Websecurity - Веб безпека

В даній добірці експлоіти в веб додатках:

• Linksys WRT54GL apply.cgi Command Execution (деталі)
• BigAnt Server 2.97 - DDNF Username Buffer Overflow (деталі)
• Adobe ColdFusion APSB13-03 Remote Exploit (деталі)
• TP-Link TD-8817 CSRF Vulnerability (деталі)
• Pure-FTPd v1.0.21 Crash PoC (Null Pointer Dereference) (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Occasions, Count Per Day та IndiaNIC FAQS Manager. Для котрих з’явилися експлоіти. Occasions - це плагін для зміни логотипів по датам, Count Per Day - це плагін для ведення статистики відвідувань, IndiaNIC FAQS Manager - це плагін для управління списками часто задаваємих питань.

• WordPress Occasions 1.0.4 Cross Site Request Forgery (деталі)
• WordPress Count Per Day 3.2.5 XSS (деталі)
• WordPress IndiaNIC FAQS Manager 1.0 SQL Injection (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

В своєму звіті Хакерська активність в Уанеті в 1 півріччі 2012 я навів дані про діяльність хакерів в Уанеті за період з 01.01.2012 по 30.06.2012, а в звіті Хакерська активність в Уанеті в 2 півріччі 2012 - дані за період з 01.07.2012 по 31.12.2012.

За весь 2012 рік в Уанеті було проведено 1142 атаки на веб сайти - 668 за перше півріччя і 474 за друге. Для порівняння, за весь 2011 рік було зафіксовано всього 1419 атак на веб сайти. І це тільки виявлені мною випадки, реальна кількість інцидентів може бути значно вищою.

Динаміка зростання хакерської активності за минулий рік: за перше півріччя 2012 активність менша на 14,6% в порівнянні з аналогічним періодом 2011 року, а за друге півріччя 2012 - на 25,6% менше за аналогічний період 2011 року. А в цілому в 2012 році активність впала на 19,5% порівняно з 2011 роком - спад в 1,24 рази.

В 2012 році загалом було атаковано 1142 веб ресурси (як взломи, так і DDoS атаки), перелік яких ви можете знайти у відповідних звітах за перше і друге півріччя минулого року. А також були інфіковані 203 сайти, які вірогідно були похакані в 2012 році. При цьому сайт nbuv.gov.ua був інфікований в першому і в другому півріччі, тому за рік інфіковано 202 окремих сайти.

Головні тенденції 2012 року в діяльності хакерів в Уанеті:

• Хакерська активність дещо впала - на 19,5% порівняно з 2011 роком (зменшення динаміки у 1,24 рази).
• Багато сайтів в Уанеті заражуються вірусами: в 2011 я виявив 233 інфікованих сайтів, в 2012 - вже 202 сайтів (зменшення динаміки у 1,15 рази).
• Кількість DDoS атак на сайти більша ніж в 2011 році - 40 випадків DDoS атак за рік (зростання у 1,43 рази). Це 3,5% від всіх атак за 2012 рік.
• Атаковано 171 державних сайтів та інфіковано ще 16 gov.ua-сайтів.
• Зростання взломів державних сайтів в 1,6 рази та збільшення інфікування gov.ua-сайтів в 1,78 рази порівняно з 2011 роком.

Велика кількість заражених сайтів в Уанеті (в тому числі gov.ua-сайтів) свідчить про чималий відсоток кримінальних взломів сайтів.

Підсумовуючи скажу, що активність хакерів в минулому році була високою і вона продовжить такою бути. І в 2013 році ця тенденція збережеться.

В новому році очікуйте на нові звіти про хакерську активність в Уанеті.

Численні уразливості безпеки в Mozilla Firefox, Thunderbird, Seamonkey.

Уразливі продукти: Mozilla Firefox 19.0, Firefox ESR 17.0, Thunderbird 17.0, SeaMonkey 2.16.

Численні пошкодження пам’яті, підвищення привілеїв, слабкі дозволи на файли, DoS, обхід захисту, міжсайтовий скриптінг.

• Mozilla Foundation Security Advisory 2013-30 (деталі)
• Mozilla Foundation Security Advisory 2013-31 (деталі)
• Mozilla Foundation Security Advisory 2013-32 (деталі)
• Mozilla Foundation Security Advisory 2013-33 (деталі)
• Mozilla Foundation Security Advisory 2013-34 (деталі)
• Mozilla Foundation Security Advisory 2013-35 (деталі)
• Mozilla Foundation Security Advisory 2013-36 (деталі)
• Mozilla Foundation Security Advisory 2013-37 (деталі)
• Mozilla Foundation Security Advisory 2013-38 (деталі)
• Mozilla Foundation Security Advisory 2013-39 (деталі)
• Mozilla Foundation Security Advisory 2013-40 (деталі)

В записі Denial of Service в Internet Explorer я навів відео TheSecuritylab з вибиванням IE7. І 13.02.2013 я розробив експлоіт заснований на даному відео і дослідив дану уразливість в різних браузерах. Як я перевірив, вона також працює в IE6 та IE8.

Тому це Denial of Service уразливість в Internet Explorer 6, 7, 8. Це access violation.

DoS:

Браузер вибиває при рекурсивному включенні css-файла. Це відбувається через access violation (aka segmentation fault) в iexplore.exe. Щоб експлоіт спрацював в IE6 потрібно оновити сторінку.

