Процесс обновления Drupal небезопасен

Александр Панасенко 11 Января 2016 - 12:53

...

Сотрудник компании IOActive Фернандо Арнаболди (Fernando Arnaboldi) обнаружил сразу несколько проблем в системе обновления популярной CMS Drupal. Исправлений для найденных багов пока нет.

Drupal входит в тройку самых популярных в мире систем управления контентом, наряду с Joomla и WordPress. И проблем у Drupal ничуть не меньше, чем у коллег по рынку.

Как и любая современная CMS, Drupal старается максимально упросить процесс обновления. Администратору достаточно нажать на соответствующую кнопку в панели управления, чтобы инициировать апдейт. Также предусмотрена система автоматической проверки обновлений как для самой CMS, так и для дополнительных модулей. Это позволяет администратору вовремя узнать о новых патчах, а затем применить их буквально в два клика. Однако Фернандо Арнаболди пишет, что упрощение не всегда идет на пользу безопасности, пишет xakep.ru.

Исследователь обнаружил, что автоматическая проверка обновлений работает весьма странно. В случае возникновения каких-либо проблем со связью, Drupal не может проверить наличие обновлений, однако не уведомляет об этом пользователя. Вместо этого CMS все равно отображает сообщение, согласно которому, на сервере работает актуальное ПО самых последних версий.

Любопытно, что Drupal 6 отображал сообщение о проблемах со связью, если возможность проверки обновлений пропадала, а вот Drupal 7 и 8 уверяют администратора, что все по-прежнему хорошо.

Конечно, всегда можно самостоятельно нажать на кнопку «Проверить обновления вручную». Однако Арнаболди заметил, что данная ссылка содержит CSRF (cross-site request forgery) уязвимость. Эту функцию можно использовать для проведения SSRF-атаки (server-side request forgery) на drupal.org. То есть сайт будет посылать на updates.drupal.org бесконечную череду запросов. Эта проблема не касается только Drupal 8.

Еще одна неприятная особенность системы обновлений Drupal: апдейты скачиваются безо всякого шифрования и не проходят должной проверки на аутентичность. Это открывает возможность для проведения атак типа man-in-the-middle, то есть злоумышленник может перехватить трафик и внедрить в апдейты малварь.

Используя последнюю уязвимость, Арнаболди сумел установить на тестовый сайт зараженную бэкдором версию обновления. Исследователь поместил в апдейт PHP shell, который предоставил ему доступ к серверу, на котором работала CMS, а затем позволил извлечь из базы MySQL имя пользователя и пароль.

Особенно примечательно, что разработчикам Drupal известно об этих проблемах с 2012 года, однако об устранении уязвимостей они задумались лишь недавно, после изысканий Арнаболди. Пока патчей, делающих процесс обновления безопаснее, нет.

Следующая главная новость »

Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Вероника Дубровская 07 Мая 2024 - 12:29

Windows Домашние пользователи Microsoft

Скорость памяти в Диспетчере задач Windows 11 будет отображаться в МТ/с

Microsoft тестирует отображение скорости работы памяти в виде МТ/с (мегатрансфер в секунду), а не МГц (мегагерц) в Диспетчере задач Windows 11. Пока функциональность проходит обкатку в бета-версии ОС.

Ранее скорость оперативной памяти подавалась в мегагерцах (МГц). МГц является единицей измерения частоты и означает, сколько миллионов циклов в секунду может совершить модуль памяти, причем каждый цикл — это действие, выполняемое модулем памяти, например сохранение и извлечение данных.

Вкратце: МГц определяет скорость передачи данных между процессором и оперативной памятью.

Например, модуль памяти, работающий на частоте 3200 МГц, способен выполнять 3,2 миллиарда циклов в секунду. А вот оперативка, работающая на частоте 2400 МГц, может выполнять лишь 2,4 миллиарда циклов в секунду.

В наши дни с помощью новых технологий получилось увеличить скорость передачи данных DDR памяти, не увеличивая тактовую частоту процессора — мегагерцы. Из-за этого старый способ измерения памяти стал не совсем корректным.

Компании и ОС перешли на новую метрику производительности, которая называется МТ/с — это сокращение от мегатрансферов, то есть миллионов передач данных в секунду.

ИТ-энтузиаст PhantomOcean3 обнаружил, что теперь компания Microsoft на вкладке производительности Диспетчера задач Windows 11 тестирует использование МТ/с вместо МГц.

Windows 11 Beta build 22635.3570 показывает МТ/с в Диспетчере задач

Источник: PhantomOcean3

Данная особенность отображается лишь в бета-версии Windows 11 (сборка ОС 22635.3570).

Для тех пользователей, кто желает протестировать данную фичу уже сейчас, далее представлена инструкция её включения с помощью ViVeTool:

Скачайте ViVeTool и распакуйте его в папку.
Откройте открытую командную строку и перейдите в папку, из которой вы извлекли ViVeTool.
Введите данную команду и нажмите Enter:

vivetool /enable /id:38476224,48380607