Архив метки: Закрытие уязвимостей

Уязвимости WebLog Expert

В анализаторе логов веб-сайтов WebLog Expert, а точнее в его веб-интерфейсе, выявлены уязвимости, под которые доступны эксплойты: обход аутентификации https://packetstormsecurity.com/files/146697/WebLog-Expert-Web-Server-Enterprise-9.4-Weak-Permissions.html и отказ в обслуживании https://packetstormsecurity.com/files/146698/WebLog-Expert-Web-Server-Enterprise-9.4-Denial-Of-Service.html.

Дыры присутствуют в версии 9.4 софта, которая и есть на данный момент последняя доступная.

Любопытно, что в данном случае уязвимости стали рекламой.

WebLog Expert – софт для анализа посещаемости, путей, рефереров, поисковых запросов и прочей информации о посетителях (впрочем, никакой активной слежки за ними), а также строит всякие графики и диаграммы по собранным данным.

Учитывая назначение софта, уязвимости некритичны, так как доступ к его веб-интерфейсу в общем случае достаточен локальный по 127.0.0.1, да и вообще веб-интерфейс в данной софтине не ключевая функция.

Так что несмотря на отсутствие патча, владельцы могут просто закрыть к нему сетевой доступ.

Источник https://t.me/informhardening

 



2018-03-12T12:22:00
Закрытие уязвимостей

Windows-Exploit-Suggester скрипт для поиска эксплойтов, актуальных для исследуемой системы Windows.

Этот инструмент сравнивает уровни патчей целей с базой данных уязвимостей Microsoft, чтобы обнаружить потенциальные недостающие патчи на целевой машине.

Он также уведомляет пользователя о наличии публичных эксплойтов и модулей Metasploit для отсутствующих бюллетеней.

Он требует вывода команды systeminfo из хоста Windows, чтобы сравнить эту базу данных бюллетеней безопасности Microsoft и определить уровень патча хоста.

Он имеет возможность автоматически загружать базу данных бюллетеней безопасности из Microsoft с флагом -update и сохраняет ее как электронную таблицу Excel.

При просмотре вывода команды важно отметить, что он принимает все уязвимости и затем выборочно удаляет их на основе данных исправления.

Это может привести к множеству ложных срабатываний, и важно знать, какое программное обеспечение действительно работает на целевом хосте.

Например, если есть известные эксплоиты IIS, они будут отмечать их, даже если IIS не запущен на целевом узле.

На выходе отображаются либо публичные эксплойты (E), либо модули Metasploit (M), как указано символьным значением.

Использование

обновите базу данных:

 # ./windows-exploit-suggester.py --update

[*] initiating...

[*] successfully requested base url

[*] scraped ms download url

[+] writing to file 2014-06-06-mssb.xlsx

[*] done

Установите зависимости:

(install python-xlrd, $ pip install xlrd –upgrade)

введите его «systeminfo» и укажите его в базу данных Microsoft

 # ./windows-exploit-suggester.py --database 2014-06-06-mssb.xlsx --systeminfo win7sp1-systeminfo.txt

[*] initiating...

[*] database file detected as xls or xlsx based on extension

[*] reading from the systeminfo input file

[*] querying database file for potential vulnerabilities

[*] comparing the 15 hotfix(es) against the 173 potential bulletins(s)

[*] there are now 168 remaining vulns

[+] windows version identified as 'Windows 7 SP1 32-bit'

[*]

[M] MS14-012: Cumulative Security Update for Internet Explorer (2925418) - Critical

[E] MS13-101: Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Elevation of Privilege (2880430) - Important

[M] MS13-090: Cumulative Security Update of ActiveX Kill Bits (2900986) - Critical

[M] MS13-080: Cumulative Security Update for Internet Explorer (2879017) - Critical

[M] MS13-069: Cumulative Security Update for Internet Explorer (2870699) - Critical

[M] MS13-059: Cumulative Security Update for Internet Explorer (2862772) - Critical

[M] MS13-055: Cumulative Security Update for Internet Explorer (2846071) - Critical

[M] MS13-053: Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Remote Code Execution (2850851) - Critical

[M] MS13-009: Cumulative Security Update for Internet Explorer (2792100) - Critical

[M] MS13-005: Vulnerability in Windows Kernel-Mode Driver Could Allow Elevation of Privilege (2778930) - Important

[*] done

возможные эксплойты для операционной системы могут использоваться без данных исправления

 # ./windows-exploit-suggester.py --database 2014-06-06-mssb.xlsx --ostext 'windows server 2008 r2'

[*] initiating...

