Websecurity - Веб безпека

Компанія Mozilla представила сервіс, що перевіряє плагіни для браузера Firefox на сумісність і відсутність відомих уразливостей.

Сервіс стартував у вівторок на веб сторінці, де 15 плагінів для Firefox перевіряються на наявність самих останніх версій. Згодом розробники Mozilla планують додавати нові плагини, а також впровадити в Firefox 3.6 функцію, що дозволяє визначати, версії яких плагінів, що використовуються на поточній сторінці, вже застаріли.

Нова розробка заснована на представленій минулого місяця функції, що повідомляє користувачів Firefox про те, що вони використовують небезпечну версію плагіна Adobe Flash, що часто піддається атакам. По статистиці Mozilla, більше половини користувачів, що встановили нову версію браузера, використовували застарілий варіант цього плагіна.

По матеріалам http://www.xakep.ru.

02.09.2009

У січні, 19.01.2009, я знайшов Insufficient Anti-automation та Abuse of Functionality уразливості в компоненті ALFcontact (com_alfcontact) для Joomla. Це форма відправки повідомлень власнику сайта. Дані уразливості я виявив на одному веб сайті. Про що найближчим часом повідомлю розробникам.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам веб додатка.

16.10.2009

Insufficient Anti-automation:

http://site/option,com_alfcontact/

На сторінці контактів немає захисту від автоматизованих запитів (капчі).

Abuse of Functionality:

http://site/option,com_alfcontact/

Опція “Send copy to own email address” на сторінці контактів дозволяє розсилати спам з сайта.

Уразливі різні версії ALFcontact. До першої дірки уразливі старі версії, до ALFcontact 1.8 в якій з’явилася капча (у випадку якщо вона активована), а до другої дірки вразливі всі версії.

Розробник ALFcontact для Joomla пообіцяв виправити дані та інші уразливості в даному компоненті.

В даній добірці експлоіти в веб додатках:

• Diskos CMS Manager (SQL/DB/Auth Bypass) Multiple Vulnerabilities (деталі)
• BandSite CMS 1.1.4 (members.php memid) SQL Injection Vulnerability (деталі)
• Sami HTTP Server 2.x (HEAD) Remote Denial of Service Exploit (деталі)
• Check Point Firewall-1 PKI Web Service HTTP Header Remote Overflow (деталі)
• Amaya 11.1 W3C Editor/Browser (defer) Stack Overflow PoC (деталі)
• Gravy Media CMS 1.07 Multiple Remote Vulnerabilities (деталі)
• NOKIA Siemens FlexiISN 3.1 Multiple Auth Bypass Vulnerabilities (деталі)
• X-Forum 0.6.2 Remote Command Execution Exploit (деталі)
• JobHut <= 1.2 (pk) Remote SQL Injection Vulnerability (деталі)
• Family Connection 1.8.1 Multiple Remote Vulnerabilities (деталі)
• Amaya 11.1 W3C Editor/Browser (defer) Stack Overflow Exploit (деталі)
• Community CMS 0.5 Multiple SQL Injection Vulnerabilities (деталі)
• Podcast Generator <= 1.1 Remote Code Execution Exploit (деталі)
• VirtueMart <= 1.1.2 Remote SQL Injection Exploit (meta) (деталі)
• Comersus Shopping Cart <= v6 Remote User Pass Exploit (деталі)

05.09.2009

Нещодавно я писав про переповнення стека в Microsoft IIS 5.0 та 6.0. Після якої була виявлена нова уразливість в IIS.

Вчора була виявлена Denial of Service уразливість у вбудованому FTP сервері в Microsoft IIS. Для даної уразливості був розроблений експлоіт.

Уразливі версії: Microsoft IIS 5.0, IIS 6.0.

• Microsoft IIS 5.0/6.0 FTP Server (Stack Exhaustion) Denial of Service (деталі)

15.10.2009

Додаткова інформація.

• Important Vulnerabilities in FTP Service for Internet Information Services Could Allow Remote Code Execution (975254) (деталі)
• Microsoft Internet Information Server ftpd zeroday (деталі)

Компанія Google розробила нову функцію, що надає веб-майстрам скомпрометованих ресурсів зразки шкідливого коду й іншу деталізовану інформацію, що дозволяє позбутися інфекції.

Пошуковий гігант уже довгий час сканує сторінки Всесвітньої павутини, що він індексує, на наявність шкідливих програм. У випадку їхнього виявлення він вставляє попередження про це в результати пошуку. Крім того, дана інформація надходить у браузери Google Chrome, Mozilla Firefox і Apple Safari, що повідомляють своїх користувачів про наявність загрози зараження ще більш наполегливо. Крім цього, списки інфікованих сторінок відправляються адміністраторам сайтів, щоб вони змогли ужити відповідних заходів.

