Брешь OpenSSH позволяет найти пользователей на сервере, патча пока нет

Олег Иванов 17 Августа 2018 - 08:23

...

Брешь OpenSSH позволяет найти пользователей на сервере, патча пока нет

Исследователи сообщают о серьезной уязвимости в OpenSSH, которая позволяет удаленному злоумышленнику определить, есть ли на атакуемом сервере определенный пользователь (username enumeration).

О проблеме безопасности сообщили эксперты Дариуш Титко и Михал Сайдак.

Исследователи так описывают брешь:

«Мы обнаружили, что удаленный атакующий может вычислить, существует ли определенный пользователь на целевом сервере OpenSSH».

  static int
  userauth_pubkey(struct ssh *ssh)
  {
 ...
 if (!authctxt->valid) {
 debug2("%s: disabled because of invalid user", __func__);
 return 0;
 }
 if ((r = sshpkt_get_u8(ssh, &have_sig)) != 0 ||
 (r = sshpkt_get_cstring(ssh, &pkalg, NULL)) != 0 ||
 (r = sshpkt_get_string(ssh, &pkblob, &blen)) != 0)
 fatal("%s: parse request failed: %s", __func__, ssh_err(r));

Помимо этого, злоумышленник может попытаться аутентифицировать пользователя с помощью специально созданного вредоносного пакета.

На данный момент брешь не имеет CVE-идентификатора, и исследователи убеждены, что ей должны его присвоить.

«Мы считаем, что этой уязвимости нужно дать идентификатор CVE, она затрагивает все существующий версии OpenSSH (мы протестировали вплоть до OpenSSH 2.3.0, выпущенной в ноябре 2000 года)».

Специалисты опубликовали POC-код на GitHub. Они обеспокоены тем, что об уязвимости уже публично известно, а патча все еще нет. Это подвергает многих пользователей риску.

Следующая главная новость »

В прямом эфире подведем итоги года для рынка информационных технологий. Присоединяйтесь! »

Екатерина Быстрова 29 Декабря 2025 - 09:05

Атаки на сайты Взлом сайтов Утечки информации Умышленные утечки информации Кража данных Домашние пользователи Корпорации

Хакер выложил базу подписчиков WIRED и пригрозил утечкой 40 млн записей

Киберпреступник под ником Lovely заявил о взломе медиахолдинга Condé Nast и опубликовал на одном из форумов даркнета базу данных подписчиков WIRED. По его словам, это только начало: в ближайшие недели он якобы планирует выложить до 40 миллионов записей пользователей других изданий холдинга.

20 декабря Lovely выложил архив с данными на одном из хакерских форумов и предложил доступ к нему за символическую сумму — около $2,3 во внутренней валюте площадки.

В публикации он обвинил Condé Nast в том, что компания якобы игнорировала сообщения об уязвимостях и не уделяла должного внимания защите данных пользователей.

«Condé Nast не заботится о безопасности данных своих пользователей. Нам потребовался целый месяц, чтобы убедить их закрыть уязвимости», — написал автор утечки.

«Мы продолжим публиковать данные (40+ миллионов записей) в ближайшие недели. Наслаждайтесь».

Позже тот же архив появился и на других форумах — правда, там за пароль к архиву тоже нужно было платить форумные кредиты.

По информации BleepingComputer, в базе содержится 2 366 576 записей, почти все — с уникальными имейл-адресами. Даты в записях охватывают практически 30 лет: с 1996 по сентябрь 2025 года.

Внутри — стандартные данные подписчиков:

адрес электронной почты и внутренний идентификатор,
имя и фамилия (не у всех),
номер телефона,
физический адрес,
дата рождения,
пол,
служебная информация об аккаунте и сессиях.

Большая часть полей пустая, но кое-что всё же есть:

около 12% записей содержат имя и фамилию,
8% — физический адрес,
почти 3% — дату рождения,
1,4% — номер телефона.

Есть и совсем небольшая группа (около 1,5 тысячи записей) с максимально полными профилями — имя, адрес, телефон, дата рождения и пол. Хотя Condé Nast официально не подтверждал взлом, BleepingComputer смог проверить 20 записей и подтвердить, что они действительно принадлежат реальным подписчикам WIRED.

Кроме того, подлинность базы подтвердил Алон Гал, сооснователь и CTO Hudson Rock. Его команда сопоставила данные из утечки с логами инфостилеров и нашла совпадения с ранее скомпрометированными учётными данными пользователей wired.com.

В итоге база уже добавлена в сервис Have I Been Pwned, где любой желающий может проверить, не попал ли его адрес электронной почты в утечку.

Любопытная деталь: до публикации базы Lovely представлялся исследователем в области безопасности. В конце ноября он даже обратился к Dissent Doe из DataBreaches.net с просьбой помочь связаться с командой безопасности Condé Nast для передачи информации об уязвимости.

Изначально он утверждал, что скачал лишь небольшое количество записей «для подтверждения работы эксплойта» — в том числе данные самой Dissent Doe и одного из сотрудников WIRED. Но после отсутствия реакции со стороны Condé Nast ситуация резко изменилась: Lovely заявил, что выгрузил всю базу.

В прямом эфире подведем итоги года для рынка информационных технологий. Присоединяйтесь! »