[*] database file detected as xls or xlsx based on extension

[*] getting OS information from command line text

[*] querying database file for potential vulnerabilities

[*] comparing the 0 hotfix(es) against the 196 potential bulletins(s)

[*] there are now 196 remaining vulns

[+] windows version identified as 'Windows 2008 R2 64-bit'

[*]

[M] MS13-009: Cumulative Security Update for Internet Explorer (2792100) - Critical

[M] MS13-005: Vulnerability in Windows Kernel-Mode Driver Could Allow Elevation of Privilege (2778930) - Important

[E] MS11-011: Vulnerabilities in Windows Kernel Could Allow Elevation of Privilege (2393802) - Important

[M] MS10-073: Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Elevation of Privilege (981957) - Important

[M] MS10-061: Vulnerability in Print Spooler Service Could Allow Remote Code Execution (2347290) - Critical

[E] MS10-059: Vulnerabilities in the Tracing Feature for Services Could Allow Elevation of Privilege (982799) - Important

[E] MS10-047: Vulnerabilities in Windows Kernel Could Allow Elevation of Privilege (981852) - Important

[M] MS10-002: Cumulative Security Update for Internet Explorer (978207) - Critical

[M] MS09-072: Cumulative Security Update for Internet Explorer (976325) - Critical

Скачать Windows Exploit Suggester



2018-03-05T14:44:18
Закрытие уязвимостей

Как проверить Linux на уязвимости после удаления пользователей

Как то я писал, почему в Linux/Unix не стоит удалять пользователей и группы.

Если вы это когда-нибудь делали, у вас могли остаться файлы, которые “никому не принадлежат”. При создании нового пользователя/группы они могут внезапно оказаться владельцами этих файлов.

Проверить, есть ли такие файлы:

 df --local -P | awk '{if (NR!=1) print $6}' | xargs -I "{}" find "{}" -xdev -nouser -ls 2>/dev/null

df --local -P | awk '{if (NR!=1) print $6}' | xargs -I "{}" find "{}" -xdev -nogroup -ls 2>/dev/null

 

Если что-то нашлось – можно удалить или назначить владельца, по ситуации.

И раз уж мы занялись беглой проверкой прав на файлы, посмотрим еще общедоступные для записи файлы:

find -xdev -type f -perm -0002 2>/dev/null

Местами такие права могут быть необходимы, но в общем случае это нездоровая ситуация.

А общедоступным директориям, если таковые имеются, нужен стики бит, чтобы кто попало не мог удалять чужие файлы:

 df --local -P | awk {'if (NR!=1) print $6'} | xargs -I '{}' find '{}' -xdev -type d -perm -0002 2>/dev/null | xargs chmod a+t 

 

Источник https://t.me/informhardening



2018-02-28T15:39:46
Закрытие уязвимостей

Уязвимости Windows 10 и Windows Server 2016

Мда…Мы вроде живем, как обычно, а в винде непофикшенная анонсированная уязвимость + публично доступный эксплойт с легкой сложностью применения.

Несколько месяцев назад Google Project Zero открыла два issue 1427 и 1428 по поводу обхода прав доступа к файлам в винде с помощью функции SetNamedSecurityInfo. Microsoft обозвала их CVE-2018-0826 и выпустила патчи https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2018-0826.

Однако оказалось, что проблему 1427 эти патчи не решают.

В итоге на данный момент любой локальный пользователь может получить права доступа к любому файлу и повысить привилегии до SYSTEM.

Проблема касается только Windows 10 и Windows Server 2016.

Защититься собственными силами оччень нетривиально.

С одной стороны, недавно рассмотренный AppLocker просто не позволит запустить непривилегированнму пользователю эксплойт, если он разрешает только явно разрешенные программы.

С другой стороны, нас как то больше волнуют хакеры, получившие доступ с правами непривилегированного пользователя, а не собственные юзвери.

Им то AppLocker не помешает.

Так что остается надеяться, что пока Microsoft не выпустит нормальный патч, хакерам не удастся добраться до прав непривилегированных пользователей.

