Websecurity - Веб безпека

В даній добірці уразливості в веб додатках:

• Trend Micro Control Manager CasLogDirectInsertHandler.cs Remote Code Execution Vulnerability (деталі)
• Zones Web Solution (index.php?manufacturers_id) Remote SQL injection Vulnerability (деталі)
• Funnel Web (items.php?&cat_id) Remote SQL injection Vulnerability (деталі)
• pango 1.0 security update (деталі)
• Funnel Web (directory.php?cid) Remote SQL injection Vulnerability (деталі)
• Funnel Web (selected_product.php?t) Remote SQL injection Vulnerability (деталі)
• HP StorageWorks P4000 Virtual SAN Appliance, Execution of Arbitrary Code (деталі)
• iPhotoAlbum v1.1 (header.php) Remote File Include Vulnerability (деталі)
• Softerra Time-Assistant <= 6.2 (inc_dir) Remote File Inclusion Vulnerability (деталі)
• DrakeCMS multiple vulerabilities (деталі)

В презентації General Principles of Web Security, Justin Emond розповідає про загальні принципи веб безпеки. Про SQL iн’єкції, міжсайтовий скриптінг та загальні погляди на безпеку при розробці веб додатків.

У листопаді, 28.11.2008, я знайшов Cross-Site Scripting та Redirector уразливості на сайті http://img.meta.ua. Як я вже розповідав, після останнього разу, коли вони відповіли мені дуже несерйозним чином, я більше не сповіщаю Мету про дірки на їхніх сайтах.

Останнього разу стосовно проектів компанії Мета я писав про уразливості на translate.meta.ua.

XSS (Strictly social XSS):

• alert(document.cookie)

Redirector (URL Redirector Abuse):

http://img.meta.ua/mclick.asp?go=http://websecurity.com.ua

Про цей редиректор я вже писав в 2009 році.

Дані уразливості так досі й висять на сайті, як це було до того, як я знайшов їх у листопаді 2008 року (тобто на протязі всього часу роботи цього сайта). І це є типовим явищем для сайтів Мети, що добре видно з тих багатьох дірок на багатьох сайтах Мети про які я розповідав раніше.

Виявлені численні уразливості безпеки в серії програмних продуктів Websense. Випускати вразливі додатки є типовим для секюріті компаній, в цьому вони не відрізняються від інших компаній виробників ПЗ. Зокрема це стосується Websense, про уразливості в програмах якої я вже неодноразово писав.

Уразливі продукти: Websense Web Security Gateway Anywhere v7.6, Websense Web Security Gateway v7.6, Websense Web Security v7.6, Websense Web Filter v7.6.

Виконання коду, міжсайтовий скриптінг.

• Websense Triton 7.6 - Authentication bypass in report management UI (деталі)
• Websense Triton 7.6 - Stored XSS in report management UI (деталі)
• Websense Triton 7.6 - Unauthenticated remote command execution as SYSTEM (деталі)
• Websense Triton 7.6 - Reflected XSS in report management UI (деталі)

У грудні, 10.12.2011, я знайшов Certificate Spoofing уразливість в браузері Google Chrome для Android. Яку я виявив на своєму планшеті з Android 2.3.3. Про що вже сповістив розробників.

Можна викрадати сертифікати від інших сайтів через iframe. Тому я назвав атаку Certificate Stealing. Причому це можна робити не тільки для https, але й для http сайтів. Як видно з моїх скріншотів, http сайт (мій) отримав сертифікат від https сайта (Google).

PoC скріншоти:

Google Chrome for Android-1.jpg
Google Chrome for Android-2.jpg
Google Chrome for Android-3.jpg
Google Chrome for Android-4.jpg
Google Chrome for Android-5.jpg

№1 - Відкрити веб сайт з iframe, що вказує на інший сайт.
№2 - Вибрати Page info в контекстному меню.
№3 - В вікні буде кнопка “View certificate”, якої там бути не повинно, тому що це http сайт.
№4, №5 - Поточний сайт має валідний сертифікат іншого сайта.

Уразливі Google Chrome для Android 2.3.3 та попередні версії (та потенційно наступні версії).

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://mytv.ua - інфекція була виявлена 23.11.2011. Зараз сайт не входить до переліку підозрілих.
• http://bel-trans.com.ua - інфекція була виявлена 23.10.2011. Зараз сайт не входить до переліку підозрілих.
• http://legionfort.com.ua - інфекція була виявлена 09.12.2011. Зараз сайт входить до переліку підозрілих.
• http://yaposhka.kh.ua - інфекція була виявлена 06.11.2011. Зараз сайт не входить до переліку підозрілих.
• http://ukr-lider.com.ua - інфекція була виявлена 27.10.2011. Зараз сайт не входить до переліку підозрілих.

