Два слова о MS13-072/MS13-073

Microsoft недавно выпустил патчи MS13-072 и MS13-073, которые закрывают уязвимости XML External Entities Resolution CVE-2013-3159 и CVE-2013-3160, также известные как XXE OOB . Детали и инструменты для работы с подобными уязвимостями обсуждались в докладе Тимура Юнусова и Алексея Осипова XML Out-Of-Band Data Retrieval на Black Hat Talk этой весной .

Ставьте патчи, используйте XXOETA будьте счастливы.

Брюс Шнайер: Вот почему новый рынок уязвимостей так опасен...

http://www.schneier.com/crypto-gram-1206.html#1

Целиком и полностью поддерживаю, о чем писал ранее: http://sgordey.blogspot.com/2012/03/blog-post_24.html

Именно поэтому на PHDays hack2own мы фактически платим за Responsible Disclosure (http://digit.ru/it/20120601/392236598.html). Понятно, что Positive Technologies не NSA, бюджеты не те... Но так хочется сделать мир немного безопасней. 


Не удержался, перевел.

Позитив на ZeroNights

Вчера вернулись ударной группой Positive Technologies из Питера, где проходила конференция ZeroNights организованной Digital Security под брендом питерской группы Defcon. Спешу поделиться впечатлениями.

Самое интересное, как это и положено в России, началось где-то между Москвой и Петербургом. Как оказалось, в поезде далеко не только мы ехали в Питер по делам нашим хакерским, и несколько часов в ресторане вполне могут быть обозначены как выездное заседание  хакерской конференции (впишите название на свой вкус). 

Мною, специально для создания железнодорожного антуража была припасена литрушечка креазотного односолодового Ardbeg. Это позволило, подняв силу духа на непревзойденную высоту, обсудить с D0znpp вопросы ИБ-стартапов в России и перспективы развития технологий.

Утренний кофе в привокзальном кафе, навигация со стороны ребят из RDOT и Яндекс.Карт позволило без особой боли найти далекое от общественного транспорта место проведения. Коллективным разумом мы пришли к мнению, что это был первый Quest на геолокацию. 

Все происходило в отеле Карелия, залы Ладога и Онега (http://www.karelia.spb.ru/ru/conf). Плюс был задействован  холл между залами для кофе брейков и конкурсов.

К 11 появился Профессор Анисимис, который специально для ZeroNights опубликовал с ребятами из Positive Research несколько ZeroDays в любимом нашим сообществом SAP.

Программа шла в 2 потока. По моим ощущениям было 250-300 человек, в пике – возможно и больше. Очень много знакомых, к середине я устал запоминать с кем успел поздороваться, поэтому просто улыбался всем. Надеюсь, не выглядел круглым идиотом американцем.

В программе случилось четыре зарубежных докладчика. Из них яркое впечатление оставило выступление Philippe Langlois. Но я скажу, что и наши не подкачали, было достаточно много хардкорных тем, например "О практической деобфускации", "Kernel Pool Overflow", "Уязвимости расщепления HTTP ответа", уязвимости PLC и темы про всякие вирусы.
Порадовало методическое мастерство Андрея Бешкова, который защищал программы Microsoft по обеспечению защиты своих продуктов перед грозными хакерами и линуксоидами.
На Ярочкина по пасть не удалось, поскольку именно в этот момент делал доклад "Как взломать телеком и остаться в живых".

Как взломать телеком и остаться в живых

Английская версия презентации доступна тут.

По моему скромному мнению вышло достаточно весело. 

После обеда с удовольствие послушал Philippe Langlois с его вивисекцией SS7. Иногда возникало ощущение, что еще немного, и он начнет, как фокусник, доставать SMS из воздуха  голыми руками. 

Также из Позитивных соратников выступали Денис Баранов и Шишкин Артем. В ближайшем времени опубликуем материалы.

Denis Baranov: Root via XSS

В ходе своего выступления Денис отработал Resposible Disclosure XSS уязвимости в сайте ZeroNights. 

Поскольку на конференции было зверски холодно (это, наверное единственный достойный упоминания организационный прокол), он все время ходил в свитере. Перед выступлением он снял свитер и вышел в футболке, с 0day.

