GreatFire просит Google развязать информационную войну с Китаем

Google призывает бросить вызов китайской цензуре

Организация по борьбе с цензурой в Интернете предлагает Эрику Шмидту и корпорации Google обрушить защиту Китая от неподобающей информации. Представители сайта GreatFire.org советуют поисковому гиганту перевести движок в Китае на HTTPS по умолчанию (точно также как и в США). Из-за этого Пекин будет вынужден либо полностью отказаться Google или оставить попытки ввести цензуру в Сети.

Отметим, что сейчас Google и правительство Китая сотрудничают, осуществляя блокировку по определенным поисковым запросам. GreatFire.org предлагает еще один метод борьбы с цензурой. Организация предлагает Google перенаплавлять пользователей которые хотят посмотреть заблокированные сайты, на зеркальные копии этих ресурсов, которые размешает на серверах Chocolate Factory.

GreatFire.org недавно начала заниматься зеркальным размещением вебсайтов, чтобы обеспечить пользователям, находящимся за Великим Китайским Файэрволом доступ к Reuters China и China Digital Times.

Google обладает рычагами влияния на Пекин. Многие сервисы Google сейчас чрезвычайно важны для пользователей и предприятий. Блокировка всех этих ресурсов может иметь неблагоприятные коммерческие последствия для Китая. Сегодня компании принадлежит менее 5% китайского поискового рынка. Корпорация мало зарабатывает от Android, из-за распространения местных локализированных магазинов программ. Так что у Google мало причин вести себя слишком осторожно в отношении с Пекином. У компании еще есть три офиса в Китае, которые за последние годы не были замечены в особенно рискованных предприятиях.

Эрик Шмидт (Eric Schmidt) во время недавнего выступления заявил, что в ближайшие 10 лет цензура в Интернете может полностью исчезнуть, благодаря постепенному переходу компаний на более надежные системы шифрования. Это высказывание дает надежду GreatFire.org и всем защитникам свободы информации в Сети.

Критическая уязвимость в плагине WPvivid Backup затронула 900 000 сайтов

Уязвимость, выявленная в популярном WordPress-плагине для создания резервных копий, позволяет без аутентификации загрузить на сайт вредоносный код PHP и запустить его на исполнение. Патч включен в состав WPvivid Backup & Migration 0.9.124.

Уязвимости подвержены все прежние версии продукта. Ввиду высокой опасности и масштабности проблемы (на счету WPvivid Backup уже свыше 900 тыс. установок) пользователям настоятельно рекомендуется произвести обновление.

Правда, в блог-записи Wordfence сказано, что CVE-2026-1357 (9,8 балла CVSS) критична лишь для тех, у кого настройки плагина предусматривают обработку сгенерированным ключом — в обеспечение загрузки резервных копий с других сайтов. По умолчанию эта возможность отключена, а срок действия ключа ограничен 24 часами.

Согласно описанию, причин появления уязвимости две: неадекватная обработки ошибок при расшифровке по RSA и отсутствие санации пути при записи загруженных файлов.

Как оказалось, когда плагин тщетно пытался расшифровать сеансовый ключ, он не завершал выполнение, а передавал ложное значение $key в phpseclib для инициализации шифрования.

Криптобиблиотека воспринимала его как строку нулевых байтов, что открыло возможность для шифрования полезной нагрузки дефолтным, легко угадываемым 0-байтовым ключом.

 

Ситуацию усугубило отсутствие проверок типа файлов и их расширений в функции send_to_site(). Это провоцировало выход за пределы защищенного каталога резервных копий — загрузку на сервер произвольного PHP-кода с записью в публично доступные места с тем, чтобы он каждый раз отрабатывал в браузере.

Апдейт, устраняющий эти недостатки, вышел 28 января. Автор опасной находки получил 2145 долларов в рамках программы Wordfence Bug Bounty.

RSS: Новости на портале Anti-Malware.ru