최근 익명의 해커가 Yahoo! Local Neighbors 게시판에서 SQL 인젝션 취약점을 발견했습니다. 취약점을 통해 해커는 관리자나 사용자의 정보를 읽어 낼 수 있으며 서버에 쉘코드(shellcode)도 업로드가 가능합니다.

해커는 "Unu"라는 이름을 이용하여 취약점을 발견했으며 이에 대한 증거로 관련 스크린샷을 함께 공개했습니다.

<그림 #1.  데이터베이스의 스키마 정보가 노출된 화면 >

<그림 #2. root 권한으로 데이터베이스에 연결한 화면>



<그림 #3/4. 개인 정보가 누출된 화면>

<그림 #5. 특정한 파일에 데이터를 업로드하는 화면>

다행이도 이 문제는 야후에게 알려져 모두 패치가 완료된 상태입니다.

크고 유명한 웹사이트라고 해도 보안 취약점은 피해갈 수 없나 봅니다.








reTweet
Posted by 문스랩닷컴
blog comments powered by Disqus
    요즘 야후, AOL, MSN 등 메신저에서 취약점이 발견되어 패치하고 업데이트하느라 난리입니다. MSN 메신저의 경우 기존의 취약점이 있는 버전은 로그온 자체가 막히는 현상까지 나타났습니다.

    이 번 주에 야후 메신저를 공격하는 새로운 코드가 인터넷에 공개되었습니다. 유명한 메신저를 공격하는 올해만 들어 모두 9번째입니다.

    milw0rm.com 웹사이트에서는 최신 야후 메신저를 사용하는 사람들에게 고의적으로 파일을 삽입하는 VB 코드를 공개했습니다. 이 공격코드는 윈도우 XP SP2가 설치되고 최신 보안패치가 모두 업데이트된 컴퓨터에서 완벽하게 동작했습니다.

    보안회사인 nCircle에서는 해커가 이 공격코드를 통해 트로이 목마와 같은 악성 프로그램을 강제로 삽입할 수 있다고 합니다.

    한편 야후는 지난 달에도 이미 2번의 보안 패치를 발표한 바 있으며, 이번 달에는 더 큰 취약점이 발표되어 난감할 것입니다.

    감사합니다.
    reTweet
    Posted by 문스랩닷컴
    blog comments powered by Disqus

      지난 번에 야후 메신저에서 웹 캠에 관련된 문제점이 공개된 것을 알려 드린 적이 있습니다.

      관련자료: http://moonslab.com/443

      드디어, 패치된 버전이 새로 나왔습니다. 쓰시는 분들은 얼른 업데이트하세요.

      다운로드: http://messenger.yahoo.com/security_update.php?id=082107

      이러한 소식을 알려진 얼마 되지 않아 오늘 또 새로운 취약점이 발견되었습니다. 이 취약점은 최신 버전의 메신저에서도 나타나는 것으로 알려지고 있습니다.

      이 취약점은 YVerinfo.dll 액티브엑스 컨트롤에서 스택에 기반한 버퍼 오버플로 결함으로 공격자가 성공적으로 잇스플로잇한 경우에는 시스템에 공격성 코드를 삽입할 수 있다고 합니다.

      버그를 익스플로잇하기 위해서는 yahoo.com에 악성 웹페이지를 개설해야 하며 그러한 방법을 통해 크로스사이트 스크립트 또는 DNS 이름풀이 조작과 같은 기술로 이루어집니다.

      야후 메신저 v8.1.0.419 이전 버전에서 발생합니다.

      추가정보: iDefense

      해결 대안으로는 문제가 발생하는 컨트롤의 CLSID를 변경하는 방법입니다. 자세한 사항은 위의 링크를 참고하세요.

      끝.


      reTweet
      Posted by 문스랩닷컴
      blog comments powered by Disqus


        Web Analytics Blogs Directory