Websecurity - Веб безпека

Виявлені численні уразливості безпеки в Adobe Flash Player.

Уразливі продукти: Adobe Flash Player 10.3, Flash Player 11.1, Flash Player 11.2, AIR 3.2.

Різні пошкодження пам’яті.

• Adobe Flash Player NetStream Remote Code Execution Vulnerability (APSB12-07 / CVE-2012-0773) (деталі)

В даній добірці експлоіти в веб додатках:

• Opera <= 10.10 Remote Denial of Service Exploit (деталі)
• XOOPS Module Repository (viewcat.php) BLIND SQL Injection Exploit (деталі)
• Xoops Module Friendfinder <= 3.3 (view.php id) BLIND SQL Injection Exploit (деталі)
• XOOPS Module Library (viewcat.php) BLIND SQL Injection Exploit (деталі)
• XOOPS Module Core (viewcat.php) Remote BLIND SQL Injection Exploit (деталі)

14.04.2012

Ще 27.09.2006 я знайшов Cross-Site Scripting та Full path disclosure уразливості в плагіні Organizer для WordPress (одразу як почав ним користуватися). Але довго відкладав публікацію інформації про дані уразливості. Це перша порція уразливостей в плагіні Organizer. Про що найближчим часом повідомлю розробникам плагіна.

Стосовно уразливостей в плагінах для WP раніше я писав про уразливості в Register Plus Redux для WordPress.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам.

21.04.2012

XSS:

http://site/wp-admin/admin.php?page=organizer/page/users.php&delete_id=%3Cscript%3Ealert(document.cookie)%3C/script%3E

XSS (Persistent):

POST запит на сторінці http://site/wp-admin/admin.php? page=organizer/page/users.php в полі “File extensions allowed”. Код виконається на сторінці users.php плагіна.

Organizer XSS-1.html

FPD:

http://site/wp-content/plugins/organizer/plugin_hook.php

http://site/wp-content/plugins/organizer/page/index.php

http://site/wp-content/plugins/organizer/page/dir.php

http://site/wp-content/plugins/organizer/page/options.php

http://site/wp-content/plugins/organizer/page/resize.php

http://site/wp-content/plugins/organizer/page/upload.php

http://site/wp-content/plugins/organizer/page/users.php

http://site/wp-content/plugins/organizer/page/view.php

Уразливі Organizer 1.2.1 та попередні версії.

Як заявив мені розробник плагіна, він більше не підтримує цей плагін і не буде виправляти численні уразливості в ньому, про які я повідомив. Тому користувачам даного плагіна потрібно буде власноруч виправляти всі уразливості.

За повідомленням www.xakep.ru, Google розіслала 20 тисяч повідомлень про взлом.

Метт Каттс (Matt Cutts), керівник відділу якості пошуку Google і боротьби з пошуковим спамом, повідомив у своєму твітері цікаву новину. Виявляється, декілька днів тому компанія Google розіслала на адресу 20000 власників доменів повідомлення “Ваш сайт міг бути взломаний”.

Як можна зрозуміти з твіта, сповіщення власників сайтів здійснено автоматично. Пошуковий робот Google зайшов, як звичайно, на сайт, але замість звичайного контента знайшов редирект. Очевидно, така поведінка є підозрілою, про що миттєво повідомляється власнику сайта.

Торік я вже писав про сповіщення Гугла. Що починаючи з 20 червня компанія Google почала сповіщати користувачів WordPress про необхідність оновити движок. А зараз компанія пішла далі і почала сповіщати про появу підозрілих редиректів на сайтах. Як і в інших випадках, сповіщення відбувається в інтерфейсі Google Webmaster Tools (GWT), а також по емайлу, якщо користувач зареєструвався в GWT (тобто сповіщають не кожного власника сайта, а лише користувачів GWT).

За повідомленням www.3dnews.ru, Symantec знайшла нові шкідливі додатки в Google Play.

Близько 30 додатків з онлайн-магазина Google Play нещодавно були відзначені Symantec як “шкідливі”. Фрагменти заражених програм, що визначаються як Androіd.Dougalek, містилися в іграх і додатках так чи інакше стосовних до відео. Перші аналогічні шкідливі елементи були виявлені ще в лютому цього року, а потім у березні. На думку фахівців Symantec, кількість смартфонів, на які були встановлені ці програми, може варіюватися від 70 до 300 тисяч.

Шкідливі програми та уразливості в Android Market вже знаходили неодноразово. А в цьому році дійшла черга до нового онлайн-магазину Гугла.

За повідомленням ain.ua, податкова призупинила роботу найбільшого інтернет-магазина України Rozetka.UA.

На цьому тижні відбулося закриття онлайн магазинів Rozetka.ua і Sokol.ua та проведені обшуки в офісних приміщеннях даних компаній податковою інспекцією. Претензії до магазинів від Державної Податкової Служби стосуються несплати податків у великих розмірах. Разом з відкриттям кримінальної справи проти Rozetka і проведенням обшуків в двох магазинах, податківці також вирішили закрити їхні сайти. Зараз сайти обох магазинів вже відновили свою роботу (після перенесення хостингу закордон).

З даних інцидентів цілком очевидно, що не тільки СБУ і МВС можуть закривати сайти через порушення законодавства (про що я писав неодноразово), а також і ДПС.

Нещодавно знайшов цікаве рішення, що призначене для покращення надійсності старих добрих паролів. Компанія LoginWall пропонує новий погляд на паролі.

