Capn3m0 WebSecurity

Per chi non avesse ancora aggiornato Joomla all’ultima versione 1.5.15 segnalo l’ennesima vulnerabilità trovata nelle versioni precedenti.

Questa volta si tratta di una Remote Command Execution che sfruttando una vulnerabilità dell’utilizzatissimo TinyMCE permette di uploadare file che, teoricamente, dovrebbero essere proibiti. La vulnerabilità è stata scoperta dall’italiano Luca “daath” De Fulgentis che ha illustrato nel dettaglio l‘exploit nel suo blog.

Dal sito di Offensive-Security, che andrà a sostituire il noto Milw0rm, ormai chiuso, è possibile scaricare l’exploit Php che consente di uploadare qualsiasi tipo di file semplicemente eseguend l’exploit php dalla propria shell.

[...]

Lo scorso 13 Novembre Stuart Udall ha segnalato una nuova vulnerabilità per il noto ma allo stesso tempo abbandonato osCommerce RC 2.2 che consente di accedere ad alcune sezioni dell’Area Amministrativa senza aver bisogno di alcuna login e password.

Come potrete verificare personalmente tramite questo Proof Of Concept basterà richiamare l’url dell’Area Admin con una particolare sintassi e il gioco è fatto e si potranno visionare gli ordini, i clienti, le email.

Già verso agosto fu scoperta una grave falla nel meccanismo di autenticazione che consentiva, tramite opportune interrogazioni HTTP (http request) di eseguire comandi lato server e, sfruttando alcuni file dell’osCommerce stesso,  di uploadare file, shell etc.

Per maggiori informazioni circa questa vulnerabilità andate a questo link.

Per quanto riguarda la falla di cui vi parlo oggi vi illustro di seguito come sfruttarla e quali informazioni si possono ottenere. Per prima cosa è necessario trovare un “sito vittima“  e per fare questo ci viene incontro, ancora una volta, Google!

[...]

Ieri avevo dato notizia del rilascio della versione 2.8.6 di WordPress che risolveva due falle di sicurezza.

La notizia non era molto dettagliata poiché la vulnerabilità era stata annunciata molto genericamente come una vulnerabilità che permetteva di “aggirare le limitazioni ai nomi dei file in determinate configurazioni Apache”. Ora che è stata patchata, come spesso accade, iniziano a trovarsi maggiori informazioni e Proof of Concept.

In realtà la vulnerabilità permette di uploadare file bypassando il controllo della tipologia di file e permettendo, quindi, di uploadare script php e similari che possono poi essere richiamati da colui che attacca. Affligge tutte le versioni inferiori alla 2.8.5 (compresa) perciò provvedete quanto prima ad aggiornare il vostro blog.

[...]

Dopo il tanto parlare degli ultimi giorni circa la possibilità che gli attacchi hacker avvenissero grazie a falle presenti in WordPress 2.8.5, rilasciato neanche un mese fa, è stata appena annunciata la security release 2.8.6 che contiene due importati fix di sicurezza.

La prima è una vulnerabilità del componente “Press This” (Pubblicalo in italiano) scoperta da Benjamin Flesch che permetteva di eseguire XSS (Cross Site Scripting) agli utenti registrati con privilegi di pubblicazione.

La seconda, invece, è stata scoperta da Dawid Golunski e consentiva di aggirare le limitazioni ai nomi dei file in determinate configurazioni Apache.

In attesa della versione WordPress 2.9 consiglio a tutti di provvedere ad aggiornare la propria versione tramite la funzione di “Aggiornamento Automatico” che verrà suggerita non appena entrerete nella vostra Bacheca.

PREMESSA

Il 9 febbraio scorso nel post titolato “18446744073709551615 – Un nuovo hack in arrivo?” avevo descritto un hacking che stava avvenendo in centinaia di siti di hosting italiani e stranieri che non aveva un apparente denominatore comune.

Infatti all’epoca non si spiegava se venivano sfruttate vulnerabilità dell’applicativo in uso sul proprio dominio (in Rete in questi ultimi giorni c’è un gran parlare sulla possibilità che sia WordPress la causa) o se si trattasse di uno stealing di account ma alla luce di quanto analizzato a febbraio e quanto analizzato in questi giorni vi sono in rete diverse “testimonianze” di siti hackerati che con molta probabilità non hanno vulnerabilità in quanto basati su semplici pagine html statiche.

Alcune “vittime” mi han contattato privatamente e mi hanno fornito informazioni per poter delineare meglio questo hack.

Ricordo a chi legge questo Blog per la prima volta che nel post precedente chiamato volutamente “Un nuovo hack in arrivo?” segnalavo come le azioni di febbraio apparivano più come un “giro di test” che come un’azione a fini malevoli quale è, invece, in questi giorni. A febbraio numerosi siti subirono un hack atipico poiché i siti vittima non venivano alterati o infettati da virus/trojan ma, semplicemente, mostravano il numero “18446744073709551615” a pié di pagina e nel codice si poteva individuare la dichiarazione di una funzione dal nome “ob_start(“security_update”)“. Questo, dal mio punto di vista, poteva essere interpretato come un marcatore tramite il quale chi attacca può farsi un’idea di quanti potenziali vittime potrebbe colpire.

[...]