lunes, 29 de octubre de 2012

Advisory XSS-ASPMyAdmin 10102012


Advisory ID: OS001

Product: ASPmyAdmin
Created by: Sukalyan Chakraborty
Vulnerable Version(s): NA
Tested Version: NA

Vulnerability Type: Reflected Cross-Site Scripting [CWE-712]
Public Disclosure: October 10, 2012
Vendor status : Notified
CVSS Base Score :5.8
CVSS Temporal Score 5.8
CVSS Environmental Score 7.5
Researcher: Alfredo García, Senior Security Consultant @ Open-sec ( http://www.open-sec.com/ )

Advisory Details :

Alfredo García, Senior Security Consultant at Open-Sec discovered a vulnerability in ASPmyAdmin, which can be exploited to perform Multiple Cross-Site Scripting (XSS) and arbitrary HTML injection attacks.

Vulnerability Description : Multiple Cross-Site Scripting (XSS) in ASPmyAdmin:

ASPMyAdmin includes ASP scripts that fail to adequately sanitize output strings coming from user-supplied input . By leveraging this issue, an attacker may be able inject arbitrary HTML and Javascript code to be executed in a user's browser within the security context of the affected victim.
At least, the following scripts are vulnerable using the dbName parameter through GET :
db_info.asp
db_table.asp
db_view.asp
db_procedure.asp
db_sql.asp
db_drop.asp

Examples of URLs that lead to exploit this vulnerability are :

http://www.host.com/db_table.asp?dbName=<script>alert(document.cookie)</script>
http://www.host.com/db_procedure.asp?dbName=<script>window.alert('Open-Sec')</script>
Impact : Victims are exposed to unwanted content, modified content, redirection to other site and/or content, user's session cookies stealing, browser-based attacks, etc.

Solution:

To fix this kind of vulnerability (XSS), you colud establish a web application firewall, but, actually, you must validate all output strings. You must validate that the output is the type, length and format are the expected ones. For more information on prevention, visit :https://www.owasp.org/index.php/XSS_%28Cross_Site_Scripting%29_Prevention_Cheat_Sheet

Also, check out the following link to implement web application security based on ESAPI
https://www.owasp.org/index.php/Category:OWASP_Enterprise_Security_API

Contact Information : For additional details, feel free to contact Alfredo Garcia at agarcia@open-sec.com


About Open-Sec : 

Open-Sec is a Perú based company focused on penetration testing and security incidents investigation services. With customers at Perú, Ecuador, Panamá and Honduras, Open-Sec provides consulting services through a team of certified and experienced consultants.

Disclaimer: The information provided in this Advisory is provided "as is" and without any warranty of any kind. Details of this Advisory may be updated in order to provide as accurate information as possible. 

martes, 9 de octubre de 2012

Webminar : Implantación y certificación de la norma PCI DSS




Open-Sec , en alianza con  Internet Security Auditors tiene el agrado de invitarlos al webminar "Implantación y certificación de la norma PCI DSS"

Instituciones y organizaciones que almacenen, procesen y/o transmitan información de titulares de tarjetas, debe cumplir la norma PCI DSS, para evitar fraudes o robos de información confidencial. El webminar tiene como objetivo brindar el marco general de la norma, el proceso de implementación y su posterior certificación.

A continuación los detalles de la charla:

Horario
23 de octubre de 2012, 10:00 a.m. Lima (17:00 CET) - 11:30 a.m. Lima (18:30 CET)

Temario

10:00 Bienvenida al webinar
  10:05 Introducción a PCI DSS
              i) ¿Qué es PCI DSS?
              ii) Otras Normas PCI: PA-DSS, P2PE, PTS
              iii) Aplicabilidad
              iv) Programas de Cumplimiento de las Marcas
  10:25 Implantación PCI DSS (40 minutos)
             i) Proceso de Implantación
             ii) Ámbito de Cumplimiento (Scope)
             iii) Técnicas de reducción del Ámbito
                 a. Eliminación
                 b. Segmentación
                 c. Tokenización
                 d. P2PE
  11:00 Certificación PCI DSS
              i) Proceso de auditoría
              ii) Mantenimiento de la certificación
  11:15 Turno de preguntas
  11:30 Fin del webinar

Ponente
Miguel Ángel Domínguez

Biografía:
Miguel Ángel Domínguez es socio y co-fundador de Internet Security Auditors, y dirige el departamento de Consultoría que lidera los proyectos de implantación de la norma PCI DSS. Ha desarrollado su carrera profesional en el ámbito de la auditoría y la consultoría de seguridad de sistemas de información, colaborando en la metodología OSSTMM que se ha convertido en estándar de auditoría para pentesting. Está certificado PCI QSA, PA QSA, CISA, CISSP, ISO27001 Lead Auditor Instructor, CGEIT, SBCI y OPST. Es Licenciado en Ingeniería Informática por la Universidad Autónoma de Barcelona y Máster en Seguridad TI y Comercio Electrónico por La Salle.

Para registrarse al evento , escribir a : info@open-sec.com