Необычная уязвимость в Apache mod_rewrite

В модуле mod_rewrite популярного HTTP-сервера Apache серии 2.2.x обнаружена интересная уязвимость (CVE-2013-1862), позволяющая удаленному злоумышленнику выполнить произвольную команду в момент просмотра лог-файла администратором сервера.

Уязвимость обусловлена тем фактом, что mod_rewrite при записи в лог-файл не экранирует специальные символы, что позволяет удаленному злоумышленнику, при помощи специально оформленных запросов к веб-серверу, записать туда, например, управляющие последовательности для терминала. При правильном манипулировании такими последовательностями, можно добиться запуска произвольных команд с правами пользователя, осуществлявшего просмотр лога (как правило, подобные лог-файлы доступны для чтения только пользователю root), пишет opennet.ru.

Доступен патч, исправляющий данную уязвимость. К настоящему моменту проблема исправлена в RHEL и CentOS. Разработчики Debian в курсе наличия уязвимости, однако не считают возможность удаленного запуска команд с правами root серьезной угрозой безопасности («Such injection issues are not treated as security issues»). Разработчики Gentoo также осведомлены о наличии уязвимости, однако пока не предпринимали каких-либо шагов для ее исправления.

Yandex Zen AMПодписывайтесь на канал "Anti-Malware" в Yandex Zen, чтобы узнавать о новостях и эксклюзивных материалах по информационной безопасности в своей персональной ленте.

Глава Apple: У Google есть проблемы конфиденциальности, но они лучшие

В вопросе недавних претензий к корпорации Google и использовании соответствующей поисковой системы Тим Кук встал на сторону интернет-гиганта. Отвечая журналистам, глава Apple признал наличие у Google проблем конфиденциальности, однако выступил также в защиту использования поисковой системы на корпоративных устройствах.

Заданный Куку вопрос касался миллиардов долларов, которые Google якобы платит Apple за установку ее поисковой системы по умолчанию в продуктах компании. Журналист подчеркнул, что политики Apple и Google в отношении обращения с персональными данными не совпадают.

«На мой взгляд, их поисковая система — лучшая на данный момент», — ответил Кук в интервью Axios.

Глава Apple также добавил, что браузер Safari, используемый по умолчанию во всех операционных системах компании, оснащен специальными возможностями, которые не позволят корпорациям вроде Google отслеживать активность пользователей.

Кук согласился с тем, что даже столь серьезные настройки конфиденциальности — не панацея, и компании все еще предстоит долгий путь борьбы со сбором информации о пользователях и отслеживанию их поведения в Сети.

Другой основатель «яблочной» корпорации Стив Возняк также высказался по поводу отношения современных интернет-гигантов к пользователям. Под критику знаменитого программиста попали методы Facebook и Марка Цукерберга.

Yandex Zen AMПодписывайтесь на канал "Anti-Malware" в Yandex Zen, чтобы узнавать о новостях и эксклюзивных материалах по информационной безопасности в своей персональной ленте.

RSS: Новости на портале Anti-Malware.ru