Cofidis.es pudo ver sus datos comprometidos

###########################################
Cofidis.es pudo ver sus datos comprometidos
Vendor: www.cofidis.es
Falla: cedenciales criticas al descubierto
Actualizado:13-02-2010
###########################################
　
Cofidis es una empresa formada por varios grupos de
crédito que agrupan diferentes servicios dentro del
panorama de finanzas mundiales.

La definición según podemos leer en su web:
"Somos líderes europeos del crédito por teléfono:
tenemos más de 8 millones de clientes. En España, Ya
contamos con más de 15 años de experiencia y un equipo
de más de 800 colaboradores."

Cofidis.es pudo verse afectado por un fallo atraves del
cual podrían terceras personas haber podido tener acceso
a datos de carácter personal, al haber dejado al descubierto
las credenciales de acceso root al portal y así mismo al dejar
al descubierto las credenciales de acceso a la base de datos
del portal.

Para hacernos una idea de qué tipo de datos pueden haber sido
vistos o "robados" por terceros, tan solo debemos mirar uno de
los formularios de solicitud de crédito, y por los datos que
se nos piden se puede saber qué tipo de datos podría contener
la base de datos.
https://www.espaciocliente.cofidis.es/cofidis/preapprove/PreApproveContractDisplayAction.do

Esta noticia Llego a mí, después observar un post en Twitter
en el cual se daba una url del portal Cofidis.es y el acceso
a un txt sin ningún tipo de protección, y el cual contenía
las credenciales antes mencionadas.

Después de observar esta situación, y hablado con algunos de
los miembros del grupo de discusión e investigación, decidimos
mirar desde cuando podía haberse dado esta circunstancia y el
posible origen de la noticia. Haciendo una búsqueda rápida en
los motores de búsqueda habituales
##################
Actualizacion
##################

al parecer la primera noticia sobre
esta circunstlancia podria ser este post
en un blog en el cual se habla del tema
sin revelar en si las direcciones directas.
Los Post de twiter habrian podido sacar la
informacion para sus post

el post es del dia 11-10-2009

http://86400.es/2009/10/11/
la-seguridad-de-los-que-manejan-nuestro-dinero/

#################################

Llegamos a un Post en twitter del día 12-10-2009.


Y uno posterior del día 13-10-2009.

y otro mas el dia 13-10-2009


El día 14-10-2009 por la tarde el txt que contenía estas
credenciales fue retirado del raíz del portal cofidis.es
Con lo cual se puede pensar que esos datos tan sensibles
pudieron estar al alcance de todo el mundo durante al
menos tres días.

Google muestra en su cache, una imagen de dicho documento
con fecha Del día 13-10-2009 mostrando las credenciales

http://209.85.229.132/search?q=cache:nrpZAY7spqYJ:www.cofidis.es/xxxxx.txt+http://www.cofidis.es/xxxx.txt&cd=8&hl=es&ct=clnk&gl=es


Pero esta sería la fecha en la cual google tomo esa instantánea
de ese documento, pudiendo haber reemplazado a una anterior eso
Los logs del servidor de cofidis deberían mostrar cuando fue la
primera vez que el spider de google pudo rastrear ese txt.

Así mismo si realizamos una búsqueda en google por el fichero txt
entre los resultados primeros puede apreciarse que Google también
revela esas credenciales faltaría saber cuando fue incluido en la
Indexación ese archivo, para intentar averiguar desde que fecha se
pudo haberse producido esta situación.

http://www.google.es/search?q=cofidis.txt


Como pudo Un administrador dejar deliberadamente un archivo
con información tan sensible a la vista de cualquier visitante,
se preguntara más de uno.

Seguramente el admin no sabía nada de la existencia de ese
fichero, o eso creemos o queremos creer) Debió ser un hackeo,
por el tipo de fichero generado y su disposición y los datos
que contiene podría haberse tratado de algún agujero de
seguridad en la web , atraves del cual el atacante hubiese
podido incluir algún archivo externo.
(esta vulnerabilidad es conocida como RFI o remote file include)
pues hay algunos scripts de los que corren por la red, que
justamente hacen eso y mirando su fuente se puede observar que
justamente sacan esos datos de la maquina o inyectan una
Shell en php.

Creo que cofidis debería dar explicaciones de este hecho y así
mismo debería verse como le afecta este acontecimiento a cofidis,
ante la LOPD
y que datos han sido comprometidos, no por mi porque por suerte
yo no me encuentro en su base de datos que yo sepa, pues nunca
necesite sus servicios.

Desde el grupo de investigación y desarrollo de Lostmon's
Groups queremos hacer un llamamiento a que las empresas como
cofidis y otras que trabajan con datos personales tan
sensibles y de tanta confidencialidad, deberían invertir
parte de sus beneficios en asegurar que esos datos no estarán
accesibles y deberían hacer lo posible por protegerlos como
se les pide en la LOPD.

Bien es cierto que en seguridad, no hay nada seguro, o que
lo bonito de la seguridad es la inseguridad que trae por si
misma. Y bien es cierto que por mucho que los administradores
pongan énfasis y empeño en asegurar servicios y sistemas,
siempre hay gente, que va por delante de ellos.

Este analisis ha sido realizado por Climbo y por Lostmon

thank to all Lostmon groups team
Thnx to estrella to be my ligth

atentamente:
Lostmon (lostmon@gmail.com)
Web-Blog: http://lostmon.blogspot.com/
Google group: http://groups.google.com/group/lostmon (new)
--
La curiosidad es lo que hace mover la mente....

IE8 Save as Title Bug

IE8 is have a bug thats allow denial access to
function "save as" if a html document have a very
long title.

By default wen a user try to clik in "save as "
the browser use the html title as the file name to
save; but if this title is very long , explorer give
a error because it can´t save this file.

Explorer can´t save files with the title longer
than 261 characters , them explorer give a warning
with a error that the file can´t save.

I think that this not have any security implication,
and i send it to MSRC and they think the same.

MSRC Response:

"agree with your assessment that this does not appear to
be a security issue. It may be a bug though so I am going
to forward your information directly to the product team
for considerations in a future non-security update"


a simple PoC of this situation:

<HTML>
<TITLE>A*261 chars</TITLE>
<HTML>

###########End #################

thank to all Lostmon groups team
Thnx to estrella to be my ligth

atentamente:
Lostmon (lostmon@gmail.com)
Web-Blog: http://lostmon.blogspot.com/
Google group: http://groups.google.com/group/lostmon (new)
--
La curiosidad es lo que hace mover la mente....

Security Researcher Acknowledgments from Microsoft

Security Researcher Acknowledgments

for Microsoft Online Services

The Microsoft Security Response Center (MSRC) is pleased to recognize the security researchers who have helped make Microsoft online services safer by finding and reporting security vulnerabilities. Each name listed represents an individual or company who has responsibly disclosed one or more security vulnerabilities in our online services and worked with us to remediate the issue.

http://technet.microsoft.com/en-us/security/cc308575.aspx#0809

August 2009 Security Researchers

• Lostmon Lords
  lostmon.blogspot.com


• Knuchel Steven
  xylitol.free.fr


• Nenad Vijatov
  blog.vijatov.com

--

thank to all Lostmon groups team

Thnx to estrella to be my ligth

atentamente:
Lostmon (lostmon@gmail.com)
Web-Blog: http://lostmon.blogspot.com/
Google group: http://groups.google.com/group/lostmon (new)
--
La curiosidad es lo que hace mover la mente....

Multiple Browsers Fake url folder & file Same origin Spoof

#########################################
Multiple Browsers Fake url folder & file Same origin Spoof
Original Article:http://lostmon.blogspot.com/
2009/08/multiple-browsers-fake-url-folder-file.html
##########################################

##############
Abstract
##############

One user open his browser and try to navigate to
http://www.host.com/admin/admin.php this url is in
the remote server and if the user has privileges ,
can access to file admin.php

If the file admin.php isn`t in the server
the user get a 404 http error by server.

If the user try to browse http://www.host.com/admin/
and this path isn´t in the server , the user get again a 404
http error.

If the user press refresh button the page reloads the content
and if the user press ctrl+f5 it refresh all content from
the page.

Some times those http errors like 404 ,403 etc are managed
by a third part app, a toolbar, or with a predefined
dynamic content build inside the browser.

#######################
Explanation
#######################

Multiple browsers have a flaw in this request response
that allow a attacker to spoof the url or spoof the content
from a inexistent file or path or spoof the url and content
from a trust file or Path.

Also a attacker can "trap" the broser in spoofed web and
wen the user press f5 or refresh button , the page show
the spoofed content or if the user press ctrl+f5 the page
show the spoofed content , Only in Opera Browser this last
issue does not work.


##################
Testing
##################

I test it with windows xp home sp3 fully patched.
for testing let´s to write some script like:

####################
SOURCE CODE OF POC
####################
online PoC =>http://cmspatch.200u.com/urlspoof.html

<html>
<head></head><body>
<title>Multiple Browsers Fake url folder & file Same Origin Spoof</title>
<center>
<h1>Multiple Browsers Fake url folder & file Same origin Spoof By Lostmon</h1>
</center>
<p>
<a href='modules/profile/admin/admin.php' target='_blank'><h2>real path</h3></a>
<a href='javascript:spoofolder()'><h2>spoof a url folder !!</h2></a> Non existent path
<a href='javascript:spoofile()'><h2>spoof a url file !!</h2></a>  this file exist in the server.
<a href='javascript:spoofauth()'><h2>spoof a url with auth basic !!</h2></a><br>only exist Protected and have password.
<p></p>
<strong>pass for the cms. user Dismark pass souaktendio.</strong><br>
<strong>pass for Portected folder. user terrapro pass mayoristas.</strong>
<p>

