10-балльная RCE-уязвимость в CMS 1С-Битрикс затронула 17 тысяч сайтов

10-балльная RCE-уязвимость в CMS 1С-Битрикс затронула 17 тысяч сайтов

10-балльная RCE-уязвимость в CMS 1С-Битрикс затронула 17 тысяч сайтов

Эксперт Positive Technologies обнаружил в системе «1С-Битрикс: Управление сайтом» уязвимость, опасность которой была оценена в 10 баллов по шкале CVSS. Эта же проблема актуальна для некоторых CRM Битрикс24; соответствующий патч доступен с 14 сентября.

Согласно бюллетеню «1С-Битрикс», данная уязвимость привязана к модулю landing и вызвана ошибками синхронизации при использовании общего ресурса. Эксплойт позволяет удаленно выполнить любую системную команду, захватить контроль над хостом и проникнуть во внутреннюю сеть.

«Уязвимость позволяла удаленному пользователю выполнить произвольный код, — уточняет автор находки, специалист по пентесту Сергей Близнюк. — Это давало потенциальному атакующему возможность запускать на узле любое ПО и манипулировать содержимым сайта и базой данных, а в случае наличия связности с локальной сетью — развивать атаку на внутренние ресурсы».

Затронутыми оказались все сайты, использующие «1С-Битрикс: Управление сайтом» в различных редакциях, начиная со «Стандарт». Под ударом оказались также некоторые резидентные серверы Bitrix24 (self-hosted).

По данным мониторинга PT Expert Security Center, на момент выхода бюллетеня разработчика уязвимые версии CMS-системы использовали около 17 тыс. сайтов — в основном в TLD-зонах RU, BY, KZ, KG и UA. Владельцами 11% таких ресурсов оказались компании из сферы электронной коммерции.

Патч для уязвимости был включен в состав сборки 23.850.0 модуля landing. Обновление доступно пользователям при наличии PHP 8.0 и активной лицензии. Заплатку можно также получить, обратившись в техподдержку; в противном случае придется отключить landing, чтобы предотвратить эксплойт.

К сожалению, уязвимости в CMS «1С-Битрикс» нередки, и каждый раз они ставят под удар большое количество обитателей рунета. В CRM Битрикс24 в этом году было устранено как минимум восемь опасных проблем.

Эффективную защиту от эксплойта уязвимостей в веб-приложениях, по словам экспертов, предоставляют ИБ-продукты класса WAF. Выявить атаку через дыру в CMS-модуле landing также поможет новое правило, созданное для MaxPatrol SIEM 7.0 и выше.

Глава СПЧ уточнил: VPN для дела нужен, но к иноагентам отношение прежнее

Глава СПЧ Валерий Фадеев уточнил своё отношение к VPN после резонанса вокруг его слов о пользователях, которые ищут, что говорит враг. По его словам, эту фразу вырвали из контекста.

На марафоне «Знание. Первые» Фадеев заявил, что VPN является частью большого интернета и полностью отключать такие технологии нельзя.

Через VPN-каналы работают банки, бизнес и связь с зарубежными партнёрами, поэтому резкие ограничения могут привести к экономическим проблемам.

При этом глава СПЧ разделяет использование VPN для дела и доступ к заблокированным СМИ. Своё отношение к «Медузе» и «Дождю», которые в России признаны иноагентами и нежелательными организациями, он не изменил: по словам Фадеева, это пропаганда и точка зрения врага.

Фадеев также прокомментировал реакцию СМИ на свои слова. Он заявил, что журналисты часто стараются упаковать сложную мысль в одно наглое и дерзкое предложение, которое затем расходится по Сети.

Заявление прозвучало на фоне обсуждения возможной платы за зарубежный VPN-трафик в мобильных сетях. Такая инициатива, по данным СМИ, сейчас прорабатывается Минцифры. При этом интерес к VPN растёт: в марте российские пользователи Google Play скачали VPN-приложения 9,2 млн раз, что в 14 раз больше, чем годом ранее.

RSS: Новости на портале Anti-Malware.ru