Процесс обновления Drupal небезопасен

Процесс обновления Drupal небезопасен

Процесс обновления Drupal небезопасен

Сотрудник компании IOActive Фернандо Арнаболди (Fernando Arnaboldi) обнаружил сразу несколько проблем в системе обновления популярной CMS Drupal. Исправлений для найденных багов пока нет.

Drupal входит в тройку самых популярных в мире систем управления контентом, наряду с Joomla и WordPress. И проблем у Drupal ничуть не меньше, чем у коллег по рынку.

Как и любая современная CMS, Drupal старается максимально упросить процесс обновления. Администратору достаточно нажать на соответствующую кнопку в панели управления, чтобы инициировать апдейт. Также предусмотрена система автоматической проверки обновлений как для самой CMS, так и для дополнительных модулей. Это позволяет администратору вовремя узнать о новых патчах, а затем применить их буквально в два клика. Однако Фернандо Арнаболди пишет, что упрощение не всегда идет на пользу безопасности, пишет xakep.ru.

Исследователь обнаружил, что автоматическая проверка обновлений работает весьма странно. В случае возникновения каких-либо проблем со связью, Drupal не может проверить наличие обновлений, однако не уведомляет об этом пользователя. Вместо этого CMS все равно отображает сообщение, согласно которому, на сервере работает актуальное ПО самых последних версий.

Любопытно, что Drupal 6 отображал сообщение о проблемах со связью, если возможность проверки обновлений пропадала, а вот Drupal 7 и 8 уверяют администратора, что все по-прежнему хорошо.

Конечно, всегда можно самостоятельно нажать на кнопку «Проверить обновления вручную». Однако Арнаболди заметил, что данная ссылка содержит CSRF (cross-site request forgery) уязвимость. Эту функцию можно использовать для проведения SSRF-атаки (server-side request forgery) на drupal.org. То есть сайт будет посылать на updates.drupal.org бесконечную череду запросов. Эта проблема не касается только Drupal 8.

Еще одна неприятная особенность системы обновлений Drupal: апдейты скачиваются безо всякого шифрования и не проходят должной проверки на аутентичность. Это открывает возможность для проведения атак типа man-in-the-middle, то есть злоумышленник может перехватить трафик и внедрить в апдейты малварь.

Используя последнюю уязвимость, Арнаболди сумел установить на тестовый сайт зараженную бэкдором версию обновления. Исследователь поместил в апдейт PHP shell, который предоставил ему доступ к серверу, на котором работала CMS, а затем позволил извлечь из базы MySQL имя пользователя и пароль.

Особенно примечательно, что разработчикам Drupal известно об этих проблемах с 2012 года, однако об устранении уязвимостей они задумались лишь недавно, после изысканий Арнаболди. Пока патчей, делающих процесс обновления безопаснее, нет.

Подпишитесь на новости

Яндекс и VK могут объединить облака, офисные сервисы и ИИ

Яндекс и VK обсуждают создание совместного предприятия на базе Yandex B2B Tech и VK Tech. Если договорятся, на российском корпоративном ИТ-рынке появится игрок, способный продавать бизнесу почти всё сразу: облака, офисные сервисы, платформы данных, искусственный интеллект и инструменты разработки.

О переговорах сообщили источники РБК. Возможная сделка обсуждается более двух месяцев, однако окончательный состав активов ещё не определён.

Один из рассматриваемых вариантов предполагает передачу в СП всего VK Tech, а со стороны Яндекса — Yandex Cloud, «Яндекс 360» и одного из ИИ-активов Yandex B2B Tech.

Доли партнёров могут распределить поровну — 50 на 50. Работать объединённая структура, по данным источников, может на базе ООО «БТБ Тех».

Яндекс заявил, что не комментирует слухи, а VK Tech отказался от комментариев. Ещё в июле СМИ писали, что компании обсуждают стратегическое партнёрство в облачных технологиях, сервисах продуктивности и ИИ для бизнеса.

Корпоративные направления обеих компаний растут бодрее многих соседей по рынку. Выручка Yandex B2B Tech в первом полугодии 2026 года увеличилась на 32%, до 28,9 млрд рублей, а VK Tech — на 35,3%, до 9 млрд рублей.

Эксперты видят в возможном союзе попытку сократить ценовую конкуренцию, объединить расходы на разработку и расширить перекрёстные продажи. Яндекс принесёт сильные позиции в облаках, ИИ и информационной безопасности, VK — корпоративные коммуникации, HR-tech и опыт работы с госсектором. По одной из оценок, совместная структура сможет занять около 30% рынка.

Напомним, сегодня стало известно, что Яндекс выпустил систему контроля безопасности корпоративного ИИ.

RSS: Новости на портале Anti-Malware.ru