Опасная уязвимость с годовым стажем до сих пор угрожает WordPress

Опасная уязвимость с годовым стажем до сих пор угрожает WordPress

Опасная уязвимость с годовым стажем до сих пор угрожает WordPress

Серьезная уязвимость движка WordPress, которая оставалась непропатченной целый год, угрожает бесчисленным сайтам, которые работают на этой CMS. Об этом сообщил исследователь в области безопасности Сэм Томас из компании Secarma.

О наличии такой серьезной бреши Томас сообщил в ходе конференции BSides, посвященной кибербезопасности.

Специалист заявил, что злоумышленники используют PHP-фреймворк WordPress, что может привести к полной компрометации системы.

В случае если на домене разрешена загрузка файлов, атакующий может загрузить файл миниатюры для запуска действий с этим файлов посредством «phar://». А эксплойт, в свою очередь, использует недостатки eXternal Entity (XXE — XML) и Server Side Request Forgery (SSRF), которые вызывают десериализацию в коде платформы.

Эти недостатки, изначально не такие опасные, могут стать одной из ступеней к более серьезным атакам, в ходе которых злоумышленник может удаленно запустить код.

Как объясняет исследователь, основной уязвимости еще даже не присвоен идентификатор CVE, она находится в функции wp_get_attachment_thumb_file в файле /wpincludes/post.php. Ошибка может быть использована, когда атакующий получает контроль над параметром, используемым в вызове «file_exists».

WordPress используется миллионами веб-ресурсов, следовательно, у этой уязвимости очень хорошие шансы поразить огромное количество жертв, если киберпреступники будут использовать ее в «дикой природе».

Как заявили в Secarma, разработчиков CMS поставили в известность еще в феврале 2017 года. Однако до сих пор надлежащих мер так и не было принято. Технические детали уязвимости доступны по этой ссылке.

Напомним, что в прошлом месяце 10 000 взломанных сайтов WordPress стали причиной тысяч заражений. Исследователи из Check Point раскрыли инфраструктуру и методы масштабной вредоносной кампании, в рамках которой злоумышленники распространяли злонамеренные криптомайнеры, программы-вымогатели и банковские трояны.

39% компаний в России обходятся без динамической ИТ-инфраструктуры

Почти четыре из десяти российских компаний до сих пор не используют динамическую ИТ-инфраструктуру. Об этом свидетельствуют результаты опроса зрителей эфира AM Live, где эксперты обсуждали развитие динамических систем и переход бизнеса к более гибким моделям.

По данным опроса, 39% компаний вообще не применяют динамическую инфраструктуру. Как отметил архитектор UserGate Михаил Кадер, цифра выглядит неожиданной на фоне активных разговоров о цифровой трансформации.

Впрочем, генеральный директор «Флант» Александр Титов считает, что противоречия здесь нет. В эфире в основном говорили о компаниях, создающих собственные цифровые продукты. У многих организаций иная специализация, поэтому они могут обходиться без динамической модели. Хотя, по его мнению, даже такие компании могли бы использовать её для экономии ресурсов и оптимизации мощностей.

Руководитель продуктового департамента Скала^р Группы Rubytech Роман Бычков добавил, что такие результаты показывают масштаб потенциального рынка — поле для развития решений в этой сфере по-прежнему широкое.

В то же время директор департамента продуктового развития гибридных и частных облаков Cloud.ru Руслан Иванов обратил внимание на другую сторону статистики: большинство участников понимают, что такое динамическая инфраструктура и как она работает. А значит, интерес к теме есть, и обсуждение идёт не в пустоту.

Эксперты сошлись во мнении, что динамическая модель помогает снижать операционные издержки и эффективнее использовать вычислительные ресурсы. Однако переход к ней даётся не всем легко. В другом вопросе опроса 67% респондентов назвали главным препятствием сложности интеграции с существующими системами, а 51% — риски сбоев при миграции.

Коммерческий директор ITKey Вячеслав Самарин отметил, что вендоры сегодня предлагают сопровождение и поддержку при переходе, стараясь сделать миграцию максимально безболезненной.

В целом участники эфира согласились: динамическая инфраструктура перестала быть инструментом только для ИТ-лидеров. Сегодня она может быть полезна компаниям самых разных отраслей — от ретейла до промышленности.

RSS: Новости на портале Anti-Malware.ru