Уязвимости и дыры

Алексей Комолов (С.-Петербург)

Обнаружена уязвимость в Microsoft, Twitter, LinkedIn и Yahoo

Исследователь безопасности Риши Наранг (Rishi Narang) обнаружил уязвимость (описание на английском: https://www.wtfuzz.com/blogs/old-cookies-die-hard/), которую злоумышленники могут использовать для взлома учетных записей пользователей Microsoft, Twitter, LinkedIn и Yahoo. По словам эксперта, уязвимость, которая может позволить проведение атак фиксации сессии, вызвана ошибкой в управлении сессионными cookie.

Если злоумышленники перехватят авторизационные cookie, они могут использовать их для взлома учетных записей, поскольку после истечения срока их действия cookie все равно остаются валидными, даже если пользователь завершил работу с сайтом.

По словам Наранга, авторизационный ID сессии доступен даже после ее завершения. Эксперт также сообщил, что имеются примеры, когда cookie доступны для взлома авторизированных сессий, причем этим cookie уже несколько дней или даже месяцев. В итоге, злоумышленники могут получить доступ к учетным записям пользователей, и даже если они будут многократно заходить в свои аккаунты и выходить из них, cookie будут оставаться действительными.

Риши Наранг добавил, что уязвимость не затронула учетные записи в Google и Facebook.

Пользователи Java-плагинов все еще в большой опасности

Согласно данным секьюрити-вендора Websence, большинство браузеров с установленным Java-плагином уязвимы как минимум перед одним набором эксплоитов, применяемых для реализации ряда распространенных веб-атак. В Websence говорят, что использовали собственную аналитическую сеть, отслеживающую миллиарды веб-запросов от нескольких миллионов конечных пользовательских компьютеров. Сеть способна детектировать версии Java, установленные в системе, а также браузеры, с которыми она работает.

По данным последней телеметрии, лишь 5,5% пользователей имеют последнюю версию Java и последнюю версию используемого браузера в системе (Java 7 Update 17 или Java 6 Update 41), однако даже для этих версий Java в сети уже продаются эксплоит-киты, позволяющие использовать пока не закрытые дыры в программном обеспечении.

Согласно информации Websence, значительная часть эксплоитов есть в наборе Cool Exploit Kit, часто применяемый злоумышленниками для атак типа Drive-by и последующего заражения компьютеров вредоносными кодами. Cool Exploit Kit распространяется по подписке ценой 10 000 долларов в месяц, что позволяет предположить, что не так уж много ИТ-злоумышленников используют его.

В Websence также установили, что 71% Java-поддерживающих браузеров уязвимы и перед более старыми атаками. По крайней мере четыре эксплоит-кита — RedKit, CritXPack, Gong Da и Blackhole 2.0 — позволяют атаковать более старые дыры в Java. Кроме того, 75% браузеров имеют Java-плагины, выпущенные более полугода назад. А две трети из этого числа — более года назад.

Серьезная уязвимость в Apple iMessage

Ряд пользователей системы обмена сообщениями Apple iMessage стали жертвами ранее неизвестной хакерской атаки, когда их системы iMessage были заполнены сотнями случайных сообщений от неизвестных отправителей.

Атака работает на базе Mac OS X и iOS. Специалисты по информационной безопасности говорят, что флуд продолжается до тех пор, пока программа просто не «падает» в системе. По данным сайта The Next Web, атака пока не получила широкого распространения и пока затронула сравнительно небольшую группу разработчиков Apple, которые сообщают, что получили тысячи мусорных сообщений.

По неподтверденным данным, проблема с флудингом кроется во взломанных через джейлбрейки версиях iOS, которые открывают ряд данных, необходимых для отправки сообщений другим пользователям через сервис передачи Apple. Получив открытый доступ к системе, пользователь-злоумышленник также может подделывать электронный адрес отправителя, чтобы было невозможно установить отправителя и блокировать его в будущем.

В самой Apple подтвердили, что находятся в курсе ситуации и в ближайшее время предоставят больше технических подробностей о проблеме. Напомним, что технически iMessage представляет собой проприетарную систему Apple для обмена сообщениями между пользователями Mac и iOS. Apple позиционирует iMessage как замену SMS-сервису.

Впервые iMessage появился в iOS 5.0 и Mac OS X начиная с версии 10.8 Mountain Lion. Сейчас пользователи ежедневно отправляют около 2 млрд сообщений iMessage. Согласно информации The Next Web, в сети существует эксплоит, который можно использовать через AppleScript для работы с iMessage.

Критически опасная уязвимость В DNS-сервере BIND

Уязвимость в популярном программном обеспечении BIND, используемом для создания серверов доменных имен, позволяет полностью обрушить работу системы и даже затронуть другие сервисы, работающие на том же оборудовании. С таким заявлением в пятницу выступили разработчики из ISC (Internet Systems Consortium), ведущие разработку BIND.

ISC представляет собой некоммерческую организацию, занимающуюся созданием BIND уже на протяжении многих лет. Здесь сообщили, что уязвимости подвержены только те версии BIND, что ориентированы на работу в Unix/Linux-системах, тогда как Windows-вариант BIND не подвержен данной проблеме.

Согласно обнародованной информации, уязвимость кроется по данным разработчиков, в системе обработки регулярных выражений, за которые отвечает библиотека libdns, входящая в BIND. Уязвимы оказываются версии BIND 9.7.x, 9.8.0 — 9.8.5b1 и 9.9.0 — 9.9.3b1. Отметим, что все основные вендоры коммерческих Linux- и Unix-систем оперативно выпустили экстренные исправления для DNS-сервера.

По словам специалистов, опасность данной уязвимости заключается в том, что BIND на сегодня является самым популярным DNS-сервером, а для Unix/Linux-систем он вообще является стандартом де-факто. Также BIND используют Solaris, Mac OS X и FreeBSD.

Уязвимость можно использовать путем отправки специально сконструированных запросов, которые вынуждают демон BIND выйти за пределы отведенной памяти и провоцируют крах сервера с последующим доступом к другим данным на атакуемом сервере. ISC отмечает, что данный баг является критически опасным и ему подвержены как авторитативные, так и рекурсивные DNS-серверы.

Как сообщили в ISC, если у пользователя нет возможности обновить BIND из новых исходников, доступных на сайте производителя, ему необходимо запретить использование регулярных выражений, вручную отредактировав файл config.h согласно инструкциям, доступным по адресу <a href=»https://kb.isc.org/article/AA-00879″>https://kb.isc.org/article/AA-00879</a>

Версии BIND 7.x также подвержены уязвимости, но они не исправлены, так как больше не поддерживаются, версии BIND 10.x не подвержены уязвимости, но пока сам разработчик не рекомендует работу с ними на рабочих серверах.

В ISC уже сообщили, что им известно об атаках на серверы BIND, используемых на реальных серверах. В компании Arbor Networks, оказывающей защиту от DDoS-атак, также говорят об известных им случаях атак и призывают как можно быстрее обновиться.

В PostgreSQL устранены опасные уязвимости

Как сообщили разработчики системы управления базами данных (СУБД) PostgreSQL, в версиях 9.2.4, 9.1.9, 9.0.13 и 8.4.17 было устранено 5 уязвимостей, одна из которых оказалась критической.

Наиболее опасная уязвимость — СVE-2013-1899 – обнаружена в версиях 9.x и позволят отправить специально оформленный запрос на присоединение к серверу в котором фигурирует имя базы, начинающееся с символа «-» и спровоцировать повреждение файлов в директории с данными PostgreSQL.

Для проведения атаки злоумышленникам достаточно получить доступ к сетевому порту PostgreSQL.

Уязвимость может быть проэксплуатирована тремя различными способами:

  • Злоумышленник добавляет ошибку PostgreSQL в хвост существующих файлов в директории «data», что может привести к аварийномуу завершению работы СУБД и невозможности перезапуска без ручного удаления добавленного к файлам «хвоста».
  • Если хакер владеет учетной записью в СУБД и его логин совпадает с именем базы данных, он может повысить свои привилегии, при помощи установки переменной конфигурации, дающей ему права суперпользователя в СУБД.
  • Если хакер получил доступ к СУБД и у него есть возможность сохранить файл в файловой системе сервера, он может выполнить произвольный код на сервере.

Обновление системы также исправляет несколько ошибок, влияющих на стабильность ее работы, в том числе серию проблем в управлении индексами GiST, что может потребовать выполнения операции REINDEX для подобных индексов.

Способ обхода паролей в документах MS Office 2007/2010

После того, как облачный сервис Password-Find оказался способным обойти пароль документов Word, Excel и PowerPoint Microsoft Office 97-2003, компания Microsoft попыталась устранить уязвимости в следующей версии продукта 2007/2010, однако создатели Password-Find представили новый механизм обхода пароля. Новый алгоритм позволяет скомпрометировать даже документы с новым уровнем защиты.

По данным разработчиков механизма, метод работает более чем с половиной защищенных паролем MS Office 2007/2010 документов.

Для того, чтобы разблокировать документ, пользователю достаточно посетить ресурс проекта — www.password-find.com – и, использовав простой интерфейс, загрузить документ на сайт.

Служба работает по принципу «плати за результат», поэтому сначала можно проверить результат, а потом платить за услугу.

Если разблокировка прошла успешно, система показывает начало документа. Возможность скачать весь документ заказчик получает после оплаты стоимости услуги в размере $ 19,95.

В случае, если система не может открыть заблокированный документ, центр обработки данных предлагает альтернативный поход к разблокировке файла. Кроме того, пользователь может приобрести лицензию на поиск пароля, который использовался центром не только для того, чтобы разблокировать документ, но и для того, чтобы восстановить первоначальный пароль, которым был защищен документ. Такая лицензия стоит $39.95 за один документ.