<script>
function spoofolder()
{
a = window.open('modules/login')
a.document.write('<H1>FAKE LOGIN PAGE<\h1>')
a.document.write('<title>FAKE LOGIN PAGE</title>')
a.alert(document.location)
a.stop();
}
function spoofile()
{
a = window.open('modules/system/admin.php')
a.document.write('<H1>FAKE LOGIN PAGE<\h1>')
a.document.write('<title>FAKE LOGIN PAGE</title>')
a.alert(document.location)
a.stop();
}
function spoofauth()
{
a = window.open('protected/admin/admin.php')
a.document.write('<H1>FAKE LOGIN PAGE<\h1>')
a.document.write('<title>FAKE LOGIN PAGE</title>')
a.alert(document.location)
a.stop();
}
</script>
</body></html>

######## END SOURCE #####

Save it as c:/test/urlspoof.html for example.
I use one alert for show the real window.location.
for testing i have open the file using file:/// protocol handler
and for remote test i have upload the file to a server.
to a apache in windows 2003 and in a apache on linux red hat.

server windows:
Windows Server 2003
Apache/2.2.8 Win32
PHP/5.2.6
Server at ***********.com

server linux:

Apache/2.2.11 (Unix) mod_ssl/2.2.11
OpenSSL/0.9.8e-fips-rhel5
mod_auth_passthrough/2.1
FrontPage/5.0.2.2635 Server
at ***********.com

in all test cases the server send the correct
http response.

########################
Localy afected Browsers
########################

For this test i use file protocol handler and
only test file spoof and path spoof.

1 - Firefox 3.5.1 and 3.5.2
open urlspoof via file c:/test/urlspoof.html and click
in any spoof function in al cases firefox show the spoofed
url and content.(firefox 3.5.2 seems not vulnerble)

2 - Lunascape 5.1.3 and 5.1.4 (swiched to Trident engine)
open urlspoof via file c:/test/urlspoof.html and click
in any spoof function in al cases Lunascape show the
spoofed url and content spoofed.

3 - Orca browser 1.2 build 2 seems not vulnerable ,but wen browse the file
the browsers add to url wyciwyg://4/ and executes the fake content.

4 - Flock 2.5.1
open urlspoof via file c:/test/urlspoof.html and clik
in any spoof function in all cases Flock show the
spoofed url and content spoofed.

5 - K-Meleon 1.5.3
open urlspoof via file c:/test/urlspoof.html and click
in any spoof function in all cases K-Meleon show the
spoofed url and content spoofed.

6 - SeaMonkey 1.1.17
open urlspoof via file c:/test/urlspoof.html and click
in any spoof function in all cases SeaMonkey show the
spoofed url and content spoofed.

7 - Avant browser 11.7 build 36
open urlspoof via file c:/test/urlspoof.html and click
in any spoof function in all cases Avant show the
spoofed url and content spoofed.


Google chrome 2.0.172.39 (Build oficial )
write in all tree cases in about:blank.

Internet Explorer 8 seems not vulnerable via file: protocol


########################
Remote afected Browsers
########################

For this test up the file to a server
and browse to file via http://host.com/urlspoof.html

1 - Internet explorer 7 and 8
Browse to file and click in any link, the browser in all
tree test show the spoofed file, spoofed path , and "pseudo-bypass"
auth basic protection.

2 - Avant browser 11.7 build 35 and build 36
Browse to file and click in any link, the browser in all
tree test show the spoofed file, spoofed path , and "pseudo-bypass"
auth basic protection.

3 - Lunascape 5.1.3 and 5.1.4 (swiched to Trident engine)
Browse to file and click in any link, the browser in all
tree test show the spoofed file, spoofed path , and "pseudo-bypass"
auth basic protection.

4 - Maxthon Browser 2.5.3.80 UNICODE
Browse to file and click in any link, the browser in all
tree test show the spoofed file, spoofed path , and "pseudo-bypass"
auth basic protection.

Google chrome write in all cases in about:blank

#################
Trap issue
#################

All of afected browsers , wen you are in the Fake url
wen you try to reload or refresh the location , via ctrl+f5
or f5 or similar the browser not show a 404 http error,
it continue showing the fake page location.
it is very interesting , because a attacker can create a "ghost" file
in a "ghost" path.
in the case of the fake File, we can spoof any web page on the server
with the fake page and wen the user try to reload it or refresh
the browser shows the fake page not the real page location.

##################€nd ##################

Thnx to cLimbo for Spread the Word
Thnx to estrella to be my ligth.
Thnx to all Lostmon Groups Team.

--
atentamente:
Lostmon (lostmon@gmail.com)
Web-Blog: http://lostmon.blogspot.com/
Google group: http://groups.google.com/group/lostmon (new)
--
La curiosidad es lo que hace mover la mente....