В анализаторе логов веб-сайтов WebLog Expert, а точнее в его веб-интерфейсе, выявлены уязвимости, под которые доступны эксплойты: обход аутентификации https://packetstormsecurity.com/files/146697/WebLog-Expert-Web-Server-Enterprise-9.4-Weak-Permissions.html и отказ в обслуживании https://packetstormsecurity.com/files/146698/WebLog-Expert-Web-Server-Enterprise-9.4-Denial-Of-Service.html.

Дыры присутствуют в версии 9.4 софта, которая и есть на данный момент последняя доступная.

Любопытно, что в данном случае уязвимости стали рекламой.

WebLog Expert – софт для анализа посещаемости, путей, рефереров, поисковых запросов и прочей информации о посетителях (впрочем, никакой активной слежки за ними), а также строит всякие графики и диаграммы по собранным данным.

Учитывая назначение софта, уязвимости некритичны, так как доступ к его веб-интерфейсу в общем случае достаточен локальный по 127.0.0.1, да и вообще веб-интерфейс в данной софтине не ключевая функция.

Так что несмотря на отсутствие патча, владельцы могут просто закрыть к нему сетевой доступ.

Источник https://t.me/informhardening

Мда…Мы вроде живем, как обычно, а в винде непофикшенная анонсированная уязвимость + публично доступный эксплойт с легкой сложностью применения.

Несколько месяцев назад Google Project Zero открыла два issue 1427 и 1428 по поводу обхода прав доступа к файлам в винде с помощью функции SetNamedSecurityInfo. Microsoft обозвала их CVE-2018-0826 и выпустила патчи https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2018-0826.

Однако оказалось, что проблему 1427 эти патчи не решают.

В итоге на данный момент любой локальный пользователь может получить права доступа к любому файлу и повысить привилегии до SYSTEM.

Проблема касается только Windows 10 и Windows Server 2016.

Защититься собственными силами оччень нетривиально.

С одной стороны, недавно рассмотренный AppLocker просто не позволит запустить непривилегированнму пользователю эксплойт, если он разрешает только явно разрешенные программы.

С другой стороны, нас как то больше волнуют хакеры, получившие доступ с правами непривилегированного пользователя, а не собственные юзвери.

Им то AppLocker не помешает.

Так что остается надеяться, что пока Microsoft не выпустит нормальный патч, хакерам не удастся добраться до прав непривилегированных пользователей.

Тут подробное описание уязвимости и эксплойт https://bugs.chromium.org/p/project-zero/issues/detail?id=1428.

Источник – https://t.me/informhardening

Немного о возможностях доступа к внешним ресурсам в MS SQL Server:

Параметр ‘clr enabled’ – позволяет выполнять в SQL Server внешние процедуры, триггеры и функции, скомпилированные в виде .NET кода

Параметр ‘Ole Automation Procedures’ – открывает доступ к созданию и использованию внешнего функционала (скажем, процедур) с помощью объектов OLE-автоматизации

Встроенная хранимая процедура ‘xp_cmdshell’ – позволяет выполнить команду оболочки операционной системы и получить вывод

Ясно, что для безопасности это все должно быть отключено.

Проверить настройки:

SELECT name, CAST(value as int) as value_configured, CAST(value_in_use as int) as value_in_use FROM sys.configurations WHERE name = 'clr enabled' OR name = 'Ole Automation Procedures';

EXECUTE sp_configure 'show advanced options',1;

RECONFIGURE WITH OVERRIDE;

EXECUTE sp_configure 'xp_cmdshell';

Отключить:

EXECUTE sp_configure 'clr enabled', 0;

EXECUTE sp_configure 'show advanced options',1;

RECONFIGURE WITH OVERRIDE;

EXECUTE sp_configure 'Ole Automation Procedures', 0;

EXECUTE sp_configure 'xp_cmdshell',0;

RECONFIGURE WITH OVERRIDE;

Источник: https://t.me/informhardening

Проблема небезопасной загрузки динамических библиотек вообще характерна для продуктов Microsoft. Она стала причиной уязвимостей MS10-087, MS10-093, MS10-094, MS10-095, MS10-096, MS10-097, MS11-001, MS11-003, MS11-015, MS11-016, MS11-017, MS11-023, MS11-025, KB2533623, MS11-055, MS11-059, MS11-071, MS11-073, MS11-075, MS11-076, MS11-085, MS11-094, MS11-099, MS12-012, MS12-014, MS12-022, MS12-039, MS12-046, MS12-074, MS14-023.

Ответственность за обеспечение безопасности подключения библиотек в первую очередь на разработчиках. Например, при указании при вызове функции LoadLibraryEx() ключа LOAD_LIBRARY_SEARCH_SYSTEM32 поиск библиотеки начинается с system32 (странно, почему Microsoft не мог просто использовать это в скайпе?).

Но что-то в силах сделать и администраторы.

Во-первых, это ключ SafeDllSearchMode (HKEY_LOCAL_MACHINESystemCurrentControlSetControlSession ManagerSafeDllSearchMode), который немного меняет порядок поиска библиотек:

1. Директория, из которой запущно приложение

2. Системная директория

3. Директория Winodws

4. Текущая директория

5. Директории из переменной окружения PATH

Если отключить SafeDllSearchMode, порядок будет такой:

1. Директория, из которой запущно приложение

2. Текущая директория

3. Системная директория

4. Директория Winodws

5. Директории из переменной окружения PATH

Особо интересны два момента:

– Если библиотека с таким именем уже загружена в память, то будет использоваться этот образ

– Если библиотека присутствует в KnownDlls, то она будет загружаться из стандартного пути

На последнем моменте надо остановиться подробнее. Известные библиотеки перечислены в узле реестра HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSession ManagerKnownDLLs и по умолчанию загружаются ТОЛЬКО из системных директорий. Путь их поиска можно задать ключами HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSession ManagerKnownDLLs:DllDirectory и HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSession ManagerKnownDLLs:DllDirectory32.

Поэтому, в общем то, вчерашнюю проблему со скайпом можно решить путем добавления библиотеки в KnownDlls.

Источник: https://t.me/informhardening

Недавно анонсирована уязвимость повышения прав в Windows через Skype.

Уязвимость примечательна тем, что Microsoft сказал “слишком сложно” и “исправим в следующей версии”.

Для обновления Skype использует не общие механизмы Windows Update, а собственное приложение “%ProgramFiles%SkypeUpdaterUpdater.exe”, которое запускается с правами SYSTEM.

Если обнаружено доступное обновление Updater.exe распаковывает его в “%SystemRoot%TempSKY<abcd>.tmp” и запускает команду “%SystemRoot%TempSKY<abcd>.tmp” /QUIET. Это приложение загружает дополнительные библиотеки, в частности UXTheme.dll, и ищет их сначала в папке запуска (что в общем то обычное дело) %SystemRoot%Temp.

Соответственно, при наличии у пользователя доступа к папке %SystemRoot%Temp он может подменить библиотеку кодом, который выполнится с правами SYSTEM.

Папка %SystemRoot%Temp используется множеством софта, так что нельзя просто взять и ограничить к ней доступ.

Можно было бы удалить Updater.exe, но тогда скайп не будет обновляться. Что ж, давайте сделаем так: скопируем UXTheme.dll из %SystemRoot%system32 в %SystemRoot%Temp и запретим к ней доступ на изменение и запись – скайп будет загружать ее, а подменить ее хакеру с правами рядового пользователя не удастся.

источник: https://t.me/informhardening