Archive for 'Alarm'
Yeni Http Saldırı Yöntemi: Parametre Kirliliği
Posted on Mayıs 26, 2009, under Alarm.
Son düzenlenen OWASP güvenlik konferansında İtalyan güvenlik uzmanları Luca Carettoni ve Stefano Di Paola geliştirdikleri yeni web saldırı yöntemlerini tanıttılar. HTTP Parametre Kirliliği (HTTP Parameter Pollution – HPP) adı verilen bu yöntem ile birlikte bir çok web uygulaması üzerinde güvenlik tehditleri yaratmak mümkün. Yöntemin temeli GET ve POST isteklerini gönderirken alışılmadık formlarda ve sınırlamalarla yapmak.
Bu yeni yöntem ile birlikte SQL Injection, XSS ya da komut enjeksiyonu gibi saldırı metodları geliştirilebilmekte. Özellikle mevcut güvenlik önlemlerinden filtrelemenin sıkı yapılmaması HPP manipülasyonlarına fırsat doğurmakta.
Örnek olarak aşağıdakine benzer bir istek,
GET /foo?par1=val1&par2=val2 HTTP/1.1
normal şekilde gönderilirken isteğin şu şekilde manipüle edilmesi sunucu tarafında istenmeyen şekilde yorumlanabilir ve güvenlik açıkları doğurabilir;
GET /foo?par1=val1&par1=val2 HTTP/1.1
Yine benzer şekilde Apache ModSecurity aşağıdaki SQL Injection saldırılarından ilkini engelleyebilirken, ikinci satırdaki HPP yöntemiyle değiştirdiğimiz saldırıda etkisiz kalmakta,
/index.aspx?page=select 1,2,3 from table where id=1
/index.aspx?page=select 1&page=2,3 from table where id=1
Güvenlik uzmanları buradaki en büyük zafiyetin “&” ve “;” ayraçlarından geldiğini belirtmekte. Tarayıcı ve güvenlik uygulamaları ise bu yeni atak metoduna karşı filtreleme özelliklerini güçlendirmeli.
http://www.owasp.org/images/b/ba/AppsecEU09_CarettoniDiPaola_v0.8.pdf
Kaynak:Guvenli.org
IIS’de Zero Day Açığı
Microsoft IIS web sunucusunda, sistemde komut çalıştırılmasına izin veren yeni bir “Sıfır Gün” güvenlik açığı yayınlandı. Henüz Microsoft tarafından güvenlik açığı doğrulanmadı ve bu nedenle henüz yayınlanmış bir yama bulunmuyor. Açığın kullanımı için hazırlanmış olan “Exploit” kodu ise Metasploit Framework paketine eklendiği doğrulandı.
Açığın oluşmasına neden olan sorun, sistem çekirdeğindeki güvenlik uzantılarının HTTP/1.1 ile gelen HEAD isteklerindeki Cookie başlık bilgisini hatalı yorumlamasından kaynaklanıyor. Özel üretilmiş bir paket kullanılarak sistem çekirdeğinin döngüye sokulması ve donanım seviyesinde sisteme erişim sağlanması mümkün görünmektedir. Güvenlik açığı Windows 2000, 2003, 2008 ve Vista üzerinde çalışmakta olan IIS sürümlerini etkilemektedir.
Saldırı tespit ve önleme sistemi geliştiricilerinin de konu ile ilgili araştırma yaptıkları, ancak henüz önleyici bir kural seti güncellemesi yayınlanmadığını da hatırlatalım.
Henüz açıklamalar netleşmese de kurumların Microsoft IIS kullanılan web sunucularını kapatması gerektiği birçok uzman tarafından ifade edilmiştir. Ayrıca 1 Nisan itibariyle hazırlanan ve duyurulan üçüncü parti bir yama ile Microsoft IIS’in güvenlik açığının giderilmesi mümkün görünmektedir. Yamanın sistem çekirdeğinin 2.6 serisi için hazırlandığı dikkate alınmalıdır
Kaynak: Siyahsapka
IIS'de Zero Day Açığı
Microsoft IIS web sunucusunda, sistemde komut çalıştırılmasına izin veren yeni bir “Sıfır Gün” güvenlik açığı yayınlandı. Henüz Microsoft tarafından güvenlik açığı doğrulanmadı ve bu nedenle henüz yayınlanmış bir yama bulunmuyor. Açığın kullanımı için hazırlanmış olan “Exploit” kodu ise Metasploit Framework paketine eklendiği doğrulandı.
