Разработчики WordPress более полугода не устраняют брешь в движке

Разработчики WordPress более полугода не устраняют брешь в движке

Разработчики WordPress более полугода не устраняют брешь в движке

Исследователи в области безопасности RIPS поделились деталями уязвимости в популярной CMS WordPress. Отмечается, что для этого недостатка в настоящее время нет патча, хотя разработчики знают о ней с ноября прошлого года.

Команда RIPS подчеркнула, что поставила представителей WordPress в известность, а решение обнародовать подробности бреши было принято исключительно по той причине, что разработчики за более чем полгода не опубликовали патч.

Сама уязвимость затрагивает ядро WordPress (на плагины и темы уязвимость не влияет). Ошибка была обнаружена в функциях PHP, которые отвечают за удаление миниатюр изображений, загруженных на сайт под управлением WordPress.

Специалисты объясняют, что пользователи, имеющие доступ к редактору сообщений, могут загружать или удалять изображения (и их миниатюры), следовательно, это открывает возможность для инъекции вредоносного кода на сайт.

Этот код может удалить важные файлы ядра WordPress, что, естественно, должно быть недопустимо без доступа к FTP.

Эта брешь не является критической, так как доступ к редактору сообщений есть у пользователей, имеющих права авторов и выше. Однако команда RIPS обращает внимание на тот факт, что злоумышленник может зарегистрировать обычную учетную запись «Пользователь», а затем повысить привилегии, что откроет путь к эксплуатации бреши.

Эксперты также отмечают, что злоумышленники могут получить полный контроль над сайтом, так как недостаток позволяет удалить конфигурационный файл wp-config.php. Это позволит инициировать процесс установки движка заново, таким образом, киберпреступники могут использовать собственные настройки БД.

Эксперты опубликовали видео, на котором демонстрируется захват контроля над сайтом на движке WordPress.

По словам RIPS, данная дыра в безопасности затрагивает все версии WordPress, включая последнюю — v4.9.6. Специалисты отмечают, что эта уязвимость вряд ли будет массово использоваться злоумышленниками, так как процесс эксплуатации слишком нетривиален.

Тем не менее, команда RIPS опубликовала временный патч, с которым можно ознакомиться в их отчете.

Временное решение представляет собой фрагмент кода PHP, который владельцы сайтов должны добавить в файл functions.php.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники крадут товары, выдавая себя за ПСК и Ozon

Злоумышленники под видом известных компаний совершили серию крупных краж, оформив закупки с помощью поддельных документов и используя подмену номеров телефонов. Аферисты выдавали себя за представителей легитимных организаций, предъявляли доверенности и добивались отгрузки товара. Используемые ими документы были высокого качества и не вызывали подозрений даже у опытных сотрудников.

Как сообщила «Фонтанка», мошенники оформили несколько крупных заказов от имени Петербургской сбытовой компании (ПСК). В частности, под видом сотрудников ПСК были приобретены 130 комплектов автомобильных шин и 20 тонн сливочного масла.

В обоих случаях за товаром приезжал якобы представитель ПСК и предъявлял доверенности на получение груза. Однако позже выяснилось, что ни почта, ни телефон, ни фамилия человека, забиравшего продукцию, не имели отношения к компании.

Номер телефона, с которого связывались аферисты, в приложении Getcontact отображался как принадлежащий ПСК. Поддельные документы были выполнены на высоком уровне: в случае с «покупкой» масла мошенники даже приложили протокол разногласий к договору, где указали неустойки за нарушение условий хранения продукции.

Между тем ещё в апреле на официальном сайте ПСК появилось предупреждение: «Информируем о новой мошеннической схеме. В адрес юридических лиц поступают письма об организации закупок от имени Петербургской сбытовой компании. Письма направляются с подложного почтового адреса: zakaz.pesc-opt.ru с указанием номеров телефонов, не принадлежащих Петербургской сбытовой компании».

ПСК — не единственная пострадавшая организация. Подобные случаи неоднократно фиксировались в отношении Ozon: от его имени злоумышленники вывозили компьютеры, промышленные пылесосы и стройматериалы в разных регионах страны. При этом также использовались поддельные документы и подменённые номера телефонов.

«Мы знаем о ситуации, при которой некие сторонние лица, представляясь компанией Ozon, обращаются к поставщикам с просьбой предоставить самые разные товары, в том числе с постоплатой, — сообщили изданию в пресс-службе маркетплейса. — Часто мошенники используют схожие по написанию домены и формируют письма-запросы на бланках с логотипом Ozon».

По данным «Фонтанки», на момент публикации ни одной из пострадавших компаний не удалось вернуть ни деньги, ни украденный товар.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru