Websecurity - Веб безпека

Виявлені численні уразливості безпеки в Google Chrome.

Уразливі версії: Google Chrome 15.0.

Виконання коду, підвищення привілеїв, DoS.

• Численні уразливості безпеки в Google Chrome (деталі)

В листопаді, 21.11.2011, вийшов Mozilla Firefox 8.0.1. Нова версія браузера вийшла майже через два тижні після виходу Firefox 8.

Нова версія позиціонується розробниками як баг-фікс випуск, тобто без секюріті виправлень. Але я вважаю, що дана версія містить виправлення, які покращують безпеку браузера.

В даній версії зроблені наступні виправлення:

• Виправлене вибивання в Mac OS X, що виникало в деяких випадках, коли завантажений аплет Java при інстальованій Java SE 6 версії 1.6.0_29.
• Виправлене вибивання при запуску в Windows, що спричинене версіями RoboForm старіше ніж 7.6.2.

Якщо другу проблему можна віднести до бага (що не можна використати для атаки), то перша проблема - це вже DoS уразливість через аплет Java (що можна використати для атаки).

В даній добірці експлоіти в веб додатках:

• Exploit will crash AT-TFTP Server v1.8 Service (деталі)
• KnFTPd FTP Server v1.0.0 Multiple Command Remote Buffer Overflow Exploit (деталі)
• zFTP Server “cwd” Remote Denial-of-Service (деталі)
• Primitive Lighttpd Proof of Concept code for CVE-2011-4362 vulnerability (деталі)
• jsboard 2.0.10 (login.php table) Local File Inclusion Exploit (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://vikna-ua.com (хакерами з RKH) - 17.08.2011, зараз сайт вже виправлений адмінами
• http://penstyle.net (хакерами з RKH) - 17.08.2011, зараз сайт вже виправлений адмінами
• http://clubtur.net (хакерами з RKH) - 17.08.2011, зараз сайт вже виправлений адмінами
• http://yabschool.com.ua (хакером Mc.Timy)
• http://agroptaha.com (хакером TheScream) - 21.11.2011, зараз на сайті немає контенту

За повідомленням www.xakep.ru, голлівудський хакер не визнає себе винним.

Чоловік зі штату Флорида не визнав себе винним у тому, що взломав поштові скриньки акторок Скарлетт Йоханссон, Міли Куніс і ще 50 знаменитостей і вкрав інтимні фото й особисту інформацію.

Взломи поштових акаунтів відбуваються щодня, але лише деяки випадки призводять до резонансу у ЗМІ. Людям, в тому числі знаменитостям, варто краще слідкувати за безпекою власних поштових акаунтів.

За повідомленням www.opennet.ru, виправлені уразливості в Chrome.

Після виходу Google Chrome 15, вийшов коригуючий реліз веб браузера Google Chrome (15.0.874.120) в якому усунуто 7 уразливостей, з яких 5 позначені як небезпечні. Серед уразливостей:

• звертання до звільненого блоку пам’яті в реалізації кодека Theora;
• вихід за припустимі границі при обробці медіаконтейнерів MKV і Vorbis;
• пошкодження пам’яті при декодуванні VP8;
• переповнення купи в декодері Vorbis;
• переповнення буфера в коді маппінга шейдерів;
• звертання до звільненої пам’яті при редагуванні;
• усунення уразливостей у Flash-плагіні.

За повідомленням www.opennet.ru, виявлені уразливості в Adobe Flash, Apache та інших додатках.

Компанія Adobe випустила оновлення Flash-плагіна (11.1.102.55) в якому усунуто 12 уразливостей, з яких 11 уразливостей приводять до проблем критичного характеру, що дозволяють організувати виконання коду зловмисника при обробці спеціально сформованого контенту.

У mod_setenvif зі складу http-сервера Apache знайдена уразливість, що дозволяє локальному користувачу підвищити свої привілеї в системі через створення спеціально скомпонованого вмісту директиви SetEnvIf у файлі .htaccess у сполученні з відправленням певним чином оформленого запиту. Наявність проблеми підтверджена у випусках 2.0.64 і 2.2.21.