Тут подробное описание уязвимости и эксплойт https://bugs.chromium.org/p/project-zero/issues/detail?id=1428.

Источник – https://t.me/informhardening



2018-02-27T13:11:32
Закрытие уязвимостей

Slowloris DDOS вэб серверов

Slowloris – мерзенький DDoS веб-серверов на основании неполной отправки заголовков.

Рассмотрим, как защитить Apache от него.

mod_reqtimeout поможет ограничить время, разрешенное для приема заголовков:

 IfModule mod_reqtimeout.c

RequestReadTimeout header=20-40,MinRate=500 body=20-40,MinRate=500

Тут на отправку заголовка выделяется 20 секунд, но если он приходит со скоростью от 500 байт в секунду, то сервер готов подождать и 40 секунд. То же самое с телом.

mod_qos для контроля нагрузки на сервер:

 <IfModule mod_qos.c>

# handle connections from up to 100000 different IPs

QS_ClientEntries 100000

# allow only 50 connections per IP

QS_SrvMaxConnPerIP 50

# limit maximum number of active TCP connections limited to 4096

MaxClients 4096

# disables keep-alive when 180 (70%) TCP connections are occupied

QS_SrvMaxConnClose 180

# minimum request/response speed (deny slow clients blocking the server, keeping connections open without requesting anything

QS_SrvMinDataRate 150 1200

</IfModule>

 от проблем доступности сервера не спасут, а вот две последние настроечки оптимизируют трату ресурсов сервера.

Рассмотрим ту же проблему для IIS.

Первым делом нужно установить его компонент Security/Request Filtering через стадартный менеджер компонентов Windows.

Ну а дальше можно конфигурить ограничения:

 %systemroot%system32inetsrvappcmd set config -section:requestFiltering -requestLimits.maxAllowedContentLength:20000000

%systemroot%system32inetsrvappcmd set config -section:requestFiltering -requestLimits.maxURL:2048

%systemroot%system32inetsrvappcmd set config -section:requestFiltering -requestLimits.maxQueryString:2048

%systemroot%system32inetsrvappcmd set config -section:system.webServer/security/requestFiltering /+"requestLimits.headerLimits.[header='Content-type',sizeLimit='100']"

%systemroot%system32inetsrvappcmd set config -section:system.applicationHost/sites /siteDefaults.limits.connectionTimeout:"00:00:30" /commit:apphost

%systemroot%system32inetsrvappcmd set config -section:system.applicationHost/webLimits /headerWaitTimeout:"00:00:30" /commit:apphost

%systemroot%system32inetsrvappcmd set config -section:system.applicationHost/webLimits /minBytesPerSecond:"300" /commit:apphost





2018-02-26T11:13:39
Закрытие уязвимостей

Доступ к внешним ресурсам в MS SQL Server

Немного о возможностях доступа к внешним ресурсам в MS SQL Server:

Параметр ‘clr enabled’ – позволяет выполнять в SQL Server внешние процедуры, триггеры и функции, скомпилированные в виде .NET кода

Параметр ‘Ole Automation Procedures’ – открывает доступ к созданию и использованию внешнего функционала (скажем, процедур) с помощью объектов OLE-автоматизации

Встроенная хранимая процедура ‘xp_cmdshell’ – позволяет выполнить команду оболочки операционной системы и получить вывод

Ясно, что для безопасности это все должно быть отключено.

Проверить настройки:

SELECT name, CAST(value as int) as value_configured, CAST(value_in_use as int) as value_in_use FROM sys.configurations WHERE name = 'clr enabled' OR name = 'Ole Automation Procedures';

EXECUTE sp_configure 'show advanced options',1;

RECONFIGURE WITH OVERRIDE;

EXECUTE sp_configure 'xp_cmdshell';

Отключить:

EXECUTE sp_configure 'clr enabled', 0;

EXECUTE sp_configure 'show advanced options',1;

RECONFIGURE WITH OVERRIDE;

EXECUTE sp_configure 'Ole Automation Procedures', 0;

EXECUTE sp_configure 'xp_cmdshell',0;

RECONFIGURE WITH OVERRIDE;

 

Источник: https://t.me/informhardening



2018-02-20T13:00:56
Закрытие уязвимостей