Апдейт для Drupal устраняет две серьёзные уязвимости

Апдейт для Drupal устраняет две серьёзные уязвимости

Очередные обновления, выпущенные для Drupal 7 и Drupal 8, устраняют серьёзные уязвимости в популярной системе управления контентом, при помощи которых злоумышленники могли обойти встроенные средства ограничения доступа и повысить свои привилегии.

Исправленная уязвимость в Drupal 7 касалась модуля User и считалась «умеренно критической». Она позволяла зарегистрированному пользователю присвоить себе любые роли на сайте вплоть до администратора. Для этого ему следовало добиться встраивания в сайт кода, который запускает перегенерацию формы редактирования пользовательского профиля во время её сохранения, сообщает xakep.ru.

Другая уязвимость скрывается в модуле Views, который служит для создания, редактирования и отображения списков контента. Ошибка, позволявшая обойти ограничения доступа, подвержены и седьмая, и восьмая версия Drupal. Угроза, которую она создаёт, относительно невелика.

Из-за этой ошибки пользователи могут получить доступ к информации из модуля Statistics даже в том случае, если им это запрещено. Это происходит в видах, которые настроены на отображение поля «Статистика контента» (например, общее количество просмотров, количество сегодняшних просмотров или последний визит).

Для устранения уязвимости, связанной с повышением привилегий в модуле User, необходимо установить Drupal версии 7..44 или более позднюю. Уязвимость в модуле Views пользователи восьмой версии могут победить путём установки Drupal 8.1.3. Пользователям семёрки советуют обновить модуль Views до версии 7.x-3.14.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Суд оштрафовал Яндекс за отказ предоставить ФСБ доступ к умному дому Алисы

Мировой судья в районе Хамовники признал «Яндекс» виновным в том, что компания не выполнила предписание надзорных органов. Речь шла о том, что ФСБ требовала организовать круглосуточный удалённый доступ к сервису yandex.ru/alice/smart-home — то есть к данным «умного дома» от Алисы.

Как следует из постановления, текст которого приводят «Ведомости», протокол о нарушении составили ещё 28 мая 2025 года.

ФСБ направила материалы проверки в Роскомнадзор, и в итоге суд пришёл к выводу, что вина компании доказана. Представитель «Яндекса» на заседание не пришёл. В итоге судья назначил штраф — 10 тысяч рублей.

Юристы отмечают, что случай показателен: если раньше требования «закона Яровой» в основном касались мессенджеров, то теперь под действие норм фактически подпадает любая IT-инфраструктура. По словам экспертов, ФСБ старается расширить перечень баз данных, к которым нужен прямой доступ, тогда как сами компании учитывают негативное отношение пользователей к передаче личных данных спецслужбам.

Источники на рынке ИБ отмечают, что история не новая: «Яндекс» и раньше регулярно штрафовали за то, что он не открывал доступ к данным. Причём сама процедура подключения систем к ФСБ дорогая и сложная, поэтому компании проще оплачивать штрафы.

Эксперты также предполагают, что в случае с «умным домом» вопрос может быть не столько технический, сколько имиджевый. Если станет известно, что спецслужбы имеют постоянный доступ к данным смарт-колонок и других устройств, это может серьёзно ударить по продажам.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru