Websecurity - Веб безпека

15.04.2011

У серпні, 16.08.2010, я знайшов Abuse of Functionality та Insufficient Anti-automation уразливості в модулі Print для Drupal. Які я виявив під час секюріті аудиту на одному сайті. Про що найближчим часом повідомлю розробникам.

Раніше я вже писав про XSS та BT уразливості в Drupal.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам модуля.

30.06.2011

Abuse of Functionality:

Форму відправки контента по електронній пошті (http://site/printmail/1) можна використати для відправки спама, при цьому можна вказати всі основні поля форми: зворотній емайл (шляхом зміни його в профілі), ім’я, емайл або декілька емайлів адресатів, тема і текст повідомлення. А також можна вибирати для відправки в тексті листа сторінки створенні самим користувачем, що дозволяє створювати спам повідомлення на сайті для наступної їх відправки по емайлу (щоб максимально контролювати зміст спам-листів).

Insufficient Anti-automation:

На сторінці відправки контента по електронній пошті (http://site/printmail/1) немає капчі. Що дозволяє автоматизовано слати спам на довільні емайл-адреси. Обмеження на максимум 3 повідомлення на годину обходиться шляхом відправки повідомлень з різних IP (навіть будучи залогіненим в той же акаунт).

Drupal Print IAA.html

А враховуючи дві Brute Force уразливості в Drupal (відсутність капчі), про які я згадував раніше, то можливий автоматизований логін, що дозволить повністю автоматизувати цей процес. Про що я писав в статті Атаки на незахищені логін форми.

Уразливі версії Print 5.x-4.11, 6.x-1.12, 7.x-1.x-dev та попередні версії.

26.07.2010

У липні, 01.07.2010, я знайшов SQL Injection уразливість на проекті http://3s.kiev.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

29.06.2011

SQL Injection:

http://3s.kiev.ua/index.php?content_id=-1%20or%20version()%3E4

Дана уразливість досі не виправлена. Хоча адміни повипєндривалися (намагаючися позбутися цієї дірки, але так її і не виправивши) і видалили весь контент сайта. Тому даний запит більше не спрацює і звичайна SQLі атака через цю дірку вже не працює, але все ще можна проводити blind SQLi атаки (для виведення даних з БД і проведення DoS атак).

Нещодавно, 21.06.2011, вийшов Mozilla Firefox 5. Нова версія браузера вийшла через три місяця після виходу Firefox 4.

Після виходу версії 4.0, Mozilla випустила 4.0.1 і потім вже 5.0. При цьому підтримка гілки 4.x браузера припинена (так само як і 3.5.x). Тому виправлення уразливостей в Firefox 4.0.1 випускатися не будуть і всім користувачам рекомендується оновити браузер до версії 5.0.

Реліз веб браузера Firefox 5 вийшов одночасно для настільних систем і мобільної платформи Android. Реліз випущений у рамках нового 16-тижневого циклу розробки.

• Релиз web-браузера Firefox 5 для настольных и мобильных систем (деталі)

Виявлена Cross-Site Scripting уразливість в Microsoft Certificate Services.

Уразливі продукти: Microsoft Certificate Services на Windows 2003 Server, Windows 2008 Server.

Міжсайтовий скриптіг в Active Directory Certificate Services Web Enrollment. Це одна з багатьох уразливостей виправлених в червневому вівторок патчів.

• Microsoft Security Bulletin MS11-051 - Important Vulnerability in Active Directory Certificate Services Web Enrollment Could Allow Elevation of Privilege (2518295) (деталі)

В даній добірці уразливості в веб додатках:

• Cisco Content Services Gateway Vulnerabilities (деталі)
• Multiple Vulnerabilities in CruxCMS 3.0.0 (деталі)
• MyBB 1.6 <= SQL Injection Vulnerability (деталі)
• HP OpenView Storage Data Protector, Remote Denial of Service (DoS) (деталі)
• Pligg XSS and SQL Injection (деталі)
• OpenJDK vulnerabilities (деталі)
• Multiple Vulnerabilities in OpenClassifieds 1.7.0.3 (деталі)
• Social Engine 4.x (Music Plugin) Arbitrary File Upload Vulnerability (деталі)
• Cisco Security Advisory: Default Credentials for Root Account on Tandberg E, EX and C Series Endpoints (деталі)
• Path disclosure in KaiBB (деталі)

23.07.2010

У липні, 01.07.2010, я знайшов SQL Injection уразливість на проекті http://www.3s-training.com.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше.