Вона пропонує новий підхід до формування паролів, що на порядки покращує їх захист перед брутфорс атаками. Окрім безпоседньо секретної фрази, як у звичайних паролів, також використовується часова інформація (таймінг). Вона включає час між натисканням різних кнопок та час натискання кожної кнопки. За рахунок поєднання текстових даних з часовими даними, стійкість такого пароля до підбору збільшується на порядки.

Для демонстрації надійності своєї системи паролів компанія проводить хакерський марафон - LoginWall’s New Cyber Hackathon. Який проводиться на цьому тижні. Переможець змагання отримає новий iPad. Але навряд чи такий знайдеться виходячи з рівня надійності даної системи.

В даній добірці уразливості в веб додатках:

• Oracle Exadata Infiniband Switch default logins and world readable shadow file (деталі)
• CMS wizard Cross Site Scripting (деталі)
• F*EX (Frams’s Fast File EXchange) Cross Site Scripting Vulnerability (деталі)
• Aurora WebOPAC SQL Injection (деталі)
• XSS (CROSS SITE SCRIPTING VULNERABILITIES) (ZAPHOD BREEBLEBROX’S BLOCKER A.K.A. ZB BLOCK) (деталі)
• APPLE-SA-2012-03-07-2 iOS 5.1 Software Update (деталі)
• phpMyVisites 2.4 XSS (деталі)
• XWeavers (sysMsg.php?errMsg) Cross Site Scripting Vulnerabilities (деталі)
• Arte Dude (collections.php?id) (property.php?id) Remote SQL injection Vulnerability (деталі)
• Web Design Sydney (news-item.php?id) (news-item.php?newsid) Remote SQL injection Vulnerability (деталі)

Ще 18.04.2008 я знайшов Insufficient Authorization, Cross-Site Request Forgery та Full path disclosure уразливості в плагіні Organizer для WordPress. Але довго відкладав публікацію інформації про дані уразливості. Це третя порція уразливостей в плагіні Organizer. Як заявив мені розробник плагіна, він більше не підтримує цей плагін і не буде виправляти численні уразливості в ньому, про які я повідомив.

Раніше я писав про уразливості в Organizer для WordPress.

Insufficient Authorization:

Доступ до users.php та виконання всіх операцій дозволено будь-яким користувачам системи (навіть Subscriber).

http://site/wp-admin/admin.php?page=organizer/page/users.php

Можливий перегляд налаштувань, додавання, редагування та видалення налаштувань користувачів. Зокрема будь-який користувач (той же Subscriber) зможе задати, в тому числі для свого акаунту, дозволені розширення для завантаження файлів, наприклад, php.

В тому числі непривілегійований користувач може проводити Persistent XSS атаки на адміна (через дві раніше згадані Persistent XSS дірки). А також дана уразливість дозволяє проводити CSRF атаки (для зміни налаштувань) не тільки на адміна, а на будь-якого залогіненого користувача.

CSRF:

Увесь фунціонал плагіна вразливий до CSRF атак. Окрім раніше загадних CSRF в скрипті users.php, наприклад, в скрипті dir.php через CSRF можна створювати, переіменовувати та видаляти директорії (переіменовувати та видаляти можна лише пусті директорії). Для цього потрібно відправити три відповідних POST запити.

http://site/wp-admin/admin.php?page=organizer/page/dir.php

А в скрипті view.php через CSRF можна переіменовувати, копіювати та видаляти завантажені файли. Для цього потрібно відправити три відповідних POST запити.

http://site/wordpress/wp-admin/admin.php?page=organizer/page/view.php

FPD:

Скрипт http://site/wordpress/wp-admin/admin.php?page=organizer /page/view.php має вбудований функціонал (і уразливість) - виведення повного шляху на сервері.

Уразливі Organizer 1.2.1 та попередні версії.

Продовжуючи розпочату традицію, після попереднього відео про Address Bar Spoofing в Google Chrome, пропоную нове відео на веб секюріті тематику. Цього разу відео про експлоіт для Firefox та IE. Рекомендую подивитися всім хто цікавиться цією темою.

Exploit firefox 4, ie and google chrome

В ролику демонструється приватний експлоіт для різних браузерів. Зокрема автор назвав серед уразливих браузери Firefox, Internet Explorer та Google Chrome. Але в самому відео показане віддалене виконання коду лише в Firefox 4 та IE8 (тому як мінімум ці два браузери уразливі до даної атаки). Після виконання коду експлоіту, комп’ютер стає учасником бот мережі й нападник може віддалено керувати ПК користувача - робити скріншоти екрана та виконувати інші команди. Інтерфейс центра керування ботами показаний у відео-ролику.

Атака відбувається при відвідуванні в уразливих браузерах (таких як Firefox, IE) спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Виявлена можливість підвищення привілеїв в Microsoft SQL Server.

Уразливі версії: Microsoft SQL Server 2005, SQL Server 2008.

Підвищення привілеїв через RESTORE DATABASE. Атака можлива через SQL ін’єкцію або при наявності доступа до веб сервера для розміщення власних скриптів для виконання довільних SQL команд.

• Privilege escalation via internal sql injection in RESTORE DATABASE command (деталі)

В даній добірці експлоіти в веб додатках:

• IpTools (0.1.4) - Rcmd Remote Crash PoC (деталі)
• PHP-Fusion ‘Calendar_Panel’ Module (m_month) SQL Injection Exploit (деталі)
• Joomla Component D4JeZine <= 2.8 Remote BLIND SQL Injection Exploit (деталі)
• Xoops All Version -Articles- Print.PHP (ID) Blind SQL Injection Exploit And PoC (деталі)
• XOOPS Module Lykos Reviews 1.00 (index.php) BLIND SQL Injection Exploit (деталі)