В даній добірці уразливості в веб додатках:

• HP Network Node Manager i (NNMi) for HP-UX, Linux, Solaris, and Windows, Remote Unauthorized Disclosure of Information (деталі)
• Symantec Web Gateway forget.php SQL Injection Vulnerability (деталі)
• phpMyAdmin 3.x Multiple Remote Code Executions (деталі)
• HP Network Node Manager i (NNMi) for HP-UX, Linux, Solaris, and Windows, Remote Unauthorized Access (деталі)
• phpMyAdmin 3.x preg_replace RCE POC (деталі)
• Tugux CMS 1.2 Multiple vulnerability (BLIND sql & xss) (деталі)
• HP Network Node Manager i (NNMi) for HP-UX, Linux, Solaris, and Windows, Remote Cross Site Scripting (XSS) (деталі)
• Chyrp input sanitization errors (деталі)
• mapserver security update (деталі)
• PHP-Barcode 0.3pl1 Remote Code Execution (деталі)

У грудні, 13.12.2011, через півтора місяці після виходу Google Chrome 15, вийшов Google Chrome 16.

В браузері зроблено ряд нововведень. А також виправлено 15 уразливостей, з яких 6 позначені як небезпечні, 7 - помірні і 2 - незначні. Серед уразливостей не відзначено критичних проблем, що дозволили б обійти всі рівні захисту браузера.

• Релиз web-браузера Chrome 16 (деталі)

Продовжуючи тему уразливостей в D-Link DSL-500T, розповім вам про нові уразливості в даному роутері. На цьому тижні я виявив численні Cross-Site Request Forgery, Directory Traversal та Authentication Bypass уразливості в ADSL модемі D-Link DSL-500T ADSL Router. Це п’ятий advisory з серії записів про уразливості в продуктах D-Link. Попередні були про уразливості в DSL-500T ADSL Router та DAP 1150.

Уразлива версія D-Link DSL-500T, Firmware V1.00B02T02.RU.20050223. Дана модель з іншими прошивками також вразлива, а також можуть бути вразливими інші моделі роутерів від D-Link.

CSRF:

Весь функціонал адмінки роутера має CSRF уразливості. Наприклад, наступний CSRF-запит дозволяє змінити логін і пароль адміністратора.

D-Link DSL-500T CSRF.html

Всі інші функції в панелі адміністратора також уразливості до CSRF. А якщо використати XSS і DT, то можна буде віддалено зчитувати довільні файли з роутера.

Directory Traversal:

В 2006 році в інших моделях роутерів D-Link була знайдена DT уразливість (CVE-2006-2337). Яка також є в цій моделі, як я перевірив (але на відміну від опису DT в інших моделях, в моїй моделі необхідна аутентифікація).

http://192.168.1.1/cgi-bin/webcm?getpage=/etc/passwd
http://192.168.1.1/cgi-bin/webcm?getpage=/etc/shadow

Можна зчитувати довільні файли роутера. Але працює дана уразливість тільки після аутентифікації.

Authentication Bypass:

В 2005 році в інших моделях роутерів D-Link була знайдена AB уразливість (CVE-2005-1680). Яка також є в цій моделі, як я перевірив.

Можна без аутентифікації посилати команди додатку firmwarecfg. Що дозволить, наприклад, отримати файл конфігурації з логіном і паролем адміністратора. Для отримання доступу до адмінки.

За повідомленням www.xakep.ru, CSS шейдери сприяють крадіжці даних.

Розробники ПЗ з Google, Apple, Adobe та інших компаній боряться з ризиками безпеки, що виникли завдяки графічній технології, що зароджується, що у своєму нинішньому вигляді здатна наразити на небезпеку мільйони користувачів.

Технологія, відома як CSS шейдери, розроблена для того, щоб відображати різні ефекти викривлення як то коливань, брижів і складок. Вона працює за рахунок надання програмних інтерфейсів, якими розробники можуть користатися, щоб застосовувати потужні функції графічних карт кінцевих користувачів. Але також вона може бути використана зловмисними операторами сайтів щоб красти історію переглядів в Інтернеті, дані з Facebook та іншу чутливу інформацію у користувачів.

За повідомленням www.xakep.ru, ще один Центр сертифікації призупинив роботу після витоку даних.

Сайт, що належить голландському центру сертифікації був недоступний через те що, як повідомляється, хакери прорвали його захист і одержали доступ до бази даних. Після інцидентів з Comodo, DigiNotar та Digicert Sdn. Bhd, це вже четвертий випадок взломів видавців сертифікатів за цей рік.

Голландський телекомунікаційний гігант KPN виступив із заявою, у якій повідомлялося, що робота сайта його дочірньої компанії Gemnet тимчасово припинена, поки розслідуються обставини взлому. Інший сайт, що належить дочірній компанії KPN, що випускає цифрові сертифікати для голландського уряду, теж не працює.

За повідомленням www.xakep.ru, внаслідок взлому опубліковані особисті дані співробітників правоохоронних органів США.

Офіційний сайт організації Coalition of Law Enforcement and Retail був взломаний хакером, що користається псевдонімом Exphіn1ty і який, як він сам стверджує, належить до групи Anonymous.

Результатом атаки стала тимчасова зупинка роботи сайта і публікація імен, адрес, електронних адрес і телефонів більш ніж 2400 чинів правоохоронних органів і професіоналів по запобіганню втрат у роздрібній торгівлі, а також їхніх посад, назв агентств і компаній, у яких вони працюють і паролів (у хешованій формі) для їхній аккаунтів на сайті.