Wowd search client multiple variable XSS

##########################################
Wowd search client multiple variable XSS
URL afectada: http://www.wowd.com/
Avisado por: http://lostmon.blogspot.com/2009/10/wowd-search-client-multiple-variable.html
Notificación al vendedor: SÍ exploit disponible: SÍ
##########################################

################
¿Qué es Wowd?
################

Wowd es un motor de búsqueda que sirve para descubrir lo más popular de las webs en tiempo real.

En esencia, la compañía ha hecho un p2p como motor de búsqueda, por lo que otros usuarios Wowd que hay en línea pueden estudiar y usar sitios del ranking basada en una estructura de enlaces arcanos.

Teniendo una búsqueda y dividiéndola en millones de pequeñas piezas todas ellas dirigidas por los usuarios individuales que han descargado el cliente Wowd cambia completamente la operación – y la economía – del motor de búsqueda. Cuantas más veces clicken dentro de Wowd en un enlace dentro de un tiempo “x” el ranking será más alto ya que es mayor el vínculo.

##########################
Descripción de la vulnerabilidad
##########################

El cliente Wowd contiene un error que permite a ejecutar un codigo remoto cross site scripting (XSS). Este error existe porque la aplicación no es valida en el cuadro de diálogo URI ” SortBy ‘tags’ y ‘variables CTX’ en envio a script ‘index.html’. Esto podría permitir a un usuario crear especialmente un código a través de una dirección URL que ejecutaría arbitrariamente en el navegador de un usuario dentro de la relación de confianza entre el navegador y el servidor, esto produciría una pérdida de integridad.

Este problema puede ser peligroso, porque si se está ejecutando el cliente Wowd, usted tiene esta vulnerabilidad, porque este problema puede ser aprovechado en todos los navegadores, hasta en IE8 con el filtro anti-XSS (WoW!)

#################
Versiones
################·

Wowd client 1.3.0

#################
SOLUCIÓN
#################

No hay solución por el momento !!!

###################
PoC
###################

#############
Prueba
#############

Puedo probar en IE8, Firefox 3.5.3 y Safari 4

 

En todos los casos que el XSS se ejecuta incluso a IE8 con anti-XSS

un usuario remoto puede redactar un documento html con un iframe y esta fuente para el iframe:

http://localhost:8101/wowd/index.html?search&sortby=rank%22%3E%3Cscript%3Ealert%28document.cookie%29%3C/script%3E

el navegador ejecuta el XSS, y se  accede directamente a esta dirección URL:

 

de forma adicional Wowd puede mostrar sus resultados, ya que tenemos una funcionalidad para agregar “etiquetas” a una dirección URL.

Ejemplo:

http://localhost:8101/wowd/index.html?search&query=a&
sortby=rank&tags=english|S0B0707656E676C6973680D02

Esto muestra una búsqueda indexada con la etiqueta ‘english’, se puede añadir una etiqueta diseñada por tí mismo que permita la ejecución de un XSS como: [tag]|[token]

ejemplo:

http://localhost:8101/wowd/index.html?search&query=a
&sortby=rank&tags=english|S0B0707656E676C6973680D02,
%22%3E%3Cscript%3Ealert%28document.cookie%29%3C/script%3E|S0B0707656E676C6973680D02

y se ejecuta el XSS en las etiquetas de las etiquetas creadas

 

CTX se vé también variablemente afectado

http://localhost:8101/wowd/index.html?search&page=2&q=
&sortby=rank&tags=news|S0807046E6577730D02&ctx=1995393737681%22%3E%3Cscript%3Ealert%28document.cookie%29%3C/script%3E

############## €nd ###################

Thnx To estrella to be my light
Thnx to all Lostmon Team !
–
atentamente:
Lostmon (lostmon@gmail.com)
——–
Browser: Internet Explorer 8 (Windows)
Browser: Firefox 3.5 (Windows)
Browser: Safari 4 (Windows)
———-

thz Lost

Las 50 cosas más molestas de Internet

La red de redes no es un paraíso digital ni mucho menos, como todo en esta vida tiene partes buenas y partes “menos buenas”. Seguro que todos los lectores podrían indicar fácilmente unas cuantas cosas que no les gustan de la Internet actual.

Los de Telegraph han hecho justamente eso, ponerse a pensar sobre técnicas, actitudes, tecnologías, etcétera de la red que deberían ir directamente a la papelera, en total han recopilado 50 cosas verdaderamente molestas de Internet. Algunas de ellas:

• Captchas: estos rompecabezas de palabras diseñados para distinguir a humanos de máquinas al crear una cuenta en determinado sitio son sin duda de las cosas más “coñazo” que tiene la red, aunque es un mal necesario.
• Anuncios Pop-up: sin duda alguna este tipo de anuncio es de lo más despreciado por los internautas. Cada vez hay menos y soluciones para luchar contra ellos pero de vez en cuando todos nos seguimos topando con alguno.