28.06.2011

SQL Injection:

http://www.3s-training.com.ua/index.php?content_id=-1%20or%20version()%3E4

Дана уразливість досі не виправлена.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://me.gov.ua - інфікований державний сайт, інфекція була виявлена 05.05.2011. Зараз сайт не входить до переліку підозрілих.
• http://abrasiva.net - інфекція була виявлена 25.06.2011. Зараз сайт входить до переліку підозрілих.
• http://askei.kiev.ua - інфекція була виявлена 26.06.2011. Зараз сайт не входить до переліку підозрілих.
• http://nateparty.kiev.ua - інфекція була виявлена 18.06.2011. Зараз сайт входить до переліку підозрілих.
• http://bigudi.ua - інфекція була виявлена 22.05.2011. Зараз сайт не входить до переліку підозрілих.

13.06.2011

Виявлені численні уразливості безпеки в Oracle Java.

Уразливі продукти: Oracle JRE 6.0, JDK 6.0.

Численні цілочисленні переповнення при розборі профілів ICC. Перехід по неініціалізованому вказівнику в Windows. Виконання шел-команд у Java Web Start.

• Java HotSpot Cryptographic Provider signature verification vulnerability (деталі)
• Oracle Java IE Browser Plugin Corrupted Window Procedure Hook Remote Code Execution Vulnerability (деталі)
• Oracle Java ICC Profile MultiLanguage ‘mluc’ Tag Parsing Remote Code Execution Vulnerability (деталі)
• Oracle Java ICC Profile Sequence Description ‘pseq’ Tag Parsing Remote Code Execution Vulnerability (деталі)
• Oracle Java ICC Profile ‘bfd ‘ Tag Parsing Remote Code Execution Vulnerability (деталі)
• Oracle Java ICC Profile ncl2 Count Tag Parsing Remote Code Execution Vulnerability (деталі)
• Oracle Java ICC Screening Tag Parsing Remote Code Execution Vulnerability (деталі)
• Oracle Java Web Start Command Argument Injection Remote Code Execution Vulnerability (деталі)
• Oracle Java ICC Profile ‘crdi’ Tag Parsing Remote Code Execution Vulnerability (деталі)
• Oracle Java ICC Profile Multi-Language ‘curv’ Tag Parsing Remote Code Execution Vulnerability (деталі)
• Oracle Java ICC Profile ncl2 DevCoords Tag Parsing Remote Code Execution Vulnerability (деталі)
• Oracle Java ICC Profile clrt Tag Parsing Remote Code Execution Vulnerability (деталі)
• Oracle Java ICC Profile “bfd” Tag Integer Overflow Code Execution Vulnerability (деталі)
• Oracle Java ICC Profile “clrt” Tag Integer Overflow Code Execution Vulnerability (деталі)
• Oracle Java ICC Profile “ncl2″ Tag Integer Overflow Code Execution Vulnerability (деталі)
• Oracle Java ICC Profile “pseq” Tag Integer Overflow Code Execution Vulnerability (деталі)
• Oracle Java ICC Profile “scrn” Tag Integer Overflow Code Execution Vulnerability (деталі)
• Oracle Java ICC Profile “mluc” Tag Integer Overflow Code Execution Vulnerability (деталі)

28.06.2011

Додаткова інформація.

• Oracle Java ICC Profile rcs2 Tag Parsing Remote Code Execution Vulnerability (деталі)
• Oracle Java Soundbank Decompression Remote Code Execution Vulnerability (деталі)
• Java HotSpot Cryptographic Provider signature verification vulnerability (деталі)

В даній добірці уразливості в веб додатках:

• HP OpenView Storage Data Protector, Remote Execution of Arbitrary Code (деталі)
• HotWeb Rentals “PageId” SQL Injection Vulnerability (деталі)
• HP LoadRunner, Remote Execution of Arbitrary Code (деталі)
• Unauthenticated command execution within Mitel’s AWC (Mitel Audio and Web Conferencing) (деталі)
• RSA, The Security Division of EMC, addresses RKM 1.5 C Client SQL Injection Vulnerability (деталі)
• Django admin list filter data extraction / leakage (деталі)
• HP Business Availability Center (BAC) Running on Windows and Solaris, Remote Cross Site Scripting (XSS) (деталі)
• Sigma Portal Denial of Service Vulnerability (деталі)
• HP Business Availability Center (BAC) and Business Service Management (BSM), Remote Cross Site Scripting (XSS) (деталі)
• Asan Portal (IdehPardaz) Multiple Vulnerabilities (деталі)

22.07.2010

У липні, 01.07.2010, я знайшов SQL Injection уразливість на проекті http://nana.kiev.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

27.06.2011

SQL Injection:

http://nana.kiev.ua/index.php?content_id=-1%20or%20version()%3E4

Дана уразливість досі не виправлена.