Websecurity - Веб безпека

Після виходу Opera 11.10, 18.05.2011 вийша Opera 11.11.

Нова версія Opera є оновленням, що покращує безпеку та стабільність браузера.

Серед виправлень безпеки в Opera 11.11:

• Виправлена уразливість з обробкою frameset, що могла привести до виконання довільного коду.
• Виправлена велика кількість вибивань браузера, а також одне зависання. Opera традиційно (як й інші виробники браузерів) не відносить вибивання і зависання, тобто DoS в браузерах, до уразливостей, а відносить їх до “проблем стабільності”.

По матеріалам http://www.opera.com.

01.04.2011

У лютому, 03.02.2011, я знайшов Insufficient Anti-automation, Abuse of Functionality та Cross-Site Scripting уразливості в плагіні Easy Contact для WordPress. Дірки я виявив на одному сайті. Про що найближчим часом повідомлю розробникам плагіна.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам.

20.05.2011

Insufficient Anti-automation:

Відсутність капчі на сторінці контактів дозволяє слати автоматизовані повідомлення (зокрема спам) адмінам сайта. Капча виключена по замовчуванню, а тип текстової капчі Challenge Question є ненадійним, тому що значення є фіксованим.

Abuse of Functionality:

На сторінці контактів можлива відправка спама через функцію Carbon Copy (Email yourself a copy). Вона включена по замовчуванню і призводить до того, що через сайт можна розсилати спам як адміну, так і на довільні емайли.

А з використанням Insufficient Anti-automation уразливості можна автоматизовано розсилати спам з сайта в великих обсягах.

Easy Contact Abuse of Functionality.html

XSS:

Плагін Easy Contact зроблений на основі плагіна WP-ContactForm і тому дані XSS аналогічні уразливостям в WP-ContactForm, про які я писав раніше. Але враховуючи, що в нових версіях WP покращили захисні фільтри, то я також адаптував атакуючий код до нових версій WordPress.

Easy Contact XSS.html

Easy Contact XSS-2.html

Easy Contact XSS-3.html

Easy Contact XSS-4.html

Уразливі Easy Contact 0.1.2 та попередні версії.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://l2bz.at.ua - інфекція була виявлена 11.03.2011. Зараз сайт не входить до переліку підозрілих.
• http://zavodnaya.at.ua - інфекція була виявлена 19.05.2011. Зараз сайт входить до переліку підозрілих.
• http://i.com.ua - інфекція була виявлена 19.05.2011. Зараз сайт не входить до переліку підозрілих.
• http://gm-portal.at.ua - інфекція була виявлена 10.05.2011. Зараз сайт входить до переліку підозрілих.
• http://torre.org.ua - інфекція була виявлена 15.05.2011. Зараз сайт не входить до переліку підозрілих.

06.05.2011

Виявлені численні уразливості безпеки в Mozilla Firefox, Seamonkey, Thunderbird.

Уразливі продукти: Mozilla Firefox 3.5, Firefox 3.6, Firefox 4.0, SeaMonkey 2.0, Thunderbird 3.1.

Численні пошкодження пам’яті, звертання по неініціалізованим вказівникам, витік інформації, виконання коду.

• Mozilla Foundation Security Advisory 2011-18 (деталі)
• Mozilla Foundation Security Advisory 2011-17 (деталі)
• Mozilla Foundation Security Advisory 2011-16 (деталі)
• Mozilla Foundation Security Advisory 2011-15 (деталі)
• Mozilla Foundation Security Advisory 2011-14 (деталі)
• Mozilla Foundation Security Advisory 2011-13 (деталі)
• Mozilla Foundation Security Advisory 2011-12 (деталі)

19.05.2011

Додаткова інформація.

• Mozilla Firefox OBJECT mChannel Remote Code Execution Vulnerability (деталі)
• Mozilla Firefox OBJECT mObserverList Remote Code Execution Vulnerability (деталі)
• Mozilla Firefox nsTreeRange Dangling Pointer Remote Code Execution Vulnerability (деталі)

Сьогодні пройшла конференція UISG та ISACA Kiev Chapter #6, на якій я виступив з доповіддю. В своїй доповіді я розповів про системи виявлення інфікованих веб сайтів (веб антивіруси).

Доповідь доступна в мене на сайті:

Системы выявления инфицированных веб сайтов

В своїй доповіді я розглянув наступні теми: Статистика інфікованості Уанету, Шляхи зараження веб сайтів, Методи боротьби з інфекцією на сайтах, Тестування систем виявлення інфікованих веб сайтів.

17.07.2010

У червні, 30.06.2010, я знайшов SQL Injection уразливість на проекті http://www.isfp.com.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше.

