Разработчики Drupal выпустили два патча для ядра CMS

Разработчики Drupal выпустили два патча для ядра CMS

Разработчики Drupal выпустили два патча для ядра CMS

Разработчики системы управления контентом Drupal выпустили патчи, устраняющие две проблемы безопасности, обнаруженные в CMS ранее. К счастью, большинство сайтов эти уязвимости не затрагивают, однако все равно будет нелишним установить обновления.

Пропатчить придется само ядро, так как обнаруженные командой безопасности Drupal бреши способны привести к удаленному выполнению кода. Исходя из идентификаторов обновлений, это первые крупные фиксы в этом году.

Один из патчей (2019-001) устраняет уязвимость в библиотеке PEAR Archive_Tar, которой был присвоен идентификатор CVE-2018-1000888. Атакующий может использовать эту дыру с помощью вредоносного файла tar. Выполнение кода в этом случае достигается путем эксплуатации ошибки десериализации при распаковке архива.

Предположительно, если ваш сайт не обрабатывает архивы tar, вам не угрожает данная брешь. Однако все равно лучше установить обновления, так как злоумышленник, воспользовавшись этой дырой, сможет также удалять данные.

Второй фикс — 2019-002 — исправляет проблему обработки ядром сайта адресов phar:// в операциях с файлами. Чтобы воспользоваться этой брешью, атакующему потребуется создать ситуацию, в которой уязвимый скрипт наткнется на специально созданную вредоносную строку.

Несмотря на то, что патч получил статус критического, не каждая установка Drupal уязвима.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В России собираются узаконить статус Гостеха как единой платформы для ГИС

Минцифры России предлагает внести в закон «Об информации, информационных технологиях и о защите информации» поправки с целью регулирования работы облачной платформы «ГосТех». Новый проект уже согласован с профильной правовой комиссией.

Закрепление на этом уровне статуса и правил эксплуатации Гостеха» не сулит заметных изменений для пользователей. Нормативы, введенные указом президента №231 от 31 марта 2023 года и постановлением правительства №2338 от 16 декабря 2022-го, в целом останутся прежними.

Помимо прочего новый законопроект расширяет состав участников взаимодействия на облачной платформе, систематизируя их роли, права и обязанности. Он также предусматривает возможность доступа коммерческих структур, для которых использование сайта будет платным.

По словам представителя Минцифры, законопроект позволит ускорить переход на платформу всех органов власти и организаций, а также упростит создание ГИС за счет обмена разработками и существенно снизит расходы ведомств на ИТ.

Создание «Гостеха» было анонсировано в 2021 году. Первый сервис на этой платформе запустили в 2022 году, а с апреля 2023-го все госорганы обязали при создании и размещении ИС использовать только эту платформу.

В 2024 году такую же норму ввели для муниципальных органов власти. Исключение составляют лишь системы с гостайной.

К марту 2026 года на «Гостехе» планируется запустить ГИС «Антифрод», способной обеспечить взаимодействие госсектора, банков, операторов связи, IM-сервисов, хостинг-провайдеров в рамках борьбы с телефонным и онлайн-мошенничеством.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru