terça-feira, 13 de dezembro de 2011

Plugin de serviço do Google expõe 30 mil sites a vulnerabilidades e ataques maliciosos


Foi divulgada pela empresa de soluções de segurança RandomStorm vulnerabilidade relacionada a plugin que disponibiliza a blogs e sites o CAPTCHA, serviço de reconhecimento de acessos humanos (Teste de Turing) adquirido pelo Google em setembro de 2009.

A vulnerabilidade Cross-Site Scripting (XSS) está presente no plugin WP-reCAPTCHA, utilizado em mais de 30 mil ocorrências de sites pesquisados pelo próprio sistema de buscas do Google.


O referido plugin, agora indisponível ante a divulgação da vulnerabilidade, poderia ser baixado nos links  http://www.google.com/recaptcha e http://wordpress.org/extend/plugins/wp-recaptcha .

A Prova de Conceito (POC) da vulnerabilidade é a seguinte:
http://localhost/comment-page-1/?rcommentid=(id number)&rerror=(XSS)

Pesquisando pela referência inurl:rcommentid= error= no Google, percebe-se que há mais de 30 mil ocorrências em sites do mundo inteiro.

terça-feira, 6 de dezembro de 2011

Especialista descobre falhas de segurança nos sites do Banco do Brasil, R7, Baixaki e Superdownloads


Foram divulgadas hoje falhas de segurança nos sites da R7 da Emissora Record, nos sites de divulgação de programas Baixaki e Superdownloads, e inclusive no site do Banco do Brasil, a maior instituição financeira do Brasil, descobertas pelo especialista em segurança Mario G. de Souza, autor do blog http://netfuzzer.blogspot.com/ .

Tratam-se de falhas de Cross-Site Scripting (XSS), as quais consistem numa vulnerabilidade em que são introduzidos comandos Javascript em páginas legítimas.

Esses comandos podem redirecionar usuários leigos a sites de phishing (páginas que possuem intuito de estelionato) ou inclusive podem furtar dados pessoais contidos em cookies da página vulnerável.

O especialista relata que notificou todos os administradores de sistema, sem qualquer resposta, alguns há mais de um ano.

Seguem abaixo algumas demonstrações desta falha:

Baixaki -
http://www.baixaki.com.br/busca.asp?z=1&cx=partner-pub-7019091094896260:86zzz47inzp&cof=FORID:9&sa=Pesquisar&q=m3u%22;%20%0D%0A%20//id=%22q%22%20%0D%0A%20%20alert(String.fromCharCode(88,83,83));;//

Superdownloads -
http://busca.superdownloads.com.br/busca.cfm?q=aaaaaaaa%27%7D%3B+alert%28%27XSS%27%29%3B+var+code+%3D+%7B%27xss%27%3A%27xss&a=Softwares

R7.comhttp://busca.r7.com/s?_te=&q=xss%27};%20alert%28%27XSS%27%29;%20var%20code%20=%20{%27xss%27:%27xss

segunda-feira, 5 de dezembro de 2011

O que o Google pode fazer com as informações de seus e-mails? Analisando os Termos de Privacidade e de Serviço


O Gmail, serviço de correio eletrônico gratuito, oferece um serviço evidentemente rápido, eficiente e com um serviço de procura ímpar, permitindo que seus usuários realizem buscas inteligentes e parametrizadas dentro de sua caixa de entrada.

Foi o primeiro serviço de e-mail gratuito a disponibilizar um espaço de 1 GB para seus usuários. Em outubro de 2011, possuía 260 milhões de usuários em todo mundo.

Porém, tendo em vista que "there is no free lunch", perguntamos: O que o Google ganha com isso?
Ele simplesmente filtra as suas preferências como consumidor, com base nos dados que 

Então, ele analisa seus dados pessoais e informações de e-mail? SIM.
E ele pode fazer isso? Bom, você, ao se cadastrar no Gmail, aceitou seus termos de serviço, renunciando tacitamente à sua privacidade.

Dessa forma, vejamos o que o Google, através do Gmail e de seus serviços de busca, pode fazer com seus dados, conforme seu Termo de Política de Privacidade (http://www.google.com/intl/pt-BR/privacy/privacy-policy.html):

  • Informações que você fornece – O Google pode usar suas informações, inclusive as contidas em seus e-mails pessoais, para vender publicidade específica aos seus anunciantes. Não só isso, os anunciantes poderão ter acesso a suas informações, esta pessoa estranha ao termo de uso, à qual o Google dá o nome pomposo de administrador de domínio (http://www.google.com/support/a/bin/answer.py?answer=178897).
  • Cookies – Cookies são arquivos enviados quando você visita determinadas páginas. Se você pesquisar por "churrasqueiras elétricas" ou "encomenda de flores online", o Google poderá ter acesso a esses dados, os quais dizem quando ocorreu, em qual site, e quais as informações enviadas.
  • Informações de registro – O Google pode utilizar suas informações de acesso, entre as quais IP, data de aceso, navegador que usou, idioma do navegador, entre outras informações.
  • Comunicação com o usuário – Se você receber uma mensagem SMS por um dos serviços do Google, ele poderá utilizar seu número de telefone, a sua operadora, o conteúdo da mensagem e a data e hora da transação.
  • Dados de localização – Se você utilizar serviços tais como Google Maps e Google Latitude, verificar um lugar que quer ir no celular com o uso de GPS, e se encaminhar mensagens que determina onde você está (como um tweet), o Google pode utilizar essa informação. Em suma, o Google pode saber onde você está, por onde andou e em qual horário.
Ao final do termo, o Google faz você concordar que tem o direito:
  • Fornecer, manter, proteger e melhorar nossos serviços (incluindo os serviços de publicidade) e desenvolver novos serviços, e
  • Proteger os direitos ou as propriedades do Google ou dos nossos usuários.
Em suma, significa que ele pode utilizar suas informações pessoais para vender publicidade e desenvolver novos serviços.
Mas o melhor vem para o final, pois, ao dizer que poderá utilizar essas informações para proteger direitos e propriedades do Google, você está permitindo que, se resolver por ventura entrar com ação judicial contra o Google, este poderá utilizar suas informações privadas para se defender em juízo.

É uma total renúncia ao seu direito de não produzir prova contra si mesmo, derivado do princípio constitucional da presunção de inocência.

Essa cláusula é tão aberta e genérica que, numa interpretação mais ampliativa, ainda permite que se o Google decide processar um terceiro, imaginemos ser um amigo seu, poderá utilizar a informação de seu e-mail, que não tem nada com a referida relação judicial, para "defender seus direitos" em juízo.

Há passagens interessantes também no Termo de Serviço do Google (http://www.google.com/accounts/TOS?hl=pt-BR), tal como:

Cláusula 13.3 - Alínea (E): O Google pode interromper o fornecimento do serviço de e-mail se não for economicamente interessante.

Cláusula 20.7: Se quiser acionar o Google perante o Poder Judiciário, terá que se dirigir ao Estado da Califórnia, nos Estados Unidos, e submeter a apreciação de sua demanda ao Tribunal do Condado de Santa Clara.