Websecurity - Веб безпека

В даній добірці уразливості в веб додатках:

• HP SNMP Agents for Linux, Remote Cross Site Scripting (XSS), URL Redirection (деталі)
• Phonalisa v5.0 VoiP - Multiple Web Vulnerabilities (деталі)
• Puppet vulnerabilities (деталі)
• Multiple CSRF Vulnerabilities in GLPI Version 0.83.2 (деталі)
• Cross site scripting vulnerability found in GLPI 0.83.2 (деталі)
• HP System Health Application and Command Line Utilities for Linux, Remote Execution of Arbitrary Code (деталі)
• mono security update (деталі)
• extplorer security update (деталі)
• PHP Jobsite v1.36 - Cross Site Scripting Vulnerabilities (деталі)
• Reserve Logic v1.2 Booking CMS - Multiple Vulnerabilities (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах WP-Predict, Generic Plugin та Resume Submissions / Job Postings. Для котрих з’явилися експлоіти. WP-Predict - це плагін для створення опитувань, Generic Plugin Shell Upload - це експлоіт для різних вразливих плагінів WP, що дозволяють завантажувати php-файли (зокрема плагіни з uploadify), Resume Submissions / Job Postings - це плагін для розміщення резюме та вакансій.

• WordPress WP-Predict 1.0 Blind SQL Injection (деталі)
• WordPress Generic Plugin Shell Upload (деталі)
• WordPress Resume Submissions / Job Postings 2.5.1 Shell Upload (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

14.07.2012

Виявлені численні уразливості безпеки в Python.

Уразливі версії: Python 2.7.

DoS, міжсайтовий скриптінг, витік інформації.

• Vulnerabilities in Python (деталі)

21.08.2012

Додаткова інформація.

• Vulnerabilities in python-pycrypto (деталі)

Продовжу своє дослідження безпеки e-commerce сайтів в Уанеті.

Веб сайти, що займаються електронною комерцією (e-commerce), повинні дбати про свою безпеку. Бо вони заробляють гроші на своїй онлайн діяльності і будь-які проблеми з безпекою на їх сайтах можуть їм коштувати фінансових втрат.

Але нажаль e-commerce сайти в Уанеті достатньо діряві, бо власники цих сайтів за безпекою особливо не слідкують.

В себе в новинах я писав про уразливості на наступних сайтах онлайн магазинів, електронних торгівельних систем та банків (України та США):

• shop.cafepress.com
• plimus.com
• palatka.net.ua
• fotos.ua
• forum.ua
• kredobank.com.ua
• energobank.com.ua
• peb.com.ua
• jsbni.kiev.ua
• www.my-comfort.com.ua

Також згадував про взломані онлайн магазини та e-commerce сайти в Уанеті:

• scan-tools.net
• alpha-ug.com.ua
• scuba-d.com.ua
• whatisit.com.ua
• beltguys.com.ua

А також згадував про інфіковані онлайн магазини в Уанеті:

• drummer.in.ua
• my-tv.com.ua
• yaposhka.kh.ua
• footclub.pp.ua
• fashionpeople.com.ua

Так що українським e-commerce сайтам (та сайтам інших країн) є куди покращувати свою безпеку.

В даній добірці експлоіти в веб додатках:

• proftpd multiple exploit for VU#912279 (деталі)
• GNOME Nautilus code execution PoC (деталі)
• Mod_proxy from apache 1.3 Integer overflow PoC (деталі)
• Microsoft Internet Explorer outerHTML exploit (деталі)
• Apache mod_dav / svn Remote Denial of Service Exploit (деталі)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://minjust.gov.ua - інфікований державний сайт - інфекція була виявлена 30.06.2012. Зараз сайт не входить до переліку підозрілих.
• http://dvs.gov.ua - інфікований державний сайт - інфекція була виявлена 30.06.2012. Зараз сайт не входить до переліку підозрілих.
• http://ozero-svityaz.com.ua - інфекція була виявлена 26.07.2012. Зараз сайт не входить до переліку підозрілих.
• http://companion.ua - інфекція була виявлена 05.07.2012. Зараз сайт не входить до переліку підозрілих.
• http://stroitel.dp.ua - інфекція була виявлена 17.07.2012. Зараз сайт не входить до переліку підозрілих.

Виявлені уразливості безпеки в PHP.

Уразливі версії: PHP 5.3, PHP 5.4.

Переповнення в _php_stream_scandir, обхід open_basedir у функціоналі SQLite.