Вы можете увидеть эту эпическую футболку на видео (3:28).

Ну, или на картинке.

Выступив и дав организаторам возможность считать QR-код с вектором атаки со спины Денис тактично надел свитер, за что и получил первое место на конкурсе на лучшую хакерскую футболку.

Конкурсную программу описывать не буду, поскольку не участвовал. Но, имхо, было скучновато, все вытягивал RDOT. Мегакрасиво смотрелся стенд со SCADA.  

На демонстрации уязвимостей порадовал functional abuse в Google Docs, такое сочетание old school с модными вебдванолями.

Получив благодарность от Yandex за найденные уязвимости, мы поехали в славную пивнушку. Говорят был Spekers Dinner, но собралась такая душевная компания, что я поехал с ребятами. По дороге потерялись с г-ном Петуховым, но хронически сел телефон, поэтому не нашлись.
Двойная порция "Double Chocolate" постепенно превратилась в "Невское" в вагоне, а оно магическим образом трансформировалось в утренний кофе в Москве.

По дороге было решено большинство актуальных мировых проблем, но как часто бывает, точного решения ни кто не записал, и на утро многое забылось.

Было круто, спасибо всем за этот праздник.

PS. Матрешка просто великолепная!

MS11-083: Ждем новый Slammer?

(почти) Жуткая, жутка уязвимость в стеке.

Почему жуткая? По моему опыту, UDP фильтруется очень плохо. Например в сетях провайдеров ШПД зачастую режут "плохие" 135/445/137/139 по TCP и оставляют открытыми те же протоколы, которые прекрасно работаю и в ряде выпусков Windows включены по умолчанию и по UDP.
+ Скорость распространения, количество целей, спуфинг адреса...
Вспоминается SQL Slammer, который в свое время просаживал Интернет и корпоративные сетки до полной перегрузки каналов. А там был только MS SQL. А тут практически все.

Почему "почти". Экплойта  нет. пока.

http://www.securitylab.ru/vulnerability/409824.php
http://technet.microsoft.com/en-us/security/bulletin/ms11-083

Вскрываем пароли SAP

Недавно парнями из нашего исследовательского центра Positive Research было тихо опубликовано расширение для Whireshark, позволяющее раскодировать трафик SAP DIAG (протокол, используемый клиентом SAP GUI для работы с системой). Протокол, как известно работает практически plain-text, но слегка закодирован. С помощью утилиты можно анализировать трафик и, в том числе, "выдергивать" пароли пользователей.

Примечательна история публикации. Мы раскодировали SAP DIAG (а так же как и SAP CODVN A-G) и успешно встроили их в MaxPatrol, для проверки стойкости паролей (offline и online, в режимах Audit и Pentest соответственно).

 Однако, по причине того, что текущая реализация содержит ряд ошибок уровня проектирования - отписали в SAP и решили не разглашать. Однако в сентябре парни из SensePost опубликовали SAP DIAG Proxy SAPProx и security by obscurity опять дала течь.
В результате решили опубликовать и свои результаты.
Прошу любить и жаловать.
http://ptresearch.blogspot.com/2011/10/sap-diag-decompress-plugin-for.html


Естественно - утилита только для демонстрационных целей и легального использования.

Еще события от Positive Research:
http://sgordey.blogspot.com/search/label/research

Наши парни на ZeroNights

Денис Баранов с кратким как выстрел, емким как приказ докладом "Root через XSS".

VmWare закрывает устраняет уязвимость DNS Rebinding

VmWare признала опасность и приступила к устранению обнаруженной Денисом Барановым уязвимости DNS Rebinding в интерфейсах управления ESX.
Это - хорошо. Подробнее:

http://www.ptsecurity.ru/news_page.asp?id=101

Обходим ModSecurity 4fun & T-Shirt

Саня Зайцев и Юра Гольцев из исследовательского центра Positive Research компании Positive Technologies продемонстрировали несколько векторов обхода Mod Security в рамках SQL Injection Challange.  За что им ура и футболка :). 
Чуть подробнее:
http://www.ptsecurity.ru/news_page.asp?id=98

0day для SCADA на Positive Hack Days

Юрий Грукин из Gleg на PHD представит 0-day для CoDeSyS ENI Server.