Критически опасный баг в популярном мессенджере Viber

Критически опасная уязвимость был обнаружена в популярном Android-приложении для обмена сообщениями Viber. На сегодня система сообщения Viber для Android была загружена более 100 млн раз и потенциально все эти пользователи подвержены уязвимости, открывающей доступ к устройству. На сегодня Viber совместим со множеством моделей аппаратов Samsung, Sony, HTC, LG и Motorola.

Согласно сообщению компании Bkav Internet Security, конкретная техника атаки на Viber отличается от модели к модели, однако в каждом случае система может быть взломана и это приводит к удаленному доступу к пользовательским данным. В компании Viber Media подтвердили наличие критического бага и заявили, что работают над исправлением, которое будет доступно на следующей неделе.

Как говорят специалисты по безопасности данных, проблема в мессенджере кроется в системе всплывающих уведомлений, которые присутствуют в Android-версии и которые, в принципе, можно отключить. Удобство работы с программой это снизит, но временно позволит поднять безопасность. В Viber необходимо заблокировать функцию New Message Pop-Up, отвечающую за всплывающие данные.

Уязвимость в обновленной Java снова используется злоумышленниками

Уязвимость в недавно обновленной Java, позволяющая удаленное выполнение кода, снова была использована киберпреступниками для осуществления массовых атак с целью инфицирования систем ПО, посредством метода запугивания (scareware).

Уязвимость CVE-2013-2423 является одной из 42 брешей в Java 7 Update 21, выпущенной 16 апреля текущего года. Oracle сообщила, что уязвимость затронула только клиент Java, но не сервер. Согласно Единой системе оценки уязвимостей (Common Vulnerability Scoring System, CVSS), критичность уязвимости получила оценку 4,3 из 10. По словам экспертов, эта уязвимость может быть использована только через ненадежные приложения Java Web Start и Java-апплеты.

Независимый исследователь Kafeine сообщил, что, несмотря на низкую оценку CVSS, эксплоит для CVE-2013-2423 является составной частью набора эксплоитов Cool Exploit Kit, используемого для установки вредоносного ПО Reveton. Это программное обеспечение используется злоумышленниками для вымогательства денег у пользователей. Reveton блокирует операционную систему на зараженном компьютере, а затем требует денег за ее восстановление.

Исследователи финской компании безопасности F-Secure также подтвердили активное использование уязвимости. Эксперты отметили, что злоумышленники начали использовать CVE-2013-2423 на следующий день после того, как эксплоит был добавлен в Metasploit Framework. Этот случай оказался первым, когда злоумышленники использовали модули эксплоита из Metasploit Framework в создании инструментов для осуществления атак.

Опасная уязвимость в кеширующих плагинах для WordPress

Исследователь ИБ Френк Гусен (Frank Goosen) опубликовал подробности уязвимости в популярных плагинах для кеширования страниц WordPress – WP Super Cache и W3 Total Cache, насчитывающих более 6 млн загрузок.

Обнаруженная исследователем уязвимость позволяет злоумышленнику внедрить и выполнить произвольный PHP код на целевой системе с привилегиями Web-сервера.

Уязвимые версии:

WP Super Cache 1.2 и более ранние

W3 Total Cache 0.9.2.8 и более ранние

Для успешной эксплуатации уязвимости на сайте должен присутствовать парсер динамических сниппетов. Злоумышленник может опубликовать комментарий к публикации, содержащий PHP код, который будет преобразован с помощью парсера и выполнен на системе.

Для устранения уязвимости установите последнюю версию плагинов WP Super Cache 1.3.1 или W3 Total Cache 0.9.2.9. В качестве временного решения можно отключить динамические сниппеты.

С подробным описанием уязвимостей можно ознакомиться по адресам:

http://www.securitylab.ru/vulnerability/439817.php

http://www.securitylab.ru/vulnerability/439824.php

Опасная уязвимость в Adobe Reader

Согласно сообщению исследователей безопасности из McAfee, в программном решении Reader от Adobe, предназначенном для работы с PDF-файлами, была обнаружена опасная уязвимость, позволяющая злоумышленникам переадресовать пользователя на произвольный web-сайт.

В McAfee подчеркивают, что брешь не является критической и не позволяет осуществить удаленное выполнение кода, но все же позволяет собирать критически важные данные, что может привести к довольно серьезным последствиям. В связи в этим исследователи не стали публично раскрывать всех подробностей уязвимости до выхода официального исправления. Вся необходимая информация уже была передана в Adobe.

По словам экспертов антивирусной компании, брешь заключается в том, что переход по ссылке в PDF-файле, ведущей в другую часть документа, приводит к вызову JavaScript API. Это позволяет потенциальному злоумышленнику переадресовать пользователя на произвольный web-сайт, предварительно замаскировав URL-адрес в гиперссылке.

Кроме того, путем неизвестных манипуляций с определенными связанными с ссылками параметрами, атакующие могут осуществлять сбор данных об атакуемой системе.

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *

Можно использовать следующие HTML-теги и атрибуты: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <strike> <strong>