• Rickrolling: o de las cosas que personalmente más me tocan las p-l-t-s. El Rickrolling, para los que anden un poco perdidos, es cuando alguien te pasa un enlace que supuestamente lleva a algún sitio interesante pero realmente a donde nos envía es a un vídeo del cantante ochentero Rick Astley.
• Comentaristas pedantes: lo que desgraciadamente abunda. Dentro de los comentaristas pedantes hay sub-categorías, como los Trolls y los Talibanes ortográficos.
• Virus, fraudes y spam: algo obvio pero que no quería dejar pasar.
• Este sitio web: si entras, te vas a mosquear. Yo ya avisé, luego no me crucifiquéis en los comentarios.
• Vídeos con “auto-arranque”: lo que es un asco sin duda alguna.

¿Qué cosas desterrarías tú de la red?. Si os parece dejarlas en los comentarios.

Cofidis.es pudo ver sus datos comprometidos

###########################################
Cofidis.es pudo ver sus datos comprometidos
Afectado: www.cofidis.es
Falla: cedenciales criticas al descubierto
###########################################

Cofidis es una empresa formada por varios grupos de crédito que agrupan diferentes servicios dentro del panorama de finanzas mundiales.

La definición según podemos leer en su web:

“Somos líderes europeos del crédito por teléfono: tenemos más de 8 millones de clientes. En España, Ya contamos con más de 15 años de experiencia y un equipo de más de 800 colaboradores.”

Cofidis.es pudo verse afectado por un fallo atraves del cual podrían terceras personas haber podido tener acceso
a datos de carácter personal, al haber dejado al descubierto las credenciales de acceso root al portal y así mismo al dejar al descubierto las credenciales de acceso a la base de datos del portal.

Para hacernos una idea de qué tipo de datos pueden haber sido vistos o “robados” por terceros, tan solo debemos mirar uno de los formularios de solicitud de crédito, y por los datos que se nos piden se puede saber qué tipo de datos podría contener la base de datos.

https://www.espaciocliente.cofidis.es/cofidis/preapprove/PreApproveContractDisplayAction.do

Esta noticia Llego a mí, después observar un post en Twitter en el cual se daba una url del portal Cofidis.es y el acceso
a un txt sin ningún tipo de protección, y el cual contenía las credenciales antes mencionadas.

Después de observar esta situación, y hablado con algunos de los miembros del grupo de discusión e investigación, decidimos mirar desde cuando podía haberse dado esta circunstancia y el posible origen de la noticia. Haciendo una búsqueda rápida en los motores de búsqueda habituales Llegamos a un Post en twitter del día 12-10-2009.

Y uno posterior del día 13-10-2009.

Y otro mas el dia 13-10-2009.

El día 14-10-2009 por la tarde el txt que contenía estascredenciales fue retirado del raíz del portal cofidis.es
Con lo cual se puede pensar que esos datos tan sensibles pudieron estar al alcance de todo el mundo durante al
menos tres días.

Google muestra en su cache, una imagen de dicho documento con fecha Del día 13-10-2009 mostrando las credenciales:

http://209.85.229.132/search?q=cache:nrpZAY7spqYJ:www.cofidis.es/cofidis.txt+http://www.cofidis.es/cofidis.txt&cd=8&hl=es&ct=clnk&gl=es

Pero esta sería la fecha en la cual google tomo esa instantánea de ese documento, pudiendo haber reemplazado a una anterior a eso, los logs del servidor de cofidis deberían mostrar cuando fue la primera vez que el spider de google pudo rastrear ese txt.

Así mismo si realizamos una búsqueda en google por el fichero txt entre los resultados primeros puede apreciarse que Google también revela esas credenciales faltaría saber cuando fue incluido en la Indexación ese archivo, para intentar averiguar desde que fecha se pudo haberse producido esta situación.

http://www.google.es/search?q=cofidis.txt

Como pudo Un administrador dejar deliberadamente un archivo con información tan sensible a la vista de cualquier visitante, se preguntara más de uno.

Seguramente el admin no sabía nada de la existencia de ese fichero, o eso creemos o queremos creer) Debió ser un hackeo , por el tipo de fichero generado y su disposición y los datos que contiene podría haberse tratado de algún agujero de seguridad en la web , a traves del cual el atacante hubiese podido incluir algún archivo externo
( esta vulnerabilidad es conocida como RFI (o remote file include) pues hay algunos scripts de los que corren por la red, que justamente hacen eso y mirando su fuente se puede observar que justamente sacan esos datos de la maquina o inyectan una Shell en php.

