Выпущены патчи для критической бреши Drupal, в опасности миллионы сайтов

Олег Иванов 29 Марта 2018 - 11:18

Домашние пользователи

...

Критическая уязвимость затрагивает все версии популярной системы управления контентом Drupal. Эта брешь может быть использована для получения полного контроля над уязвимыми сайтами. Эксперты полагают, что эта дыра в безопасности может стать такой же значимой, как Drupalgeddon.

Оказалось, что миллионы сайтов в опасности, так как уязвимость распространяется на версии 6, 7 и 8, о чем сообщает специалист Джаспер Маттссон (Jasper Mattsson). Проблема отслеживается под идентификатором CVE-2018-7600.

Для эксплуатации бреши нужен всего лишь доступ к странице уязвимого сайта. Удачная атака позволит злоумышленнику получить полный контроль над сайтом, включая доступ к непубличным данным и возможность удаления или изменения системных данных.

С выходом версий 7.58, 8.5.1, 8.3.9 и 8.4.6 уязвимость была устранена. Даже несмотря на то, то версия Drupal 6 давно не поддерживается, разработчики все равно выпустили патч и для нее, настолько серьезна уязвимость.

Помимо обновления своих инсталляций до последней версии, пользователи могут защитить свои сайты от атак, внеся некоторые изменения в конфигурацию сайта. Однако эти изменения, по заявлениям разработчиков, довольно «радикальны».

«Существует несколько решений, но все они основаны на идее не предоставлять посетителям доступ к уязвимым страницам. Временная замена вашего сайта Drupal статической HTML-страницей является эффективным решением», — объясняют разработчики Drupal.

Технические детали бреши не были опубликованы, однако эксперты полагают, что соответствующие эксплойты будут доступны в течение нескольких дней.

Напомним, ране мы писали, что компания Drupal объявила о своих планах выпустить обновления безопасности для версий движка Drupal 7.x, 8.3.x, 8.4.x и 8.5.x.

Следующая главная новость »

Российские серверы и ПАКи 2026: что готово к реальным нагрузкам?
Регистрируйтесь на эфир!

Екатерина Быстрова 20 Августа 2026 - 08:53

Android Эксплойты Уязвимости программ Домашние пользователи

Android-приложения могли красть контакты без разрешения, опубликован PoC

Исследователь опубликовал код демонстрационного эксплойта для уязвимости CVE-2026-0075 в Android. Ошибка позволяла локальному приложению добраться до базы контактов через SQL-инъекцию, даже если пользователь не выдавал разрешение на её чтение. Нажимать дополнительные кнопки или подтверждать атаку тоже не требовалось.

Проблема находилась в системном компоненте ContactsProvider2, который обрабатывает обращения приложений к контактам.

Специально сформированный запрос вызывал ошибки SQLite, а компонент возвращал вызывающей программе слишком подробные сообщения. Анализируя их, приложение без права READ_CONTACTS могло постепенно извлекать сведения из базы.

Google присвоила уязвимости высокий уровень опасности. Она затрагивает Android 14, 15, 16 и 16 QPR2, следует из июньского бюллетеня безопасности Android.

Патч убирает подробности JSON-ошибок из ответов приложениям, не имеющим доступа к контактам. Вместо полезной для атакующего информации система теперь должна возвращать обезличенное сообщение.

Опубликованный на GitHub демонстрационный эксплойт специально не запрашивает разрешения READ_CONTACTS и WRITE_CONTACTS. Автор предназначил его для сравнения поведения исправленных и уязвимых сборок в контролируемой лаборатории.

Исследователь подчёркивает, что успешный тест на одном устройстве ещё не доказывает уязвимость всех смартфонов с той же версией Android.

Случаев реальной эксплуатации CVE-2026-0075 в атаках пока не подтверждено. Однако после появления общедоступного PoC рассчитывать на спокойную жизнь старых прошивок становится несколько наивно.

Пользователям стоит проверить уровень обновления безопасности в настройках устройства. Защиту содержит патч от 5 июня 2026 года или более новый.

Российские серверы и ПАКи 2026: что готово к реальным нагрузкам?
Регистрируйтесь на эфир!