Websecurity - Веб безпека

У вівторок, 31.01.2012, МВС України закрило найбільш популярний український файлообмінник EX.ua. Ця подія достатньо широко освітлюється в ЗМІ, як з моменту закриття, так і по сьогодні, тому що щодня відбуваються нові події пов’язанні з закриттям EX.ua.

Враховуючи, що я регулярно користуюся цим файлообмінником, то його закриття ясна річ створило для мене незручності. Ще більші, ніж це мало місце у випадку закриття Infostore в грудні 2008 року.

Коротко нагадаю ретроспективу подій:

31.01.2012 - МВС закрило EX.ua.
31.01.2012 - якщо в понеділок я нормально користувався ex.ua, то вже в вівторок сайт не відкривався. В мере одразу ж виникли підозри, що це може “міліція дісталася до ресурсу”, і після декількох годин, коли сайт все ще не працював, я знайшов новини в ЗМІ, що підтвердили мої підозри.
31.01.2012 - початок DDoS атак на державні сайти.
02.02.2012 - міліція відізвала заяву на блокування домену.
03.02.2012 - EX.ua відновив роботу, хоча більшість файлів все ще не доступні.

Закриття файлообмінника вилилося у незадоволення користувачів та прихильників ресурсу, що призвело до численних DDoS атак на gov.ua сайти. Зокрема на протязі перших днів після інциденту були атаковані сайти МВС, Президента, СБУ, Кабінету Міністрів, Податкової адміністрації, Партії Регіонів та НБУ.

Цей випадок схожий на інцидент з Infostore. Але тоді міліція закрила сайт через розміщення на ньому дитячої порнографії (така була офіційна причина). А у випадку з EX.ua офіційною причиною закриття МВС називає розміщення неліцензійного контенту. Тобто причина інша, але результат той же - міліція провела обшук і вилучила сервери проекту (всього 200 серверів), а також зобов’язала домен провайдера Imena.ua відключити домен. Тому це закриття сайту є наочним прикладом для всіх власників сайтів, що через наявність неліцензійного контенту можуть закрити їхній ресурс, про що я напишу окрему статтю.

І на відміну від випадку з Infostore, цього разу набагато більше громадян висловили своє обурення з цього приводу і висловили свою підтримку проекту. В тому числі були створенні групи підтримки у соціальних мережах та проведені акції протесту під стінами МВС. А також були проведені вищезгадані численні DDoS атаки на державні сайти. І це принесло свої плоди - МВС зрозуміло, що не варто було закривати домен і відкликало свою заяву, після чого домен ex.ua знову запрацював, але більша частина контенту на сервері відсутня (так як сервери з файлами вилучила МВС, лише залишилася БД з інформацією про файли), але адміністрація ресурсу працює над його відновленням.

В даній добірці уразливості в веб додатках:

• pfSense x509 Insecure Certificate Creation (деталі)
• CdeVision Cross Site Scripting Vulnerabilities (деталі)
• PCVmedia (free_gallery.php?cat_id) Remote SQL injection Vulnerability (деталі)
• CdeVision(students.php?id) (gallery.php?cat) Remote SQL injection Vulnerability (деталі)
• DoodleIT (gallery.php?id) (about.php?id) Remote SQL injection Vulnerability (деталі)
• Authentication Bypass Vulnerability in IBM TS3100/TS3200 Web User Interface (деталі)
• BACKEND (categoria.php?id) Remote SQL injection Vulnerability (деталі)
• SAY Comunicacion (producto.php?id) Remote SQL injection Vulnerability (деталі)
• awiki 20100125 multiple local file inclusion vulnerabilities (деталі)
• The LAD Melbourne Cms Sql Injection Vulnerability (деталі)

На цьому тижні прокотилася хвиля DDoS атак на gov.ua сайти, про що повідомило багато україньских онлайнових ЗМІ. На одні сайти атака тривала протягом кількох діб, на інші лише протягом кількох годин. Деякі з цих атак я застав і сам, зокрема на сайт МВС.