Специально для Positive Hack Days!

Немного обновили XSpider

Компания Positive Technologies завершила разработку новой версии сканера XSpider 7.8

http://www.ptsecurity.ru/news_page.asp?id=92

Ура!

RAHack - червь для Radmin

В продолжение вчерашнего сообщения.
DrWeb добавил сигнатуру и опубликовал описание червя Win32.HLLW.RAhack.

От себя могу сказать, что программа чересчур агрессивна и в крупных сетях в ходе размножения создает средней силы DDoS, занимая обслуживанием своего трафика сетевые устройства и канал связи.

Полагаю, что зловред долго не проживет, поскольку не использует дополнительные векторы размножения, такие как CIFS/WMI. Хотя, учитывая высокие привилегии службы Radmin вполне мог бы. Тогда было бы менее приятно, поскольку за счет CIFS/WMI мог бы активно расходится внутри корпоративных сетей, а используя Radmin - переходить из сети в сеть, благо этого добра на периметрах хватает.

PS. Информация virustotal по ipz.exe.

Рекомендую всем обратить пристальное внимание на Radmin

Соратники!
Есть информация, что служба Radmin сейчас/скоро будет под массовой атакой.
Рекомендую блокировать 4899 на периметре и во внутренней сети, ограничивая доверенными узлами, а также активно отслеживать попытки соединения с этим портом на IDS/IPS. Ну и использовать сложные пароли, как обычно.

Попытки взлома шведской избирательной системы

Какие-то остряки вписывали в бюллетени код SQL Injection и XSS.



http://www.securitylab.ru/news/398065.php

PS. Интересно, old school перевелись или устали вписывать от руки 0xAAAA...(>4096)...AA???

www.surfpatrol.ru - новый проект Positive Technologies

Запустили новый проект безагентной проверки безопасности серфинга.

www.surfpatrol.ru







Затянули с разработкой, в пентестах технологию используем с 2006, выступать с этой темой планировал аж на Рускрипто 2008, а первые technology preview опубликован в начале 2009.
Но... Лучше поздно, чем никогда.

PS. Для использования на своем сайте следуйте инструкциям:

http://surfpatrol.ru/setupbanner.aspx

Обратная связь приветствуется.

Вечная тема. Пароли по умолчанию.

В интернете появились скриншоты, доказывающие взлом почты Федеральной службы охраны на сервере gov.ru

В течение нескольких часов любой пользователь интернета мог, перейдя по ссылке и введя простые имя пользователя и пароль, получить доступ к системе мониторинга и архивирования электронной почты "Дозор".

Уязвимость достаточно простая - тривиальный пароль .

Что в принципе не новость. Слабые пароли - распостраненная причина успешных внешних атак.

Цифровая подпись Касперского под зловредом?

Компания Trend Micro сообщила об обнаружении в Сети вредоносных файлов с цифровой подписью, практически полностью совпадающей с подписью антивирусной компании "Лаборатория Касперского".

http://www.securitylab.ru/news/396483.php

Ключевое слово здесь "почти". И это слово совершенно не к месту, поскольку подпись совпадает полностью.

Т.е. она была скопирована с одной из утилит Касперского и естественно не является корректной, поскольку hash от файлов различаются. О чем собственно и пишет Trend.

Зачем же подпись, если она некорректная? Все просто. Некоторые антивирусы не проверяют саму подпись, им достаточно факта наличия. Ну или корректного сертификата. А подпись... Считать долго.

WPA2 взломали?

Интересная заметка появилась о потенциальном взломе WPA2.

http://www.networkworld.com/newsletters/wireless/2010/072610wireless1.html

http://www.securitylab.ru/news/396094.php

Судя по описаниям - опять вмешался ARP + ключи групповой рассылки. 

Особых деталей нет, и кстати - непонятен риск. Кроме DoS со стороны аутентифицированного пользователя заявлен некий "snoop", что далеко не sniff.

