Websecurity - Веб безпека

29.12.2009

У травні, 05.05.2009, я знайшов Cross-Site Scripting, SQL DB Structure Extraction та SQL Injection уразливості на проекті http://mycityua.com (онлайн ЗМІ). Про що найближчим часом сповіщу адміністрацію проекту.

Раніше я вже писав про уразливості на www.pk.kiev.ua (це попередній домен даного сайта).

Детальна інформація про уразливості з’явиться пізніше.

31.08.2010

XSS:

POST запит на сторінці http://mycityua.com/search/
"><script>alert(document.cookie)</script>В полях: Текст для поиска, Автор.

SQL DB Structure Extraction:

POST запит ‘” на сторінці http://mycityua.com/search/ в полі “Текст для поиска”.

SQL Injection:

POST запит на сторінці http://mycityua.com/search/ в параметрі categories.

Дані уразливості досі не виправлені.

19.06.2010

Виявлена можливість витоку інформації через mod_proxy_http в Apache.

Уразливі версії: Apache 2.2.

За певних умов відповідь сервера може бути відправлена іншому клієнту.

• httpd Timeout detection flaw (mod_proxy_http) (деталі)

29.08.2010

Додаткова інформація.

• Vulnerability in Apache (деталі)

У березні, 04.03.2010, вийшов PHP 5.3.2. В якому виправлено більше 70 помилок, в тому числі й чимало уразливостей. Даний реліз направлений на покращення стабільності та безпеки гілки 5.3.x.

Cеред секюріті покращень та виправлень в PHP 5.3.2:

• Покращена ентропія LCG.
• Виправлена валідація safe_mode всередині tempnam() коли шлях директорії не завершувався слешем (/).
• Виправлений можливий обхід open_basedir/safe_mode в розширенні session.
• А також додана підтримка SHA-256 і SHA-512 до функції crypt.
• Доданий захист для $_SESSION від пошкоджень та покращена перевірка “session.save_path”.
• Виправленні вибивання в функції crypt та в garbage collector.
• Виправлений збій в ldap_next_reference.

По матеріалам http://www.php.net.

В даній добірці експлоіти в веб додатках:

• vBulletin Denial Of Service Exploit (деталі)
• Safari 3.2.3 Arbitrary Code Execution PoC (деталі)
• SAP Business One 2005-A License Manager remote overflow PoC (деталі)
• Ipswitch WS_FTP 12 Professional Remote Format String 0day PoC (деталі)
• Safari 3.2.3 (Win32) JavaScript ‘eval’ Remote Denial of Service Exploit (деталі)

В серпні місяці Microsoft випустила 14 патчів. Що значно більше ніж у липні. Це найбільша кількість бюлетней по безпеці за всю історію вівторків патчів від Microsoft.

У серпневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 14 бюлетней по безпеці. Що закривають 34 уразливості в програмних продуктах компанії. В тому числі вісім патчів виправляють критичні уразливості, які дозволяють виконати довільний шкідливий код на віддаленому комп’ютері, а ще шість патчів мають “важливий” рейтинг.

Дані патчі стосуються таких продуктів Microsoft як операційні системи Windows XP, Windows Server 2003, Windows Vista, Windows 7, Windows Server 2008 R2, Internet Explorer, Silverlight та різні версії MS Office.

Зазначу, що в даний вівторок патчів не увійшов патч для уразливості, що дозволяла виконання коду через ярлики в Microsoft Windows, тому що вона була виправлена позачергово, ще до вівторка патчів.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, в тому числі web security (статті з Вікіпедії):

• Man in the Browser
• In-session phishing
• Computer insecurity
• Integer overflow
• Inter-protocol exploitation

11.01.2010

У травні, 16.05.2009, я знайшов Cross-Site Scripting уразливість на відомому проекті http://sourceforge.net. Причому persistent XSS. Про що найближчим часом сповіщу адміністрацію проекту.

Раніше я вже писав про уразливості на sourceforge.net.

Детальна інформація про уразливість з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

27.08.2010

XSS (persistent):

POST запит на сторінці http://sourceforge.net/community/cca09/nominate/
<script>alert(document.cookie)</script>В полі “Project Name”.

Код спрацює на декількох сторінках сайта sourceforge.net.

Дана уразливість вже виправлена.

У липні, 22.07.2010, вийшов PHP 5.2.14. В якому виправлено більше 60 помилок, в тому числі й чимало уразливостей. Даний реліз направлений на покращення стабільності та безпеки гілки 5.2.x.

Cеред секюріті покращень та виправлень в PHP 5.2.14:

• Переписаний var_export() для використання smart_str замість вихідної буферизацї, щоб не допустити витоки інформації при фатальних помилках.
• Виправлений можливий витік масиву преривань в strrchr().
• Виправлений можливий витік масиву преривань в strchr(), strstr(), substr(), chunk_split(), strtok(), addcslashes(), str_repeat(), trim().
• Виправлене можливе пошкодження пам’яті в substr_replace().
• Виправлені проблеми ансеріалізації SplObjectStorage.
• Виправлене можливе вичерпання стеку всередині fnmatch().
• Виправлений NULL pointer dereference при обробці некоректних запитів XML-RPC.
• Виправлена обробка серіалізації сесійних зміних на деяких символах.
• Виправлений можливий довільний доступ до пам’яті всередині розширення sqlite.
• А також оновлений PCRE до версії 8.02.
• Виправлені вибивання в iterator_to_array та при роботі з вказівниками.
• Виправлений витік пам’яті при запису в неініціалізовану змінну, що повернута з функції.
• Виправлені вибивання в __destruct() та debug_backtrace().
• Виправлене вибивання при роботі з iconv на MacOS.

По матеріалам http://www.php.net.

В даній добірці уразливості в веб додатках:

• Everfocus EDR1600 remote authentication bypass (деталі)
• eFront Multiple Parameter Cross Site Scripting Vulnerabilities (деталі)
• Core - Joomla! Multiple XSS Vulnerabilities in Back End Administrative Module Core Components (деталі)
• TwonkyMedia Server Multiple Cross-Site Scripting Vulnerabilities (деталі)
• SQL injection vulnerability in CuteSITE CMS (деталі)
• XSS vulnerability in CuteSITE CMS (деталі)
• XSRF (CSRF) in CuteSITE CMS (деталі)
• Jetty 6.x and 7.x Multiple Vulnerabilities (деталі)
• SQL injection vulnerability in boastMachine (деталі)
• squidGuard 1.3 & 1.4 : buffer overflow (деталі)

Сьогодні в мене день народження - мені виповнилося 27 років. З чим вас і себе поздоровляю .

Традиційно одним з перших мене поздоровив мій Palm. Але й деякі відповідальні люди також не забули це зробити.

В зв’язку з цією подією, я оновив SQL Injection ASCII Encoder. Після розміщення його в себе на сайті в 2008 році, я регулярно його оновлював (спочатку локальну версію, а потім і онлайн версію), щоб він ставав ще більш корисним і зручним інструментом при проведенні SQL ін’єкцій. І зараз я розмістив на сайті останню версію даного інструменту.