Creo que cofidis debería dar explicaciones de este hecho y así mismo debería verse como le afecta este acontecimiento a cofidis, ante la LOPD y que datos han sido comprometidos, no por mi porque por suerte yo no me encuentro en su base de datos que yo sepa, pues nunca necesite sus servicios.

Desde el grupo de investigación y desarrollo de Lostmon’s Groups queremos hacer un llamamiento a que las empresas como cofidis y otras que trabajan con datos personales tan sensibles y de tanta confidencialidad, deberían invertir parte de sus beneficios en asegurar que esos datos no estarán accesibles y deberían hacer lo posible por protegerlos como se les pide en la LOPD.

Bien es cierto que en seguridad, no hay nada seguro, o que lo bonito de la seguridad es la inseguridad que trae por si
misma. Y bien es cierto que por mucho que los administradores pongan énfasis y empeño en asegurar servicios y sistemas, siempre hay gente, que va por delante de ellos.

Este analisis ha sido realizado por cLimbo y por Lostmon

thank to all Lostmon groups team
Thnx to estrella to be my ligth

atentamente:
Lostmon (lostmon@gmail.com)
Web-Blog: http://lostmon.blogspot.com/
Google group: http://groups.google.com/group/lostmon (new)
–
La curiosidad es lo que hace mover la mente….

Descarga Zone Alarm Pro y pruébalo gratis hoy, 13 de Octubre de 2009

Hoy y sólo hoy, Zone Labs ofrece para descargar de forma gratuita su firewall Zone Alarm Pro, como ya hicieron en noviembre del año pasado. La oferta comenzará sobre las 15:00 hora española, y durará justo 24 horas.

Zone Alarm Pro es uno de los software de seguridad más completos del mercado. Lo vengo usando desde hace años en su versión gratuita, y con estas ofertas aprovecho para pasar otros ordenadores a la versión completa. Durante un tiempo, tenía un grave problema de consumo incremental de recursos, pero eso pasó y han conseguido reducir su apetito de memoria hasta un punto razonable.

Si no estás acostumbrado a usarlo y te da por probarlo, ahí va un pequeño consejo. Cuando cualquier aplicación intente acceder a la red, te aparecerá un cuadro de diálogo, indicando si es un acceso a Internet o a la red local, y si el acceso es de descarga, como servidor, o de envío de correo.

Si marcas la casilla “no volver a preguntar”, esa aplicación se guarda en la lista de programas, con el permiso aceptado o denegado, según elijas. Ten cuidado en denegar permisos a procesos propios de Windows: si algo empieza a fallar, acude a esa lista, a ver si has denegado permisos a algún proceso importante del sistema.

Actualizado: Ya está disponible la descarga. Requiere registro, y envían un enlace a tu dirección de correo electrónico.

Enlace | Zone Alarm Pro gratuito hoy

Vía | Genbeta

La próxima versión de Debian también saldrá con núcleo FreeBSD

Debian ha anunciado hoy que la próxima versión de la distribución, apodada Squeeze, verá la luz por primera vez con el núcleo de FreeBSD además del habitual núcleo Linux. Esta variante del sistema se llamará Debian GNU/kFreeBSD y estará disponible tanto para i386 como para amd64.

Debian 6.0 Squeeze tiene previsto su lanzamiento para la primavera de 2010. Es imposible que esta nueva variante suponga un solo retraso en el lanzamiento, en Debian jamás permitirían nada así. Podéis comprobarlo en el anuncio, donde dicen claramente que «los fallos graves en estas arquitecturas serán considerados críticos para la publicación al mismo nivel que los fallos en otras arquitecturas». Oh, espera…

Hace varios años que está en desarrollo también otra variante llamada Debian GNU/Hurd, es decir, otra versión utilizando el núcleo Hurd. De momento no se ha anunciado que se vaya a publicar una versión estable (y yo no esperaría ningún anuncio de ese tipo en los próximos años tampoco).

Por último, un detalle curioso: Los más observadores habrán notado la presencia de esa «k» en el nombre de Debian GNU/kFreeBSD. Viene a significar que se utiliza únicamente el núcleo (kernel) del sistema FreeBSD, no el sistema entero.

Vía | Bitelia

Telefónica duplicará la velocidad de su ADSL antes de navidades

Telefónica prepara una nueva duplicación de velocidad del ADSL para estas Navidades. El aumento será posible gracias al uso de VDSL2 desde las centrales, que permite extender el rango de usuarios que pueden sincronizar a más velocidad. La operadora tratará así de hacer más apetecible su ADSL sin tener que tocar el precio.