У жовтні, 25.10.2011, через півтора місяці після виходу Google Chrome 14, вийшов Google Chrome 15.

В браузері зроблено ряд нововведень. А також виправлено 18 уразливостей, з яких 11 позначені як небезпечні, 3 - помірні і 4 - незначні. Серед уразливостей не відзначено критичних проблем, що дозволили б обійти всі рівні захисту браузера.

• Релиз web-браузера Chrome 15 (деталі)

В даній добірці уразливості в веб додатках:

• Cisco Small Business SRP500 Series Command Injection Vulnerability (деталі)
• Apache Struts 2 Multiple Reflected XSS in XWork error pages (деталі)
• XSRF (CSRF) in Webmatic (деталі)
• HP TCP/IP Services for OpenVMS Running POP or IMAP, Remote Unauthorized Access (деталі)
• Various XSS and information disclosure flaws within KeyFax response management system (деталі)
• HP TCP/IP Services for OpenVMS Running SMTP Server, Remote Denial of Service (DoS) (деталі)
• Civica Spydus Library Management System (LMS) - Cross-Site Scripting Vulnerability (деталі)
• SQL injection in Calendarix (деталі)
• HP OpenView Network Node Manager (OV NNM), Remote Execution of Arbitrary Code (деталі)
• Multiple XSS in Calendarix (деталі)

У червні, 01.06.2007, як раз коли я розпочав свій проект Місяць багів в Пошукових Системах (де я і про Мету згадував), я знайшов Cross-Site Scripting уразливість на сайті http://tv.meta.ua. Як я вже розповідав, після останнього разу, коли вони відповіли мені дуже несерйозним чином, я більше не сповіщаю Мету про дірки на їхніх сайтах.

Останнього разу стосовно проектів компанії Мета я писав про уразливості на meta.ua та auction.meta.ua.

XSS:

• alert(document.cookie)
• цікавий
• html включення

Дана уразливість так досі й висить на сайті, як це було до того, як я знайшов її у червні 2007 року (тобто на протязі всього часу роботи цього сайта). І це є типовим явищем для сайтів Мети, що добре видно з тих багатьох дірок на багатьох сайтах Мети про які я написав раніше і про які ще напишу.

Виявлені численні уразливості безпеки в Mozilla Firefox, Thunderbird, Seamonkey.

Уразливі продукти: Firefox 3.6, Firefox 8.0, Thunderbird 3.1, Thunderbird 8.0, SeaMonkey 2.3.

Міжсайтовий скриптінг, виконання коду, пошкодження пам’яті, витік інформації.

• Mozilla Foundation Security Advisory 2011-46 (деталі)
• Mozilla Foundation Security Advisory 2011-47 (деталі)
• Mozilla Foundation Security Advisory 2011-48 (деталі)
• Mozilla Foundation Security Advisory 2011-49 (деталі)
• Mozilla Foundation Security Advisory 2011-50 (деталі)
• Mozilla Foundation Security Advisory 2011-51 (деталі)
• Mozilla Foundation Security Advisory 2011-52 (деталі)

P.S.

Зазначу, що в MFSA 2011-47 Mozilla виправила можливість XSS атак через кодування Shift-JIS, про яку я писав ще в березні 2009 (тоді ж я писав і про кодування EUC-JP, що вони досі не виправили). Тобто моє повідомлення Мозілі та публікацію 03.03.2009 вони проігнорували, а лише через 2,5 роки, 08.11.2011, вони виправили одну з декількох повідомлених мною уразливостей. Що говорить про несерйозність Mozilla.

В презентації Seamlessly Securing Web Services Using Policies, Mifla Mashood та Gihan Wikramanayake розповідають про забезпечення безпеки веб сервісів. Що пропонується роботи за допомогою політик, зокрема політик стандарту WS-Policy.