• Vulnerabilities in PHP (деталі)

В даній добірці уразливості в веб додатках:

• HP Performance Insight for Networks Running on HP-UX, Linux, Solaris, and Windows, Remote SQL Injection, Cross Site Scripting (XSS), Privilege Elevation (деталі)
• Arasism Remote Command Upload Vulnerability (деталі)
• Gharine Cross Site Scripting Vulnerabilitiy (деталі)
• Flogr V1.7 Xss Vulnerability (деталі)
• HP Insight Management Agents for Windows Server, Remote Cross Site Request Forgery (CSRF), Cross Site Scripting (XSS), URL Redirection, Unauthorized Modification, Denial of Service (деталі)
• Behsamanco CMS Editor Vulnerability (деталі)
• BookNux 0.2 <= Multiple Vulnerabilities (деталі)
• Apache Sling denial of service vulnerability (деталі)
• Astaro Command Center v2.x - Multiple Web Vulnerabilities (деталі)
• Apache Hadoop HDFS information disclosure vulnerability (деталі)

Раніше я вже писав про Content Spoofing та XSS уразливості в JW Player. І зазначав, що сайтів з вразливою флешкою біля мільйону - це лише проіндексованих Гуглом, а насправді їх ще більше. Аналогічні уразливості присутні в сотнях веб додатків. Зокрема в наступних п’яти плагінах для движків MODx CMS, Joomla, Moodle та WordPress, що використовують флешку JW Player.

В травні, 25.05.2012, я знайшов Content Spoofing та Cross-Site Scripting уразливості в плагінах JWPlayer для MODx, Simple video flash player для Joomla, Poodll для Moodle, RokBox для Joomla та RokBox для WordPress.

Content Spoofing та XSS уразливості аналогічні описаним у вищезгаданому записі. Лише в плагінах (старих версіях, що я бачив) Simple video flash player для Joomla та RokBox для Joomla і WP, в яких використовується JWPlayer 4.x, немає CS через плейліст і логотип та XSS через параметр playerready і через логотип.

Шляхи до флешки наступні:

JWPlayer for MODx plugin (extra):

http://site/embed/player.swf

Приклад однієї XSS уразливості.

XSS:

http://site/embed/player.swf?playerready=alert(document.cookie)

Simple video flash player for Joomla:

http://site/modules/mod_simple_video_flash_player/jwplayer.swf

Poodll for Moodle:

http://site/poodll/jwplayer59/jwplayer.swf

Приклад однієї XSS уразливості.

XSS:

http://site/poodll/jwplayer59/jwplayer.swf?playerready=alert(document.cookie)

RokBox for Joomla:

http://site/plugins/system/rokbox/jwplayer/jwplayer.swf

RokBox for WordPress:

http://site/wp-content/plugins/wp_rokbox/jwplayer/jwplayer.swf

Уразливі всі версії JWPlayer для MODx, всі версії Simple video flash player для Joomla, всі версії Poodll для Moodle, всі версії RokBox для Joomla та всі версії RokBox для WordPress.

В статті Використання сайтів для атак на інші сайти два роки тому я розповів про можливість атак на інші сайти через Abuse of Functionality і Remote File Include уразливості, та навів приклади Abuse of Functionality дірок на різних сайтах (в тому числі сайтах Google, Yahoo і W3C). Окрім даних класів дірок, XXE уразливості також можуть використовуватися для атак на інші сайти.

В класифікації уразливостей WASC TC v2.0 є такий клас як XML External Entities (XXE) (WASC-43). Який ще називають XXE Injection.

Дані уразливості можуть використовуватися для читання вмісту локальних файлів - Local File Disclosure (тобто Directory Traversal). Але також дану уразливість можна використати для з’єднання з зовнішніми серверами. Тобто можна робити запити до інших веб сайтів і через дані уразливості можна проводити CSRF і DoS атаки на інші сайти.

Атака відбувається через тег ENTITY. Якщо вказати локальний файл - “file:///etc/passwd”, то відбудеться включення і витік змісту локального файлу. А якщо вказати зовнішній ресурс - “http://site/page”, то відбудеться запит до сторінки зовнішнього сайта. Що можна використати для атак на зовнішні сайти, аналогічно атакам описаним у вищезгаданій статті.

<?xml version="1.0"?>
<!DOCTYPE foo [
  <!ELEMENT methodName ANY>
  <!ENTITY xxe SYSTEM "http://site/page" >]>
<methodCall>
  <methodName>&xxe;</methodName>
</methodCall>

XXE Injection уразливості були виявлені в багатьох продуктах. Таких як Squiz CMS, Zend Framework, CakePHP та численні продукти Adobe (BlazeDS, Adobe LiveCycle Data Services ES2, Adobe ColdFusion, Adobe LiveCycle ES2). І враховуючи популярність Zend Framework, вони будуть знайдені ще в багатьох продуктах (як це було виявлено в CakePHP).

Для автоматизації атак на інші сайти можна використати такий інструмент як DAVOSET - DDoS attacks via other sites execution tool. Abuse of Functionality дірки передбачали відправлення як GET, так і POST запитів. DAVOSET був розроблений для GET запитів.

XXE Injection атака передбачає відправлення спеціального XML-запиту методом POST. Тому інструмент для проведення атак на інші сайти через XXE уразливості повинен підтримувати POST метод. Наприклад, його підтримка може бути додана в DAVOSET.