Websecurity - Веб безпека

В даній добірці експлоіти в веб додатках:

• ManageEngine ServiceDesk Plus 9.2 Build 9207 - Unauthorized Information Disclosure (деталі)
• Cgiemail 1.6 - Source Code Disclosure (деталі)
• Oracle BI Publisher 11.1.1.6.0 / 11.1.1.7.0 / 11.1.1.9.0 / 12.2.1.0.0 - XML External Entity Injection (деталі)
• Microsoft Internet Explorer 8/9/10/11 / IIS / CScript.exe/WScript.exe VBScript - CRegExp..Execute Use of Uninitialized Memory (MS14-080/MS14-084) (деталі)
• MOVISTAR BHS_RTA ADSL Router - Remote File Disclosure (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах CP Polls, Bulk Delete, SP Projects And Document Manager, WP Advanced Comment. Для котрих з’явилися експлоіти.

• WordPress CP Polls 1.0.8 Cross Site Request Forgery / Cross Site Scripting (деталі)
• WordPress CP Polls 1.0.8 Malicious File Download (деталі)
• WordPress Bulk Delete 5.5.3 Privilege Escalation (деталі)
• WordPress SP Projects And Document Manager 2.5.9.6 XSS / SQL Injection (деталі)
• WordPress WP Advanced Comment 0.10 Persistent Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Виявлені уразливості безпеки в Apple Safari і Webkit.

Уразливі продукти: Apple Safari 11.

Пошкодження пам’яті, виконання коду, дві підробки адресного рядку.

• APPLE-SA-2017-10-31-5 Safari 11.0.1 (деталі)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://hooligan8.at.ua - інфекція була виявлена 31.07.2017. Зараз сайт не входить до переліку підозрілих
• http://guanpro.com - інфекція була виявлена 11.08.2017. Зараз сайт не входить до переліку підозрілих
• http://000.at.ua - інфекція була виявлена 18.09.2017. Зараз сайт не входить до переліку підозрілих
• http://prof-xaker.at.ua - інфекція була виявлена 18.09.2017. Зараз сайт не входить до переліку підозрілих
• http://solocrd.zzz.com.ua - інфекція була виявлена 10.11.2017. Зараз сайт не входить до переліку підозрілих

В даній добірці уразливості в веб додатках:

• Certain HP Color LaserJet Printers, Remote Unauthorized Access, Denial of Service (DoS) (деталі)
• CollabNet Subversion Edge show local file inclusion (деталі)
• CollabNet Subversion Edge downloadHook local file inclusion (деталі)
• Reflected XSS, Code Execution in PivotX 2.3.10 (деталі)
• ZTE ZXDSL 831CII Direct Object Reference (деталі)

У жовтні, 18.10.2017, через півтора місяці після виходу Google Chrome 61, вийшов Google Chrome 62.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Виправлено 35 уразливості. З яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer, MemorySanitizer, Control Flow Integrity і LibFuzzer. Що значно більше ніж в попередній версії.

• Выпуск web-браузера Chrome 62 (деталі)

В статті Бекдори у веб додатках я писав стосовно впровадження бекдорів у веб додатки. А в попередній статті я розповів про основні шляхи потрапляння бекдору у веб додатки та навів приклади випадків впровадження бекдору у веб додатки та в відкриті операційні системи.

Серед них був забекдорений Social Media Widget для WordPress. Цей випадок трапився в квітні 2013 року. Цього року атаки через включення бекдорів у плагіни для WP значно активізувалися.

В плагіні Display Widgets для WP, що має понад 200000 інсталяцій, виявили бекдор. Спочатку код для розміщення спаму на сайтах з плагіном виявили в липні 2017 року. Плагін кілька разів видаляли з каталогу WordPress, розробник “виправляв його” і випускав нову версію, що повертали в каталог, але через деякий час плагін знову починав поширювати спам. І в ньому знову знаходили бекдор. 8 вересня його остаточно заблокували в каталозі та зробили повернення на кодову базу 2.0.5, останню версію до продажу. Все це почалося саме після продажу плагіну новому власнику.