Т.е. по предварительным данным CVSS Base Score невысокий, где-то  3.8.

http://nvd.nist.gov/cvss.cfm?name=&vector=(AV:N/AC:M/Au:N/C:N/I:N/A:C)&version=2

Ждем Defcon, подробности и код. 

Новая схема защиты пароля требует новой схемы защиты схемы защиты пароля :)

Специалисты Microsoft предлагают новый способ защиты от взлома паролей

http://www.securitylab.ru/news/395967.php

Поэтому Microsoft советует: пусть система регистрации сама подсчитывает количество повторяющихся в ней паролей. Например, пользователь может использовать в качестве пароля слово "password", но таких аккаунтов не должны быть тысячи и десятки тысяч. Поэтому дублирование простых паролей должно ограничиваться самой системой. Когда число одинаковых паролей достигло критического - система должна предупретить пользователя, что такой пароль использовать нельзя.

Собственно - мысль здравая, но учитывая, что идентификатор пользователя секретом не является, такая схема предлагает злоумышленнику интересный способ подбора паролей - путем попытки смены его на словарные значения. Если изменение пароля запрещено, то пароль у кого-то используется. В словарик его. А дальше с ним по списку аккаунтов.

Таким образом, придется вводить новый параметр безопасности - "Количество неудачных изменений пароля в единицу времени". Естественно при наличии минимального срока жизни пароля, что редкость в online сервисах, поддерживающих процедуру сброса.

PS.

 "Ошибка! Этот пароль уже использует пользователь Masha."

Еще один 0-day в Microsoft Windows или Stuxnet атакует

Интересный обзор уязвимости при обработке ярлыков в Windows разместил Валерий Марчук.

http://www.securitylab.ru/blog/personal/tecklord/12729.php

Рекомендую ознакомится всем связанным с безопасностью Windows.

Статистика уязвимостей Web 2009

В этом году были проанализированы данные о 5560 веб-приложениях протестированных специалистами компании Positive Technologies в ходе предоставления консалтинговых и сервисных услуг по информационной безопасности, таких как тесты на проникновение, анализ защищенности в рамках стандарта PCI DSS и мониторинг защищенности внешнего периметра с использованием системы MaxPatrol.
Практически половина проанализированных систем содержали уязвимости. Суммарно во всех приложениях было обнаружено 13434 ошибок различной степени риска, зафиксировано 1412 образцов вредоносного кода, содержащихся на страницах уязвимых систем. Доля скомпрометированных сайтов распространявших вредоносное программное обеспечение составила 1,7%. Каждый из таких сайтов содержал уязвимости, позволяющие выполнять команды на сервере, что подтверждает возможность использование этих уязвимостей для компрометации системы.
Основной результат исследования неутешителен. Вероятность обнаружения критичной ошибки в веб-приложении автоматическим сканером составляет около 35% и достигает 80% при детальном экспертном анализе. Этот факт демонстрирует невысокую защищенность современных Web-приложений не только от атак со стороны квалифицированных злоумышленников, но и от действий атакующих, вооруженных готовыми утилитами для «автоматического взлома».
Как и ранее, наиболее распространенными ошибками, допускаемыми разработчиками приложений, являются уязвимости «Межсайтовое выполнение сценариев» и «Внедрение операторов SQL» на которые пришлось более 19% и 17% всех обнаруженных уязвимостей соответственно.
С точки зрения соответствия требованиям регуляторов (compliance management) ситуация улучшилась незначительно. До 84% веб-приложений не удовлетворяет требованиям стандарта по защите информации в индустрии платежных карт PCI DSS и 81% не соответствуют критериям ASV-сканирования, определенного в стандарте.
Сравнение результатов с отчетами предыдущих четырех лет показал, что ситуация со степенью защищенности веб-приложений в 2009 в целом улучшилась. Так, анализ устранения уязвимостей на 768 сайтах проверявшихся в 2008 и 2009 году показал, что более 60 процентов владельцев устранили все критичные уязвимости в течение года и существенно повысили защищенность своих ресурсах. В целом регулярный анализ защищенности веб-приложений и налаженный процесс устранения выявленных недостатков позволяют за год уменьшить число уязвимых сайтов в среднем втрое.


Ссылки: pdf html