Дані DDoS атаки на україньські державні сайти пов’язуються з закриттям файлообмінника ex.ua, що мав місце у вівторок. Представники державних органів вважають це “актом помсти” за закриття файлообмінника. Після атаки на сайти МВС та Президента, також були атаковані сайти СБУ, Кабінету Міністрів, Податкової адміністрації, Партії Регіонів та НБУ.

Всього були проведенні DDoS атаки на наступні сайти:

• mvs.gov.ua - 31.01.2012
• president.gov.ua - 01.02.2012
• sbu.gov.ua - 01.02.2012
• kmu.gov.ua - 01.02.2012
• www.sta.gov.ua - 01.02.2012
• www.partyofregions.org.ua - 01.02.2012
• bank.gov.ua - 02.02.2012

У січні, 10.01.2012, вийшов PHP 5.3.9, а вже у лютому, 02.02.2012, вийшов PHP 5.3.10. В яких виправлено більше 90 помилок, в тому числі й чимало уразливостей. Дані релізи направлені на покращення стабільності та безпеки гілки 5.3.x.

Після виходу версії 5.3.9 Стефан Ессер виявив, що в ній має місце remote code execution уразливість, причому вона знаходиться в коді виправлення DoS уразливості, який був доданий в цій версії. Тому вже на початку лютого розробники випустили нову версію для виправлення RCE дірки.

Cеред секюріті покращень та виправлень в PHP 5.3.9:

• Додана директива max_input_vars для запобігання атакам, що базуються на колізіях хеша.
• Виправлений баг #60150 (Integer overflow при парсингу некоректного exif заголовку).

Cеред секюріті виправлень в PHP 5.3.10

• Виправлена уразливість віддаленого виконання довільного коду.

Випускати чергову версію інтерпретатора, після чого виясняти, що в ній є уразливість і швидко випускати нову версія для її виправлення - це вже траплялося з PHP раніше, зокрема в версії PHP 5.3.7. Коли вже через п’ять днів після її випуску, розробники PHP випустили версію 5.3.8, для виправлення уразливості в функції crypt(). Ці випадки вкотре показують, що розробники PHP недостатньо слідкують за безпекою, недостатньо тестують нові версії перед їх випуском і не вчаться на власних помилках.

По матеріалам http://www.php.net.

За повідомленням www.opennet.ru, виявлена критична уразливість у PHP 5.3.9, що дозволяє виконати код на сервері.

У PHP виявлена одна із самих серйозних уразливостей за час існування даної мови. Уразливість проявляється тільки в PHP 5.3.9 і дозволяє віддаленому зловмиснику виконати свій код на сервері, незалежно від того які PHP-скрипти використовуються. При успішному здійсненні атаки код буде виконаний із правами PHP-додатка, до якого відправлений спеціальний запит.

По іронії долі, уразливість пов’язанна з некоректним усуненням менш небезпечної проблеми безпеки в минулій версії PHP (про універсальний спосіб DoS-атаки я вже писав раніше). Уразливість виявлена Стефаном Ессером.

Молодець Стефан, що знайшов цю уразливість, причому CE уразливість в коді виправлення DoS уразливості. Що з однієї сторони виглядає кумедно, коли патч для однієї дірки додає нову дірку (і таке іноді трапляється). А з іншої сторони, виконання довільного коду підправивши спеціально сформований запит будь-якому PHP-скрипту - це доволі критична уразливість.

За повідомленням www.from-ua.com, хакери “поклали” сайт української міліції з помсти.

Сайт Міністерства внутрішніх справ України деякий час не працював у зв’язку з великою кількістю відвідувачів і можливими хакерськими атаками через закриття EX.UA. Про що повідомили в управлінні зв’язків із громадськістю МВС України, пообіцявши, що найближчим часом сайт відновить свою роботу.

