Joomla исправила критическую уязвимость SQL-инъекции в релизе 3.7.1

Joomla исправила критическую уязвимость SQL-инъекции в релизе 3.7.1

Joomla исправила критическую уязвимость SQL-инъекции в релизе 3.7.1

Выпущенное в среду обновление движка Joomla исправляет критическую уязвимость SQL-инъекций, которая может быть легко использована удаленным злоумышленником для получения конфиденциальных данных и взлома веб-сайтов.

Эта брешь была обнаружена экспертом Sucuri и получила идентификатор CVE-2017-8917. Уязвимость затрагивает версию Joomla 3.7.0, а в релизе 3.7.1 уже устранена.

По словам исследователя, уязвимость влияет только на Joomla 3.7, поскольку она связана с новым компонентом, представленным в этой версии. Речь идет о компоненте com_fields.

Поскольку com_fields является публичным, любой может использовать эту уязвимость, не имея привилегированной учетной записи на целевом сайте. Злоумышленник может эксплуатировать брешь для вставки вложенных SQL-запросов с помощью специально созданного URL-адреса.

«Учитывая природу атак SQL-инъекция, существует множество способов, которыми злоумышленник может нанести вред. Например, это может привести к утечке хэшей паролей и краже сеанса зарегистрированного пользователя. Последнее приведет к полной компрометации сайта, если получена сессия администратора» - предупреждает эксперт в своем блоге.

Пользователям Joomla рекомендуется как можно скорее обновить версию, используемую на их сайтах. Так как технические детали уязвимости уже были опубликованы в открытом доступе, не стоит удивляться росту числа атак, эксплуатирующих эту брешь.

ФНС увидит, с какого устройства переводили цифровые рубли

ФНС сможет запрашивать не только сумму и получателя платежа в цифровых рублях, но и его технический след. В выписки попадут IP- и MAC-адреса, номер телефона, данные сим-карты или другой идентификатор устройства. Новые правила заработают не ранее 1 июля 2027 года.

Кроме цифрового хвоста, выписка будет содержать время и назначение платежа, а также сведения об отправителе и получателе, сообщают «Известия».

Это позволит сопоставлять разные счета и выяснять, например, не управлялись ли несколько формально независимых кошельков с одного смартфона.

Но налоговый Большой брат не будет автоматически заглядывать в каждую покупку. По пояснению ФНС, данные о счетах физлиц станут запрашивать примерно по тем же правилам, что и сведения из обычных банков.

Основанием могут стать взыскание задолженности, налоговая проверка или запрос документов, а в ряде случаев потребуется согласие руководителя вышестоящего органа.

Технические сведения помогут искать скрытые доходы, фиктивные сделки, чужие кошельки и цепочки связанных переводов. Если поступления на цифровой счёт сильно разойдутся с задекларированными доходами, у налоговой могут возникнуть дополнительные вопросы. Доказанная неуплата грозит доначислениями, пенями и штрафами.

При этом один IP-адрес ещё не превращает человека в нарушителя. Им могут пользоваться сотрудники офиса, посетители кафе или абоненты одного оператора. Телефон бывает семейным, сим-карту можно переоформить, MAC-адрес — изменить, а доступ к кошельку способен получить мошенник.

Поэтому технический след должен рассматриваться вместе со временем операций, аутентификацией, геолокацией и характером платежей.

RSS: Новости на портале Anti-Malware.ru