Google vulnerable a XXE y Yahoo a SQL Injection
Una vulnerabilidad crítica Google permitía a un atacante acceder a los archivos internos de los servidores de producción de la empresa.
La vulnerabilidad residía en la Toolbar Button Gallery. Los investigadores encontraron el bug después de que se dieron cuenta de que la barra podía ser personalizada por los usuarios creando botones propios, subiendo archivos XML que contienen metadatos.
Esta función del motor de búsqueda Google es vulnerable XML External Entity (XXE). XXE es una inyección de XML que permite a un atacante forzar un analizador XML mal configurado para "incluir" o "cargar" funcionalidades no deseadas y que pueden poner en peligro la seguridad de la aplicación web.
"La causa principal de las vulnerabilidades XXE es no analizador el código XML suminitrado por el usuario y arriesgarse a interpretar código dañino. Algunos ataques incluyen: acceso a archivos locales, denegación de servicio y ejecución remota de código", escribieron los investigadores en su blog.
Los investigadores inmediatamente informaron la vulnerabilidad al equipo de seguridad de Google y recompensado con U$S10.000.
Por su parte, Yahoo Flickr uno de los grandes sitios web de gestión de fotos del mundo, tenía vulnerabilidades críticas en sus aplicaciones web, lo cual permitían acceso remoto a sus bases de datos y al servidor del sitio Web.
Ibrahim Raafat, un investigador de seguridad de Egipto, ha encontrado vulnerabilidades de inyección SQL en Flickr Photo Books, una característica que permite ka impresión de libros de fotos personalizados a través de Flickr, y que fue lanzado hace 5 meses.
Raafat afirmó haber encontrado dos parámetros (page_id, artículos) vulnerable a Blind SQL Injection que le permitió realizar consultas a la base de datos de Flickr a través de una declaración SELECT. Aquí se puede ver el video.
Su explotación exitosa podría permitir a un atacante robar la contraseña del administrador de bases de datos y MYSQL.
Además, la inyección facilitaba que el atacante pudiera explotar una ejecución remota de código en el servidor y utilizar la función load_file para lista archivos, por ejemplo load_file("/etc/passwd").
Raafat denunció la vulnerabilidad a Yahoo y este ya la ha parcheado.
Cristian de la redacción de Segu-Info
La vulnerabilidad residía en la Toolbar Button Gallery. Los investigadores encontraron el bug después de que se dieron cuenta de que la barra podía ser personalizada por los usuarios creando botones propios, subiendo archivos XML que contienen metadatos.
Esta función del motor de búsqueda Google es vulnerable XML External Entity (XXE). XXE es una inyección de XML que permite a un atacante forzar un analizador XML mal configurado para "incluir" o "cargar" funcionalidades no deseadas y que pueden poner en peligro la seguridad de la aplicación web.
"La causa principal de las vulnerabilidades XXE es no analizador el código XML suminitrado por el usuario y arriesgarse a interpretar código dañino. Algunos ataques incluyen: acceso a archivos locales, denegación de servicio y ejecución remota de código", escribieron los investigadores en su blog.
Los investigadores inmediatamente informaron la vulnerabilidad al equipo de seguridad de Google y recompensado con U$S10.000.
Por su parte, Yahoo Flickr uno de los grandes sitios web de gestión de fotos del mundo, tenía vulnerabilidades críticas en sus aplicaciones web, lo cual permitían acceso remoto a sus bases de datos y al servidor del sitio Web.
Ibrahim Raafat, un investigador de seguridad de Egipto, ha encontrado vulnerabilidades de inyección SQL en Flickr Photo Books, una característica que permite ka impresión de libros de fotos personalizados a través de Flickr, y que fue lanzado hace 5 meses.
Raafat afirmó haber encontrado dos parámetros (page_id, artículos) vulnerable a Blind SQL Injection que le permitió realizar consultas a la base de datos de Flickr a través de una declaración SELECT. Aquí se puede ver el video.
Su explotación exitosa podría permitir a un atacante robar la contraseña del administrador de bases de datos y MYSQL.
Cristian de la redacción de Segu-Info
0 Comments:
Publicar un comentario
Gracias por dejar un comentario en Segu-Info.
Gracias por comentar!