gem ftpd 0.2, Ruby gem Rgpg 0.2.

Уразливості в різних бібліотеках.

• Rgpg 0.2.2 Ruby Gem Remote Command Injection (деталі)
• Remote command execution for Ruby Gem ftpd-0.2.1 (деталі)
• Curl Ruby Gem Remote command execution (деталі)
• MiniMagic ruby gem remote code execution (деталі)
• Remote command execution in fastreader ruby gem (деталі)
• Remote command execution in Ruby Gem Command Wrap (деталі)
• Remote command execution in Ruby Gem ldoce 0.0.2 (деталі)
• Remote command injection in Ruby Gem kelredd-pruview 0.3.8 (деталі)

В серпні відбувся новий масовий взлом сайтів на сервері Besthosting. Він тривав на протязі 22.10.2012-12.08.2013. Четвертий масовий взлом сайтів на сервері Besthosting відбувся раніше.

Був взломаний сервер української компанії Besthosting. Взлом складався з багатьох невеликих дефейсів і трьох крупних дефейсів сайтів.

Всього було взломано 89 сайтів на сервері хостера Besthosting (IP 194.28.172.166). Перелік сайтів можете подивитися на www.zone-h.org. Серед них українські державні сайти vinjust.gov.ua (в 2012 році) і www.miroraj.gov.ua (в 2013 році).

Якщо невеликі дефейси по одному або кілька сайтів явно були зроблені при взломах окремих сайтів, то стосовно великих дефейсів NeT.Defacer, Donnazmi та gbs можна сказати, що враховуючи дефейс великої кількості сайтів за один день, немає сумнівів, що вони були взломані через взлом серверу хостінг провайдера. Коли через взлом одного сайта, був отриманий root доступ до сервера (через уразливості в програмному забезпеченні самого сервера) та атаковані інші сайти на даному сервері.

30.07.2013

У липні, 14.07.2013, я знайшов Login Enumeration, Cross-Site Scripting та Content Spoofing уразливості в InstantCMS. Про що найближчим часом повідомлю розробникам системи.

Раніше я вже писав про уразливості в InstantCMS.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам.

24.09.2013

Login Enumeration (WASC-42):

http://site/users/login

Можна виявляти логіни по профілям користувачів. А також логіни користувачів виводяться в багатьох розділах сайта (сторінці користувачів та інших), бо розробники зовсім не переживають за витоки логінів користувачів.

Cross-Site Scripting (WASC-08):

http://site/includes/swfupload/swfupload.swf?movieName=%22]);}catch(e){}if(!self.a)self.a=!alert(document.cookie);//
http://site/includes/swfupload/swfupload.swf?buttonText=%3Ca%20href=%27javascript:alert(document.cookie)%27%3EClick%20me%3C/a%3E

Content Spoofing (WASC-12):

http://site/includes/swfupload/swfupload.swf?buttonText=test%3Cimg%20src=%27http://demo.swfupload.org/v220/images/logo.gif%27%3E
http://site/includes/swfupload/swfupload.swf?buttonImageURL=http://demo.swfupload.org/v220/images/logo.gif

Вразливі InstantCMS 1.10.2 та попередні версії.

Дані уразливості досі не виправлені.