Тонкости E-commerce :о))

[Loo]

Главное в ИТ безопасности, это бдить! :о)) Вообщем не так, как в танке, где известно, что главное :о))

Несколько дней назад назад умер rgod (он же Retrogod) очень известная личность , теперь уже был. Полез я посмотреть, почитать. Натыкаюсь на

 

IBiz E-Banking Integrator V2 ActiveX Edition Insecure Method

 

Application:

IBiz E-Banking Integrator V2 ActiveX Edition

url: www.nsoftware.com

 

Files:

---------------------------------------------

CLSID: {24445110-F789-11CE-86F8-0020AFD8C6DB}

ProgID: IBizEBank.BankStatement.1

File: bankstatement20.ocx

Ver.: 2.0.2932.0

---------------------------------------------

CLSID: {24445120-F789-11CE-86F8-0020AFD8C6DB}

ProgID: IBizEBank.CCStatement.1

File: ccstatement20.ocx

Ver.: 2.0.2932.0

---------------------------------------------

CLSID: {24445250-F789-11CE-86F8-0020AFD8C6DB}

ProgID: IBizEBank.Account.1

File: account20.ocx

Ver.: 2.0.2932.0

---------------------------------------------

CLSID: {24445320-F789-11CE-86F8-0020AFD8C6DB}

ProgID: IBizEBank.OFXBatch.1

File: ofxbatch20.ocx

Ver.: 2.0.2932.0

---------------------------------------------

CLSID: {24445360-F789-11CE-86F8-0020AFD8C6DB}

ProgID: IBizEBank.InvStatement.1

File: invstatement20.ocx

Ver.: 2.0.2932.0

---------------------------------------------

CLSID: {24445430-F789-11CE-86F8-0020AFD8C6DB}

ProgID: IBizEBank.FIProfile.1

File: fiprofile20.ocx

Ver.: 2.0.2932.0

---------------------------------------------

 

All marked as:

RegKey Safe for Script: False

RegKey Safe for Init: False

Implements IObjectSafety: True

IDisp Safe: Safe for untrusted: caller,data

IPersist Safe: Safe for untrusted: caller,data

IPStorage Safe: Safe for untrusted: caller,data

 

Bug:

The above files are distributed with the package IBiz E-Banking Integrator V2 ActiveX Edition and contain the insecure "WriteOFXDataFile ()" method which allows to overwrite and/or to corrupt arbitrary files in the context of the currently logged-on user.

The structure of this method is as follows:

 

Sub WriteOFXDataFile ( ByVal FileName As String )

so it's easy to understand that the vulnerability is due to the fact that the path given to the "FileName" parameter is not properly checked before being used by ActiveX control to write the file on the computer.

 

Exploitation:

Remote and Local

 

Solution:

Set the kill-bit for the affected ActiveX controls.

For more info, see: http://support.microsoft.com/kb/240797

 

Proof of concept:

http://www.shinnai.altervista.org/xplits/T...9GiAViYSHd.html

 

--

In memory of rgod: "Fuck the Telecom Guy, fuck ZDI"

Вообщем модуль несекьюрный, разрешает доступ к файлам пользователя. Смотрим, чего же за модуль то такой ...

http://www.nsoftware.com/ibiz/epayment/technologies.aspx

 

И видим список, контор, которые его используют предположительно

 

Bank Of America www.bankofamerica.com

 

Chase Merchant Services www.chase.com

 

eProcessing www.eProcessingNetwork.com

 

eWay www.eway.com.au

 

goEmerchant www.goemerchant.com

 

GoRealTime (Full-pass) www.gorealtime.com

 

Intellipay ExpertLink www.intellipay.com

 

Iongate www.iongate.com

 

NetBilling www.netbilling.com

 

Network Merchants www.networkmerchants.com

 

PayFlowLink - Verisign www.verisign.com

 

SECPay www.secpay.com

 

SecurePay www.securepay.com

 

Sterling www.sterlingpayment.com

 

SurePay / YourPay www.surepay.com

 

TrustCommerce www.trustcommerce.com

 

USA ePay www.usaepay.com

 

Verisign PayFlow Pro www.verisign.com

 

КОРОЧЕ ИХ ТАМ МНОГО!!!

 

Собственно, посмотрев чуть-чуть команды, которая выложила этот релиз, начинаешь понимать, что либо они сами работают программистами таких бизнес-приложений, либо они занимаются ими целенаправленно.

 

К чему я все это? ПРийдете Вы как-нибудь на сайт конторы, "заплатить" своей кредиткой и будетет доказывать, о том что Вы все сделали как надо, максимально себя обезопасили и свою кредитку, и так далее "я не верблюд". А оно все воно как на самом деле. И никаких скандалов, никаких новостей.

Более чем 50 клиентов сменили версию? Извините, не верю.