Сайт МВС перестав працювати 31.01.2012 із-за DDoS атаки. І в даний час він все ще відкривається повільно, так як повністю атака не завершилася.

За повідомленням www.xakep.ru, VeriSign визнала факт “неодноразових проникнень” у корпоративну мережу.

Один з оплотів мережевої інфраструктури VeriSign визнав, що в 2010 в корпоративну мережу неодноразово проникали невідомі. Дуже несподівано почути подібне визнання, особливо через два роки після факту взломів. Компанія пояснює таку повільність тим, що вище керівництво нібито було сповіщено про інцидент тільки у вересні 2011 року. Уже тепер, відповідно до вимог звітності Комісії з цінних паперів США, компанія VeriSign, як і потрібно, повідомила про факт взлому в черговому квартальному звіті.

Після останніх взломів видавців SSL сертифікатів, таких як Comodo, DigiNotar, Digicert Sdn. Bhd та Gemnet, це ще один такий випадок. І якщо ці чотири компанії були взломані в 2011 році, то VeriSign був взломани ще в 2010, але лише зараз про це повідомив.

В даній добірці уразливості в веб додатках:

• Heap-based buffer overflow (Off-by-one error) in libxml in Apple Safari before 5.0.6 (деталі)
• InYourLife (dettaglio.php?id) (dettaglio_immobile.php?id) (notizia.php?id) Remote SQL injection Vulnerability (деталі)
• lab382 (dettaglio.php?id) Remote SQL injection Vulnerability (деталі)
• WebsiteBaker 2.8.1 <= Cross Site Request Forgery (CSRF) Vulnerability (деталі)
• WebsiteBaker 2.8.1 <= Arbitrary File Upload Vulnerability (деталі)
• RSA, The Security Division of EMC, announces the release of a Security Fix for RSA(r) Adaptive Authentication (On-Premise) (деталі)
• Calisto light, light plus and full, Sql Injection And user or Admin bypass (деталі)
• Neox (categoria.php?id) Remote SQL injection Vulnerability (деталі)
• QOLQA (categoria.php?id) Remote SQL injection Vulnerability (деталі)
• cdeVision (index.php?page) Remote File Inclusion Vulnerability (деталі)

Ще 11.07.2007 я знайшов Cross-Site Scripting та Insufficient Anti-automation уразливості на сайті http://map.meta.ua. Як я вже розповідав, після останнього разу, коли вони відповіли мені дуже несерйозним чином, я більше не сповіщаю Мету про дірки на їхніх сайтах.

Останнього разу стосовно проектів компанії Мета я писав про уразливості на meta.ua.

XSS:

• alert(document.cookie)
• цікавий
• html включення

IAA:

В контактній формі немає захисту від автоматизованих запитів (капчі). Атака відбувається через GET або POST запит:

http://map.meta.ua/post_bug.php?err_type=map&site=isMeta&err_descr=test

Дані уразливості так досі й висять на сайті, як це було до того, як я знайшов їх у липні 2007 року (тобто на протязі всього часу роботи цього сайта). І це є типовим явищем для сайтів Мети, що добре видно з тих багатьох дірок на багатьох сайтах Мети про які я розповідав раніше.

Торкнуся теми інформування про витоки інформації, що сталися внаслідок секюріті інцидентів, таких як взлом сайта, проникнення в СУБД, на комп’ютери в LAN, тощо. Зокрема це стосується різних компаній, що мають клієнтську базу і які мали б інформувати своїх клієнтів про такі випадки.

За звичай про витоки інформації (особливо клієнтської) компанії особливо не розголошують, ні публічно, ні клієнтів не інформують. Зокрема це стосується України, на заході такі випадки іноді мають місце, але вони нечисленні - набагато більше випадків приховуються, ніж стають публічними. В тому числі це стосується таких компаній як домен і хостер провайдери, приклади випадків з деякими з них я наведу далі.

