Websecurity - Веб безпека

18.07.2011

У липні, 07.07.2010, я знайшов нові Cross-Site Scripting уразливості на http://www.alfabank.com.ua - сайті Альфа-Банка. Про що найближчим часом сповіщу адміністрацію сайта. Причому минулого літа я звертав увагу представників банку, що на даному сайті багато дірок, але вони так і не виправили їх (ні вищезгаданих дірок, ні попередніх) і не почали слідкувати за безпекою власних сайтів.

Стосовно уразливостей на сайтах банків останній раз я писав про уразливості на alfabank.com.ua.

Детальна інформація про уразливості з’явиться пізніше.

16.11.2011

XSS:

• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)
• цікавий
• html включення

Всі сторінки сайта уразливі до XSS причому в будь-яких довільних параметрах. Це призводить до появи на кожній сторінці сайта довільного числа уразливостей (в довільному числі параметрів), хоч мільярда XSS дірок.

Тобто це “нескінченні дірки”, які ще й знаходиться на всіх сторінках сайта. Про дірки, які поширені на весь сайт, я вже писав в статті Уразливості, що мають місце на всьому сайті, а в даному випадку це поєднання цих двох типів уразливостей.

Дані уразливості досі не виправлені.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://8oda.kiev.ua (хакерами з RKH) - 17.08.2011, зараз сайт вже виправлений адмінами
• http://autofan.kharkov.ua (хакерами з RKH) - 17.08.2011, зараз сайт вже виправлений адмінами
• http://x-dom.com.ua (хакерами з RKH) - 17.08.2011, зараз сайт вже виправлений адмінами
• http://oeda.com.ua (хакером iskorpitx) - 17.08.2011, зараз сайт вже виправлений адмінами
• http://www.bcmebli.com.ua (хакером Mr.L4iVe) - 05.11.2011, зараз сайт вже виправлений адмінами

Численні уразливості безпеки в Adobe Shockwave Player.

Уразливі версії: Adobe Shockwave Player 11.6.

Численні пошкодження пам’яті.

• Adobe Shockwave Player Director File Parsing data of rcsl chunk multiple DOS vulnerabilities (деталі)
• Adobe Shockwave Player Director File Parsing PAMM memory corruption vulnerability (деталі)
• Security update available for Adobe Shockwave Player (деталі)

В даній добірці уразливості в веб додатках:

• Directory Traversal Vulnerability in Cisco Network Admission Control Manager (деталі)
• Request Tracker security update (деталі)
• Multiple XSS in ZENphoto (деталі)
• Multiple Vulnerabilities in Cisco Firewall Services Module (деталі)
• SQL injection in 4images (деталі)
• Multiple Vulnerabilities in Cisco ASA 5500 Series Adaptive Security Appliances and Cisco Catalyst 6500 Series ASA Services Module (деталі)
• Multiple Path disclousure in 4images (деталі)
• Path disclousure in ZENphoto (деталі)
• Multiple G-WAN vulnerabilities (деталі)
• XSS in Webmin 1.540 + exploit for privilege escalation (деталі)

13.07.2011

У липні, 07.07.2010, я знайшов Full path disclosure та Cross-Site Scripting уразливості на http://www.alfabank.com.ua - сайті Альфа-Банка. Про що найближчим часом сповіщу адміністрацію сайта. Причому минулого літа я звертав увагу представників банку, що на даному сайті багато дірок, але вони так і не виправили їх (ні вищезгаданих дірок, ні інших) і не почали слідкувати за безпекою власних сайтів.

Стосовно уразливостей на сайтах банків останній раз я писав про уразливості на www.vab.ua.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

15.11.2011

Full path disclosure:

http://www.alfabank.com.ua/ukr/vacancy/9/183/1

http://www.alfabank.com.ua/inc/vacancy.inc.php

XSS:

• alert(document.cookie)
• alert(document.cookie)
• цікавий
• html включення

Окрім параметра query також уразливі будь-які параметри в пошуковому скрипті. Це призводить до появи на сайті довільного числа уразливостей (в довільному числі параметрів), хоч мільярда XSS дірок.

Якщо FPD вже виправлені, то XSS уразливості досі не виправлені.

За повідомленням www.xakep.ru, американці готові судитися через витік особистих даних.

Американці підуть на багато чого, щоб уникнути крадіжки особистих даних. І, відповідно до нового дослідження Unisys, багато хто з них визнають, що готові подавати позови в суд на уряд і організації, що піддають ризику їхні дані.

Результати дослідження Unisys Security Index, що проводиться два рази на рік, у ході якого опитуються більше 1000 американців на предмет з’ясування споживчої точки зору на цілий ряд проблем безпеки, показали, що більше трьох чвертей опитаних готові цілком припинити мати справу з організацією у випадку витоку даних. Це зайвий раз підкреслює необхідність кращого захисту споживчих даних, переданих електронним способом.