Експлоіт:

IE_DoS_Exploit.html

Уразливі Internet Explorer 6 (6.0.2900.2180), Internet Explorer 7
(7.00.5730.13), Internet Explorer 8.0 (8.00.6001.18702) та попередні версії цих браузерів. IE9 не вразливий.

У березні, 28.03.2013, я знайшов Cross-Site Scripting уразливості в банерній мережі http://img.com.ua (на піддоменах). Про що найближчим часом сповіщу адміністрацію проекту.

В 2008-2010 роках я писав про численні банерні системи (українські й закордонні), що мають подібні уразливості. Проблема така ж сама як і випадку уразливостей в системах в phpAdsNew, OpenAds та OpenX.

У флеш банерах на піддоменах bbn.img.com.ua і bbnu.img.com.ua (і потенційно інших піддоменах), є XSS уразливість. Якщо вони зроблені згідно з рекомендаціями банерної системи, то можлива XSS атака (strictly social XSS) через параметр bn_url (при кліку на банер). Про подібну атаку я вже писав в статті XSS уразливості в 8 мільйонах флеш файлах.

XSS:

• alert(document.cookie)
• alert(document.cookie)
• цікавий

На всіх піддоменах даного сайта є десятки тисяч флеш банерів. Не всі з них уразливі, є піддомени де жодна флешка не має таких уразливостей, але на зазначених піддоменах всі флешки уразливі.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://musicband.net.ua - інфекція була виявлена 08.04.2013. Зараз сайт входить до переліку підозрілих.
• http://tetra.zp.ua - інфекція була виявлена 09.04.2013. Зараз сайт не входить до переліку підозрілих.
• http://key.in.ua - інфекція була виявлена 22.02.2013. Зараз сайт не входить до переліку підозрілих.
• http://akcion.net - інфекція була виявлена 07.04.2013. Зараз сайт не входить до переліку підозрілих.
• http://dctel.net.ua - інфекція була виявлена 05.04.2013. Зараз сайт не входить до переліку підозрілих.

У березні, 14.03.2013, вийшли PHP 5.3.23 та PHP 5.4.13. В яких виправлено біля 15 багів та дві уразливості. Дані релізи направлені на покращення безпеки та стабільності гілок 5.3.x і 5.4.x.

Серед секюріті виправлень в PHP 5.3.23 та PHP 5.4.13:

• Виправлена XML External Entity уразливість, що дозволяла читання довільних файлів через SOAP WSDL-файли.
• Виправлений обхід open_basedir через SOAP.

По матеріалам http://www.php.net.

В даній добірці експлоіти в веб додатках:

• Netgear DGN1000B setup.cgi Remote Command Execution Vulnerability (деталі)
• KNet Web Server 1.04b - Buffer Overflow SEH Vulnerability (деталі)
• D-Link DIR-615 Password Disclosure Vulnerability (деталі)
• Belkin Wemo - Arbitrary Firmware Upload Vulnerability (деталі)
• Personal File Share 1.0 DoS (деталі)

За повідомленням www.xakep.ru, Scribd взломаний, вкрадені email-и користувачів і хеші паролів.

Веб-сервіс для публікації документів і презентацій Scribd взломаний. Зловмисники одержали доступ до адрес електронної пошти і парольних хешів (із сіллю) користувачів. Незабаром ця інформація може бути опублікована у відкритому доступі.

Регулярно відбуваються подібні взломи популярних сервісів. І як за звичай трапляється у таких випадках, власники взломаного ресурсу (в даному випадку Scribd), зробили хорошу міну про поганій грі - вони заявили, що вкрали лише емайли і хеші (й нічого більше), та із-за використання хешів із сіллю наслідки взлому для користувачів не будуть великими. При тому, що існує імовірність підбору паролів для всіх хешів.

За повідомленням www.opennet.ru, на змаганні Pwn2Own були успішно взломані Chrome, Firefox, IE 10 і Java.

В березні пройшов Pwn2Own 2013. Перший день змагань Pwn2Own, що проводиться щорічно в рамках конференції CanSecWest, виявився як ніколи плідний - були продемонстровані робочі техніки експлуатації раніше невідомих уразливостей в Chrome, Firefox, IE 10, Windows 8 і Java.

В усіх випадках атака була зроблена при обробці в браузері спеціально оформленої веб сторінки, відкриття якої завершилося одержанням повного контролю над системою. При демонстрації атаки використовувалися самі свіжі стабільні випуски браузерів і операційних систем Windows 7, 8 і Mac OS X Mountain Lion із усіма доступними оновленнями в конфігурації за замовчуванням.

За повідомленням www.opennet.ru, виявлено новий ботнет з незахищених маршрутизаторів із прошиванням на базі Linux.

Чеські дослідники в області безпеки комп’ютерних систем повідомили про виявлення нового мережного хробака, що одержав назву “Чак Норріс”, що складається з незахищених належним чином міні-маршрутизаторів, DSL-модемів і супутникових TV-ресиверів, що працюють на базі прошивань, заснованих на Linux. Як правило інфікування маршрутизаторів відбувається через виставляння адміністратором ненадійного пароля, що підбирається шляхом нескладного перебору типових варіантів, чи збереження пароля, заданого за замовчуванням.

Як видно окрім ботнета з маршрутизаторів створеного для проведення секюріті досліджень, також створюють такі ботнети для проведення DDoS та інших атак. Про уразливі маршрутизатори та інші мережеві пристрої і про можливості використання їх для атак (в тому числі створення ботнетів) я писав на протязі багатьох років.