В плагіні Captcha для WP, що має 300000 інсталяцій, виявили бекдор. Цей плагін також був куплений тією самою людиною, що і Display Widgets, й новий власник, почекавши три місяці, додав у нього бекдор. Нова версія плагіна була розміщена в каталозі 4 грудня, а коли виявили бекдор, то її заблокували в каталозі та зробили повернення на стару кодову базу.

Схоже, що це новий тренд. Окрім взлому сайтів для розміщення бекдорів, у тому числі в коді движка чи плагінів, а також випуску “липових плагінів” з бекдором, тепер поширення набув метод купівлі популярних плагінів, щоб пізніше додати в них бекдор. В своїх статтях в 2012-2013 роках я наголошував на цьому.

У попередній статті я навів перелік програм для пошуку бекдорів, серед них є й плагіни для WordPress. Також нагадаю, що в грудні 2012 року я розробив приклад простого веб додатку з вбудованим бекдором - Backdoored Web Application. Він призначений для перевірки систем пошуку бекдорів. Ознайомтеся з моїм тестуванням сканерів бекдорів серед плагінів для WordPress. Раджу власникам сайтів, зокрема на WordPress, перевіряти їх такими сканерами.

28.01.2017

У грудні, 26.12.2016, я знайшов Brute Force та Cross-Site Request Forgery уразливості в TP-Link TL-WR841N і TL-WR841ND. Це Wireless Router і AP. Обидві модифікації даної моделі (в N антени незнімні, а в ND антени знімні) мають однакову прошивку.

Раніше я писав про уразливості в мережевих пристроях даної компанії, зокрема в TP-Link TL-WR941ND. Також писав про уразливості в D-Link DGS-3000-10TC.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам пристрою.

16.12.2017

Brute Force (WASC-11):

http://192.168.0.1

За замовчуванням доступ через Інтернет закритий, тому підбирати пароль можна лише по LAN. Але через CSRF атаку можна відкрити віддалений доступ.

Cross-Site Request Forgery (WASC-09):

В розділі “Remote Control”.

Заборонити доступ через Інтернет: http://192.168.0.1/YVNLOORCJBATZQDB/userRpm/ManageControlRpm.htm?port=80&ip=0.0.0.0&Save=1

Дозволити доступ через Інтернет: http://192.168.0.1/YVNLOORCJBATZQDB/userRpm/ManageControlRpm.htm?port=80&ip=255.255.255.255&Save=1

Для обходу захисту потрібно вказати заголовок Referer та шлях (YVNLOORCJBATZQDB), що змінюється кожного разу при вході в адмінку. Цей шлях можна дізнатися через витік інформації, соціальну інженерію чи XSS уразливості в адмінці. В старих версіях не було цього захисту.

Cross-Site Request Forgery (WASC-09):

Вибивання з адмінки через запит до сторінки http://192.168.0.1.

<img src=”http://192.168.0.1″>

Уразлива версія TP-Link TL-WR841N і TL-WR841ND, Firmware Version 3.16.9 Build 151216. Дана модель з іншими прошивками також повинна бути вразливою.

В даній добірці експлоіти в веб додатках:

• Cisco Firepower Threat Management Console 6.0.1 - Local File Inclusion (деталі)
• AVTECH IP Camera / NVR / DVR Devices - Multiple Vulnerabilities (деталі)
• RSA Enterprise Compromise Assessment Tool 4.1.0.1 - XML External Entity Injection (деталі)
• PCMan FTP Server 2.0.7 - ‘SITE CHMOD’ Remote Buffer Overflow (деталі)
• Acoem 01dB CUBE/DUO Smart Noise Monitor - Password Change (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах WP Ultimate Exporter, Import Woocommerce, WP Ultimate Exporter, More Fields, GravityForms. Для котрих з’явилися експлоіти.

• WordPress WP Ultimate Exporter 1.0 Cross Site Scripting (деталі)
• WordPress Import Woocommerce 1.0.1 Cross Site Scripting (деталі)
• WordPress WP Ultimate Exporter 1.0 / 1.1 SQL Injection (деталі)
• WordPress More Fields 2.1 Cross Site Request Forgery (деталі)
• WordPress GravityForms 1.9.15.11 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.