Процесс обновления Drupal небезопасен

Александр Панасенко 11 Января 2016 - 12:53

...

Сотрудник компании IOActive Фернандо Арнаболди (Fernando Arnaboldi) обнаружил сразу несколько проблем в системе обновления популярной CMS Drupal. Исправлений для найденных багов пока нет.

Drupal входит в тройку самых популярных в мире систем управления контентом, наряду с Joomla и WordPress. И проблем у Drupal ничуть не меньше, чем у коллег по рынку.

Как и любая современная CMS, Drupal старается максимально упросить процесс обновления. Администратору достаточно нажать на соответствующую кнопку в панели управления, чтобы инициировать апдейт. Также предусмотрена система автоматической проверки обновлений как для самой CMS, так и для дополнительных модулей. Это позволяет администратору вовремя узнать о новых патчах, а затем применить их буквально в два клика. Однако Фернандо Арнаболди пишет, что упрощение не всегда идет на пользу безопасности, пишет xakep.ru.

Исследователь обнаружил, что автоматическая проверка обновлений работает весьма странно. В случае возникновения каких-либо проблем со связью, Drupal не может проверить наличие обновлений, однако не уведомляет об этом пользователя. Вместо этого CMS все равно отображает сообщение, согласно которому, на сервере работает актуальное ПО самых последних версий.

Любопытно, что Drupal 6 отображал сообщение о проблемах со связью, если возможность проверки обновлений пропадала, а вот Drupal 7 и 8 уверяют администратора, что все по-прежнему хорошо.

Конечно, всегда можно самостоятельно нажать на кнопку «Проверить обновления вручную». Однако Арнаболди заметил, что данная ссылка содержит CSRF (cross-site request forgery) уязвимость. Эту функцию можно использовать для проведения SSRF-атаки (server-side request forgery) на drupal.org. То есть сайт будет посылать на updates.drupal.org бесконечную череду запросов. Эта проблема не касается только Drupal 8.

Еще одна неприятная особенность системы обновлений Drupal: апдейты скачиваются безо всякого шифрования и не проходят должной проверки на аутентичность. Это открывает возможность для проведения атак типа man-in-the-middle, то есть злоумышленник может перехватить трафик и внедрить в апдейты малварь.

Используя последнюю уязвимость, Арнаболди сумел установить на тестовый сайт зараженную бэкдором версию обновления. Исследователь поместил в апдейт PHP shell, который предоставил ему доступ к серверу, на котором работала CMS, а затем позволил извлечь из базы MySQL имя пользователя и пароль.

Особенно примечательно, что разработчикам Drupal известно об этих проблемах с 2012 года, однако об устранении уязвимостей они задумались лишь недавно, после изысканий Арнаболди. Пока патчей, делающих процесс обновления безопаснее, нет.

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Екатерина Быстрова 30 Апреля 2025 - 13:12

Уязвимости программ Домашние пользователи Google

Google Chrome 136 устраняет опасную уязвимость: обновитесь как можно скорее

Команда разработчиков Google Chrome выпустила стабильную версию браузера под номером 136 для Windows, macOS и Linux. Вроде бы очередное «техническое» обновление, но есть важная причина не откладывать его установку — в новой версии закрыли сразу восемь уязвимостей, включая одну очень серьёзную.

Главная звезда (и одновременно тревожный сигнал) в списке — CVE-2025-4096, уязвимость высокой степени риска в HTML-движке Chrome.

В двух словах: это heap overflow (переполнение буфера), которое может возникнуть при обработке веб-страниц. Если злоумышленник грамотно воспользуется этой брешью, он сможет выполнить произвольный код на вашем компьютере. То есть буквально получить доступ к системе. Неудивительно, что Google заплатила $5000 исследователю, который её обнаружил.

Апдейт также закрывает несколько менее опасных, но всё равно важных проблем:

CVE-2025-4050 — ошибка с выходом за границы памяти в DevTools (средняя опасность);
CVE-2025-4051 — недостаточная проверка данных в DevTools (тоже средней степени);
CVE-2025-4052 — некорректная реализация одной из функций (низкая опасность).

Что делать?

Обновиться как можно скорее! Обычно Chrome обновляется сам, но лучше перепроверить:

Откройте chrome://settings/help — и убедитесь, что у вас стоит последняя версия.

Google, кстати, намеренно не раскрывает технические детали уязвимостей до тех пор, пока большинство пользователей не установит патчи.