За повідомленням www.securit13.com, вийшов Епізод 9: Мобільна загроза.

На початку листопада вийшов дев’ятий подкаст від Securit13, що публікує подкасти про інформаційну безпеку. Головная тема цього епізоду безпека мобільних пристроїв (але у випуску розглянуто багато й інших тем).

Зазначу, що нещодавно я дав інтерв’ю Securit13. Тому в наступному їхньому подкасті ви зможете його прослухати .

За повідомленням gizmodo.com, SQL Injection License Plate Hopes to Foil Euro Traffic Cameras.

Однією з тем дев’ятого подкасту від Securit13 є пошук SQL ін’єкцій у камерах відеоспостереження за трафіком. Один європейський дослідник безпеки вирішив перевірити камери відеоспостереження за машинами на предмет SQL Injection уразливостей, розмістивши атакуючий SQL запит замість номера автомобіля.

Звичайно малоімовірно, що в алгоритмі розпізнавання номерів авто в ПЗ, що обробляє дані з камер, буде SQL ін’єкція. Особливо така, що спрацює від коду, який використав секюріті дослідник . Але він вирішив перевірити свою вдачу.

В жовтні, 04.10.2011, вийшов Flash 11. В останній версії флеша (технології, плеєра і плагіна до браузерів) є багато нововедень, як це завжди має місце з виходом чергової версії флеша.

Навіть після виходу Flash 10, коли Adobe випустила minor версії 10.1, 10.2 і 10.3, вони містили деякі нововедення, окрім виправлення багів та урзаливостей, а в major версії традаційно багато нового функціоналу. Що, за заявою Адоб, має змінити контент, який ми бачимо в Мережі.

Серед нововведень є такі, що відносяться до безпеки. Це наступний функціонал:

• Adobe Flash Access content protection support for mobile.
• Secure random number generator.
• Protected HTTP Dynamic Streaming (HDS) and Flash Access enhancements.
• TLS secure sockets support (нове для Flash плеєра).

В даній добірці уразливості в веб додатках:

• Metropolis Technologies OfficeWatch Directory Traversal (деталі)
• CSRF (Cross-Site Request Forgery) in Dalbum (деталі)
• Cybele Software, Inc. ThinVNC Product Suite Arbitrary File Retrieval (деталі)
• Path disclousure in Dalbum (деталі)
• XSS vulnerability in InTerra Blog Machine (деталі)
• Cyrus IMAPd NTTP Authentication Bypass Vulnerability (деталі)
• Mojolicious security update (деталі)
• cyrus-imapd-2.2 security update (деталі)
• doctrine security update (деталі)
• Security Notice for CA SiteMinder (деталі)

21.09.2011

У червні, 30.06.2011, я знайшов нові уразливості в Adobe ColdFusion, зокрема Information Leakage, Denial of Service та Full path disclosure. Які я виявив на багатьох сайтах, що використовують ColdFusion. Про що найближчим часом повідомлю розробникам.

Раніше я вже писав про XSS та FPD уразливості в Adobe ColdFusion.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам системи.

14.11.2011

Information Leakage:

http://site/CFIDE/componentutils/packagelist.cfm

Витік списку всіх компонентів встановлених на сервері та шляхів до них.

DoS:

http://site/CFIDE/componentutils/packagelist.cfm?refreshCache=yes

При даному запиті відбувається оновлення кешу компонентів, що призводить до навантаження на сервер, якщо встановлена велика кількість компонентів.

Full path disclosure:

http://site/CFIDE/adminapi/_datasource/formatjdbcurl.cfm
http://site/CFIDE/adminapi/_datasource/getaccessdefaultsfromregistry.cfm
http://site/CFIDE/adminapi/_datasource/geturldefaults.cfm
http://site/CFIDE/adminapi/_datasource/setdsn.cfm
http://site/CFIDE/adminapi/_datasource/setmsaccessregistry.cfm
http://site/CFIDE/adminapi/_datasource/setsldatasource.cfm
http://site/CFIDE/adminapi/customtags/l10n.cfm
http://site/CFIDE/debug/cf_debugFr.cfm (в тілі сторінки з фреймами)

В адмінці ColdFusion є ще багато FPD.

Уразливі Adobe ColdFusion 9 та попередні версії.

Виявлена можливість підвищення привілеїв в Apache Tomcat.

Уразливі версії: Apache Tomcat 7.0.

Підвищення привілеїв через керуючий додаток.

• Apache Tomcat - Privilege Escalation via Manager app (деталі)