Тепер Google починає постачати веб-майстрам ще більш детальну інформацію, надаючи їм зразки шкідливого коду, що хакери використовують для впровадження у веб-сторінки. Іноді новий сервіс дозволяє навіть виявити першопричину зараження. Адміністратори скомпрометованих сайтів будуть одержувати інформацію автоматично після авторизації в Google Webmaster Tools.

В останні роки результати різних досліджень свідчать про те, що джерелом зараження більшістю шкідливих програм є цілком законні сайти, що були взломані. Тому можливість вивчити небезпечні JavaScript, HTML-код і експлоіти для Adobe Flash разом з точною вказівкою місця їхнього впровадження важко переоцінити.

По матеріалам http://www.xakep.ru.

В даній добірці уразливості в веб додатках:

• Security flaw in Airtel DSL modems (деталі)
• PHP-Fusion Mod Members Bewerb Sql Injection (деталі)
• Cisco Secure ACS EAP Parsing Vulnerability (деталі)
• Cisco Secure ACS Denial Of Service Vulnerability (деталі)
• Comersus Shopping Cart <= v6 Remote User Pass Exploit (деталі)
• Visuplay CMS SQL injection vulnerability (деталі)
• AktifKobi Kurumsal Web Sql Injection Vulnerability (Tr) (деталі)
• Vulnerabilities in Active Bids (деталі)
• DMXReady Blog Manager (SQL/XSS) (деталі)
• Multiple Vulnerabilities in MKPortal <= 1.2.1 (деталі)

У лютому, 16.02.2009, я знайшов Cross-Site Scripting уразливість на проекті http://moemesto.ru (це сервіс онлайн закладок). Про що найближчим часом сповіщу адміністрацію проекту.

XSS:

• alert(document.cookie)
• цікавий

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://casinoalmaz.com (хакером milano) - 28.09.2009, зараз сайт вже виправлений адмінами
• http://www.onko.kiev.ua (хакером Bejamz) - 07.10.2009, зараз сайт вже виправлений адмінами
• http://globalannex.com (хакерами з KTN)
• http://ua-hack.com (хакером AyMaN Opel) - 09.10.2009 - хакерський сайт був похаканий , зараз сайт вже виправлений адмінами
• http://smagin.com.ua (хакером Dietime)

Компанією Visa опубліковані рекомендації із шифрування так званих “полів даних” (здійснення наскрізного шифрування). Текст рекомендацій містить ряд порад, що допомагають захистити термінали від взлому, зокрема використовувати довгі криптографічні ключі. Крім того, Visa призиває власників карт завжди шифрувати дані.

Шифруванням полів даних передбачається використання методів, що забезпечують передачу інформації про банківську карту прямо з клієнтського пристрою в пристрій, що займається обробкою зашифрованої інформації. Даний підхід повинний забезпечувати дотримання діючих стандартів безпеки PCI DSS. Нові рекомендації вимагають, щоб важлива аутентифікаційна інформація (така як, номера PIN чи CVV2) використовувалася лише при авторизації, не зберігаючись в комп’ютері торгової точки.

Варто відмітити, що систему стандартів у цій сфері лише почали розробляти, але компанія Visa намагається знайти способи, що стимулюють усіх зайнятих у торгівлі бізнесменів переходити на них. Зробити це можливо через зниження зборів за процесінгові послуги самим свідомим, а також накладення штрафів на тих, що допускають витік секретних відомостей.

По матеріалам http://itua.info.

В даній добірці експлоіти в веб додатках:

• DirectAdmin <= 1.33.1 Symlink Permission Bypass Vuln (untested) (деталі)
• WeBid 0.7.3 RC9 (upldgallery.php) Remote File Upload Vulnerability (деталі)
• PHPizabi v0.848b C1 HFP1-3 Remote Arbitrary File Upload Exploit (деталі)
• blogplus 1.0 Multiple Local File Inclusion Vulnerabilities (деталі)
• PhotoStand 1.2.0 Remote Command Execution Exploit (деталі)
• Acute Control Panel 1.0.0 (SQL/RFI) Multiple Remote Vulnerabilities (деталі)
• XM Easy Personal FTP Server <= 5.7.0 (NLST) DoS Exploit (деталі)
• Free PHP Petition Signing Script (Auth Bypass) SQL Injection Vuln (деталі)
• Simply Classified 0.2 (category_id) SQL Injection Vulnerability (деталі)
• Arcadwy Arcade Script (username) Static XSS Vulnerability (деталі)
• Moodle < 1.6.9/1.7.7/1.8.9/1.9.5 File Disclosure Vulnerability (деталі)
• My Simple Forum 7.1 (LFI) Remote Command Execution Exploit (деталі)
• glFusion <= 1.1.2 COM_applyFilter()/order SQL Injection Exploit (деталі)
• Arcadwy Arcade Script (Auth Bypass) Insecure Cookie Handling Vuln (деталі)
• iWare CMS 5.0.4 Multiple Remote SQL Injection Vulnerabilities (деталі)