Критическая уязвимость ядра затрагивает все версии Apache Struts 2

Критическая уязвимость ядра затрагивает все версии Apache Struts 2

Организация Apache Software Foundation устранила критическую уязвимость, которая затрагивает все версии Apache Struts 2. Первыми баг обнаружили исследователи Semmle, он вызван неполной проверкой ненадежных пользовательских данных в базовой структуре Struts.

Поскольку недостаток безопасности, получивший идентификатор CVE-2018-11776, содержится в ядре Struts, у злоумышленников есть несколько векторов для атаки.

Если для параметра alwaysSelectFullNamespace в конфигурации Struts установлено значение true, то, вероятнее всего, сборка уязвима для таких атак.

Параметр принимает такое значение автоматически при использовании плагина Struts Convention.

Уязвимость обнаружил член команды безопасности Semmle Ман Юэ Мо.

«Эта уязвимость связана с языком Struts OGNL, с которым очень хорошо знакомы киберпреступники. Они уже использовали его в прошлом»,— отмечает Мо.

Поскольку брешь затрагивает все версии Apache Struts 2, компания рекомендуется немедленно обновить свои сборки. Использующие Struts 2.3 должны обновиться до 2.3.35, а те, кто пользуется Struts 2.5, — до версии 2.5.17.

Yandex Zen AMПодписывайтесь на канал "Anti-Malware" в Yandex Zen, чтобы узнавать о новостях и эксклюзивных материалах по информационной безопасности в своей персональной ленте.

Бабушка-кибермошенница — теперь мы видели все?

В МВД РФ рассказали интересную историю о бабушке-киберпреступнице, которая занималась мошенничеством. Предприимчивая 70-летняя женщина использовала социальные сети для поиска информации об участниках конкурса «Новая звезда», которые не прошли этап отбора. После этого гражданка предлагала вернуться в конкурс за определенную плату.

Таким образом, за сумму, которая начиналась от 6 тысяч рублей, а заканчивалась 28 тысячами, пенсионерка предлагала «вылетевшему» участнику подготовить оригинальную песню, видеоклип или же дополнительную репетицию.

Отправить денежные средства было необходимо на банковскую карту. После получения переводов пожилая кибермошенница обналичивала деньги в банкомате, расположенном в городе Суворове Тульской области.

«Подразделением дознания Муниципального отдела МВД России «Суворовский» возбуждено уголовное дело по признакам преступления, предусмотренного частью 1 статьи 159 УК РФ», — заявила Ирина Волк, официальный представитель МВД РФ.

В ходе расследования деятельности кибермошенницы было выявлено, что пострадали четверо музыкантов из Москвы, Тюмени и Воронежа.

Yandex Zen AMПодписывайтесь на канал "Anti-Malware" в Yandex Zen, чтобы узнавать о новостях и эксклюзивных материалах по информационной безопасности в своей персональной ленте.

RSS: Новости на портале Anti-Malware.ru