Açığın oluşmasına neden olan sorun, sistem çekirdeğindeki güvenlik uzantılarının HTTP/1.1 ile gelen HEAD isteklerindeki Cookie başlık bilgisini hatalı yorumlamasından kaynaklanıyor. Özel üretilmiş bir paket kullanılarak sistem çekirdeğinin döngüye sokulması ve donanım seviyesinde sisteme erişim sağlanması mümkün görünmektedir. Güvenlik açığı Windows 2000, 2003, 2008 ve Vista üzerinde çalışmakta olan IIS sürümlerini etkilemektedir.
Saldırı tespit ve önleme sistemi geliştiricilerinin de konu ile ilgili araştırma yaptıkları, ancak henüz önleyici bir kural seti güncellemesi yayınlanmadığını da hatırlatalım.
Henüz açıklamalar netleşmese de kurumların Microsoft IIS kullanılan web sunucularını kapatması gerektiği birçok uzman tarafından ifade edilmiştir. Ayrıca 1 Nisan itibariyle hazırlanan ve duyurulan üçüncü parti bir yama ile Microsoft IIS’in güvenlik açığının giderilmesi mümkün görünmektedir. Yamanın sistem çekirdeğinin 2.6 serisi için hazırlandığı dikkate alınmalıdır
Kaynak: Siyahsapka
Firefox’da Kritik Güvenlik Açığı
Popüler web tarayıcısı Firefox‘ta yeni bir 0-day (sıfır günlük) güvenlik açığı tespit edildi. Güvenlik uzmanı Guido Landi tarafından keşfedilen güvenlik açığı ile birlikte kurbanın bilgisayarına uzaktan kod çalıştırılması mümkün olabiliyor.
Özel olarak hazırlanmış bir XML sayfasının tarayıcı tarafından görüntülenmesi ile birlikte çalışan güvenlik açığı kritik olarak nitelendiriliyor. Firefox geliştiricileri tarafından güvenlik açığına karşı bir yama yayımlandı bunun yanı sıra önümüzdeki hafta içerisinde güvenlik paketi içeren Firefox 3.0.8′in yayımlanması bekleniyor.
Etkilenen Sistemler:
Firefox 3.0
Firefox 3.0.1
Firefox 3.0.2
Firefox 3.0.3
Firefox 3.0.4
Firefox 3.0.5
Firefox 3.0.6
Firefox 3.0.7
Çözüm:
Aşağıda belirtilen yamayı uygulayın ya da 3.0.8 güncellemesi için bekleyin. Bu süre zarfında güvenmediğiniz XML kaynaklı sayfaları çalıştırmayın.
Yama için: https://bugzilla.mozilla.org/attachment.cgi?id=369321&action=edit
Firefox'da Kritik Güvenlik Açığı
Popüler web tarayıcısı Firefox‘ta yeni bir 0-day (sıfır günlük) güvenlik açığı tespit edildi. Güvenlik uzmanı Guido Landi tarafından keşfedilen güvenlik açığı ile birlikte kurbanın bilgisayarına uzaktan kod çalıştırılması mümkün olabiliyor.
Özel olarak hazırlanmış bir XML sayfasının tarayıcı tarafından görüntülenmesi ile birlikte çalışan güvenlik açığı kritik olarak nitelendiriliyor. Firefox geliştiricileri tarafından güvenlik açığına karşı bir yama yayımlandı bunun yanı sıra önümüzdeki hafta içerisinde güvenlik paketi içeren Firefox 3.0.8′in yayımlanması bekleniyor.
Etkilenen Sistemler:
Firefox 3.0
Firefox 3.0.1
Firefox 3.0.2
Firefox 3.0.3
Firefox 3.0.4
Firefox 3.0.5
Firefox 3.0.6
Firefox 3.0.7
Çözüm:
Aşağıda belirtilen yamayı uygulayın ya da 3.0.8 güncellemesi için bekleyin. Bu süre zarfında güvenmediğiniz XML kaynaklı sayfaları çalıştırmayın.
Yama için: https://bugzilla.mozilla.org/attachment.cgi?id=369321&action=edit