19.05.2011

SQL Injection:

http://www.isfp.com.ua/index.php?content_id=-1%20or%20version()%3E5

Дана уразливість досі не виправлена.

Виявлена можливість проведення DoS атаки проти Opera.

Уразливі версії: Opera 10.60.

Звертання по нульовому вказівнику при великому значенні SIZE у тезі SELECT.

• Opera : SELECT SIZE Arbitrary null write (деталі)

За повідомленням www.xakep.ru, хакер обнародував інформацію про взлом поліції.

Під час тестування рівня безпеки американського муніципального органа управління, Кевін Фіністер провів доволі цікавий взлом. Після сканування декількох ІP-адрес, використовуваних міським відділенням поліції, він незабаром виявив, що вони прямо зв’язані з Linux-пристроями, що знаходяться в поліцейських автомобілях. Використовуючи трохи більше, ніж FTP і telnet-команди, він підключився до автомобільного цифрового відеореєстратора, застосовуваному для запису і показу аудио і відео. І отримав пряму трансляцією з поліцейского авто.

За повідомленням hackzona.com.ua, хакери у Ванкувері. На конференції з комп’ютерної безпеки CanSecWest у Ванкувері в березні пройшов популярний конкурс хакерів Pwn2Own.

Apple MacBook з браузером Safari першим “здався” на змаганнях хакерів. У перший же день експерти успішно взломали браузери Safari та Internet Explorer 8. А от спроби взлому Chrome не увінчалися успіхом, попри те, що Google заснував додатковий приз у 20000 доларів тому, хто може знайти вразливість у системі.

Раніше я повідомляв про думку директора Tipping Point стосовно надійності браузерів. Яку він висловив стосовно результів останнього змагання хакерів Pwn2Own.

За повідомленням www.3dnews.ru, хакери змусили “Аерофлот” змінити платіжну систему.

В липні 2010 року відбувся цікавий інцедент. Практично цілий тиждень авіакомпанія “Аерофлот” не могла продавати в онлайні квитки через зупинку процесінгової системи Assist, викликаною хакерскою атакою. Як зазначив представник “Аерофлоту” - “Персональні дані клієнтів не постраждали, але оплачувати квитки через Інтернет було неможливо”. Що змусило “Аерофлот” змінити Assist на систему інтернет-платежів Альфа-банку.

Тобто DDoS атака на процесінгову систему призвела як до збитків у самої системи та її клієнтів, так і до того, що головний клієнт процесінгової системи пішов від неї. Що негативно вплинуло як на імидж компанії, так і на її подальші прибутки.

В даній добірці уразливості в веб додатках:

• HP Data Protector Manager v6.11 / NULL Pointer Dereference Remote Denial of Service Vulnerabilities (деталі)
• Orbis CMS Arbitrary Script Execution Vulnerability (деталі)
• Multiple XSS inj in Wernhart Guestbook (деталі)
• RSA, The Security Division of EMC, announces a fix for a potential security vulnerability in RSAR Authentication Client when storing secret key objects on an RSA SecurIDR 800 Authenticator (деталі)
• Multiple SQL injections in Wernhart Guestbook (деталі)
• Pandora FMS Authentication Bypass and Multiple Input Validation Vulnerabilities (деталі)
• SAP BusinessObjects Axis2 Default Admin Password (деталі)
• Multiple vulnerabilities in BugTracker.Net (деталі)
• Digitalus 1.10.0 Alpha2 Arbitrary File Upload vulnerability (деталі)
• CiscoWorks Common Services Arbitrary Code Execution Vulnerability (деталі)

25.03.2011

У січні, 29.01.2011, я знайшов SQL Injection, Full path disclosure, Abuse of Functionality та Insufficient Anti-automation уразливості в Cetera eCommerce (онлайн магазин). Які виявив на демо сайті розробників системи http://ecommerce-demo.cetera.ru.

Раніше я вже писав про уразливості в Cetera eCommerce.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам системи.

14.05.2011

SQL Injection (blind SQLi):

http://site/catalog/’+(version()=5.1)+’/ (200 при true, 404 при false)

http://site/’+(version()=5.1)+’/ (404 при true, 200 при false)

Full path disclosure:

http://site/’/

http://site/catalog/’/

http://site/account/’/

http://site/news/’/

http://site/vendors/’/

Abuse of Functionality:

В даних функціоналах можливий витік емайлів, що є логинами в системі.

http://site/account/recoverpassword/

http://site/account/recoverpassword/code/

Insufficient Anti-automation:

В даних двох функціоналах немає захисту від автоматизованих запитів (капчі).

Уразливі Cetera eCommerce 15.0 та попередні версії. SQLi та FPD стосуються лише версії 15.0, а AoF та IAA стосуються версії 15.0 та попередніх версій. Дані уразливості досі не виправлені.