PT-2011-19: Внедрение операторов SQL в Help Request System

(PT-2011-19) Positive Technologies Security Advisory
Внедрение операторов SQL в Help Request System

Уязвимое ПО

Help Request System
Версия 1.1a и меньше

Ссылка на приложение:
http://freehelpdesk.org/

Рейтинг опасности

Уровень опасности: Высокий
Воздействие: Внедрение операторов SQL
Вектор атаки: Удаленный

CVSS v2:
Base Score: 7.5
Vector: (AV:N/AC:L/Au:N/C:P/I:P/A:P)

CVE: отсутствует

Описание программного обеспечения

Система Help Request System представляет собой приложение для организации работы службы технической поддержки. Данное решение предоставляется бесплатно.

Описание уязвимости

Positive Research Center обнаружил уязвимость типа "Внедрение операторов SQL" в Help Request System.
Приложение некорректно проверяет данные, поступившие от пользователя, которые используются для генерации SQL-запросов. Злоумышленник получает возможность модифицировать запрос к SQL-серверу, отправляемый приложением, что позволяет работать с SQL-сервером в обход логики приложения, получать произвольную информацию от SQL-сервера в рамках привилегий веб-приложения, в том числе, критические данные: логины и пароли администраторов. Это позволяет провести атаку типа "Внедрение операторов SQL".

"Внедрение операторов SQL" – способ нападения на базу данных в обход межсетевой защиты. В этом методе параметры, передаваемые базе данных через веб-приложения, изменяются таким образом, чтобы изменить выполняемый SQL-запрос. Например, добавляя различные символы к параметру, можно выполнить дополнительный запрос совместно с первым.

Злоумышленник может получить доступ к данным, которые обычно недоступны, или получить данные конфигурации системы, которые могут использоваться для дальнейших нападений. Например, измененный запрос может возвратить хешированные пароли пользователей, которые в последствии могут быть расшифрованы методом перебора.

Решение

Установите последнюю версию приложения

Статус уведомления

07.07.2011 - Производитель уведомлен
15.07.2011 - Производителю отправлены детали уязвимости
16.07.2011 - Производитель выпустил исправление
24.08.2011 - Публикация уязвимости

Благодарности

Уязвимость обнаружил Юрий Гольцев (Исследовательcкий центр Positive Research компании Positive Technologies)

Ссылки

http://www.securitylab.ru/lab/PT-2011-19

Список отчетов о ранее обнаруженных уязвимостях Positive Research:

http://www.securitylab.ru/lab/
http://www.ptsecurity.ru/advisory.asp

О Positive Technologies

Positive Technologies www.ptsecurity.ru - одна из ведущих российских компаний в области информационной безопасности.
Основные направления деятельности компании - разработка систем комплексного мониторинга информационной безопасности (XSpider, MaxPatrol); предоставление консалтинговых и сервисных услуг в области информационной безопасности; развитие специализированного портала Securitylab.ru.

Заказчиками Positive Technologies являются более 40 государственных учреждений, более 50 банков и финансовых структур, 20 телекоммуникационных компаний, более 40 промышленных предприятий, компании ИТ-индустрии, сервисные и ритейловые компании России, стран СНГ, Балтии, а также Великобритании, Германии, Голландии, Израиля, Ирана, Китая, Мексики, США, Таиланда, Турции, Эквадора, ЮАР, Японии.

Positive Technologies - это команда высококвалифицированных разработчиков, консультантов и экспертов, которые обладают большим практическим опытом, имеют профессиональные звания и сертификаты, являются членами международных организаций и активно участвуют в развитии отрасли.