Іноді компанії, зокрема ті ж хостери, повідомляють своїх клієнтів, що їм змінили паролі, але нічого більше не згадуючи. Або ж додаючи, що цю зміну вони зробили за для безпеки своїх користувачів - такі вони компанії, що дуже піклуються про безпеку власних користувачів (при цьому маючи численні дірки на власних сайтах).

Нещодавно я писав про новий закон Євросоюзу, що повинен буде змусити компанії в ЄС повідомляти про взлом протягом 24 годин. Як приймуть цей закон, то в країнах ЄС компаніям доведеться вже не приховувати інциденти (чи зовсів не сповіщати, чи “не уточнювати”, що саме сталося), а оперативно інформувати своїх клієнтів, при цьому чітко вказуючи, що мав місце саме взлом (чи інший витік інформації). А раз клієнтів проінформують, то і в ЗМІ ця інформація з’явиться. Колись ця практика дійде й до України.

В цій же новині я згадував про інцидент з DreamHost - цього хостера взломали і вони публічно сповістили про це своїх клієнтів. Яких у компанії багато - на хостінгу DreamHost розміщується близько 1,22 млн. доменів. Подібних кроків від провайдерів побачиш не часто. Приведу вам приклад з українських реалій.

Мені доводилося отримувати листи про зміну пароля на сайтах, якими я користуюся, адміни яких робили вигляд, що турбуються про безпеку, тому змінили пароль. Хоча при цьому мають дірявий сайт, бо на його безпеку вони забивають, і зміна пароля користувачам - це найлегший і безкоштовний спосіб “зробити вигляд”.

Наприклад, 30.10.2008 домен провайдер Imena.ua, послугами якого я користуюся для своїх сайтів ще з 2003 року, вислав сповіщення про зміну пароля в адмінку. Пояснювалося це турботою про безпеку. Жодних заяв про взломи чи витоки інформації не було, хоча це перше, що напрошується в якості причини. І якби це в них була така практика - щомісяця змінуювати паролі - то це було б зрозуміло, але це був перший випадок за 5 років і за наступні 3,5 років більше таких змін не було. Й таких “тихих” змін паролів, без жодних заяв про взломи, серед україньских компаній я гадаю відбується чимало.

Нещодавно, 31.01.2012, вийшов Mozilla Firefox 10. Нова версія браузера вийшла майже через півтора місяця після виходу Firefox 9.

Mozilla офіційно представила реліз веб-браузера Firefox 10.0. Реліз Firefox 11 очікується через 6 тижнів, у середині березня, а Firefox 12 вийде на початку травня. Крім того, також були випущені Firefox 3.6.26, Firefox 10 for Android, Seamonkey 2.7 і Thunderbird 10.0.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 10 усунуто 9 уразливостей. З яких 6 критичних уразливостей, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок, а також дві уразливості з високим ступенем небезпеки та одна з помірним.

• Релиз Firefox 10 и сопутствующих проектов Mozilla (деталі)

В даній добірці уразливості в веб додатках:

• Heap-based buffer overflow in libxml2, as used in Google Chrome before 16.0.912.75 (деталі)
• Redirection vulnerability in MBoard (деталі)
• Multiple XSS in GBook PHP guestbook (деталі)
• phpWebSite (userpage) Cross Site Scripting Vulnerabilities (деталі)
• dpconsulenze (dettaglio.php?id) Remote SQL injection Vulnerability (деталі)
• Denial of service (out-of-bounds read) in libxml2, as used in Google Chrome before 16.0.912.63 (деталі)
• ECHO Creative Company (dettaglio.php?id) Remote SQL injection Vulnerability (деталі)
• Muzedon (dettaglio.php?id) Remote SQL injection Vulnerability (деталі)
• netplanet (dettaglio.asp?id) Remote SQL injection Vulnerability (деталі)
• Exploit EChat Server <= v2.5 20110812 - Remote Buffer Overflow Exploit (деталі)