Con la última duplicación a 6 megas, el ADSL ha llegado al límite de sus posibilidades en la mayoría de bucles de abonado, que por su excesiva longitud no son capaces de trabajar a mayor velocidad. El VDSL2, inicialmente previsto para dar al menos 30 megas en bucles cortos, también tiene ventajas para el resto de bucles, ya que les permite trabajar a más velocidad que el ADSL2+ estando a una misma distancia de la central.

Según publica hoy el diario El Economista en su portada, se trataría de una duplicación, por lo que la nueva velocidad sería de 12 Mbps. de descarga. Veremos que pasa con la velocidad de subida, que sigue en 320 Kbps después de cuatro años sin cambios. Aunque el aumento en principio no tendrá coste para el cliente, sí lo tiene para Telefónica, que deberá cambiar el router del cliente por uno compatible con VDSL2 (como el Huawei Echolife HG520V), ya que los actuales no lo soportan.

Recordamos que en la última duplicación de 3 a 6 Mb, que en principio se anunció como gratuita, Telefónica acabó cobrando 1 € más al mes a los usuarios que querían migrar. Eso quien pudo migrar, ya que una buena parte de los usuarios continúan a día de hoy con 3 Mb. En esta ocasión volvería a ocurrir algo similar, ya que no todas las centrales disponen de VDSL2. Puedes comprobar la cobertura VDSL2 en el localizador de centrales.

A Google le crece

Lo anunciaban hace unas horas, han alargado la caja de búsquedas de la página principal de Google, no mucho pero lo suficiente para ser perceptible a primera vista. El tamaño de fuente y los dos botones también han aumentado.

Según la compañía la razón del cambio es recordarnos que Google sigue muy centrado en las búsquedas y hacer que su página limpia y minimalista sea aún más fácil y divertida de usar.

Personalmente me gustaba más como estaba, ¿y a vosotros?

Bing.com WebmasterAuthenticationInformationPage.aspx XSS

###########################################
Bing.com WebmasterAuthenticationInformationPage.aspx XSS
URL del vendedor: http://ww.bing.com
Reportado: http://lostmon.blogspot.com/2009/08/bingcom-webmasterauthenticationinformat.html
Vendedor avisado: Sí Confirmación vendedor: Sí
###########################################

El motor de búsqueda Bing, contiene un error que permite ataques cross site scripting.
Este defecto existe porque la solicitud no valida correctamente la variable ‘authTag para la presentación de ‘WebmasterAuthenticationInformationPage.aspx’ podría script. Esto permite a un usuario crear una URL especialmente preparada para ejecutar código arbitrario en el navegador de un usuario dentro de la relación de confianza entre el navegador y el servidor, lo que lleva a una pérdida de integridad.

Un atacante puede componer un enlace incorrecto en la variable ‘WebmasterAuthenticationInformationPage.aspx’ y el consiguiente código, es escribir en dos cajas y en el ‘LiveSearchSiteAuth.xml’.

Un usuario remoto puede redactar un enlace incorrecto en la variable de ‘ WebmasterXMLAuthDownloadPage.aspx’, para descargar ‘LiveSearchSiteAuth.xml’ => es éste el archivo que contiene el código malicioso.

#########
solución:
##########

Que el vendedor cree un parche

#############
Cronología:
#############

Descubierto: 18-junio-2009
notificado al vendedor: 07-08-2009
proveedores de respuesta: 07-08-2009
vendedor respuesta sobre parche: 13-08-2009
publicado: 13-08-2009

################ End #####################

Thnx to Microsoft Security Response Center (MSRC)
http://blogs.technet.com/msrc/
thnx to estrella to be my ligth
thnx to all who day after day support me !!!
–
atentamente:
Lostmon (lostmon@gmail.com)
—-

thz Lost

Vulnerabilidad en Apache ODE

Una nueva vulnerabilidad ha sido reportada en Apache ODE en la pagina de seguridad informática Secunia, que puede ser potencialmente explotada para revelar información sensible o manipular determinados archivos.

La vulnerabilidad es causada debido a un error de validación de entrada en el proceso de despliegue de servicios web en el tratamiento de mensajes.

Esto puede ser explotado para crear, sobreescribir o eliminar archivos en el servidor mediante el uso de un camino transversal que contiene las secuencias de directorio para el nombre.

+info: http://secunia.com/advisories/36249/

Vía | RetroNet

Un despertador algo molesto, pero efectivo

Hoy os vamos a enseñar cómo podrían ser los despertadores de un futuro próximo;