0-day уязвимость затрагивает все версии phpMyAdmin, патча пока нет

0-day уязвимость затрагивает все версии phpMyAdmin, патча пока нет

0-day уязвимость затрагивает все версии phpMyAdmin, патча пока нет

Исследователь в области безопасности опубликовал технические детали и proof-of-concept непропатченной 0-day уязвимости в phpMyAdmin. Самая опасная особенность этой бреши — она затрагивает все версии приложения для управления базами данных.

phpMyAdmin — бесплатный инструмент с открытым исходным кодом. Его используют многие сайты для управления базами данных MySQL и MariaDB.

Мануэль Гарсия Карденас, эксперт в области кибербезопасности, обнаружил уязвимость вида CSRF (cross-site request forgery, также ее называют XSRF). Обычно атакующий может использовать такие бреши, чтобы заставить аутентифицированных пользователей выполнить вредоносное действие.

Проблема безопасности получила идентификатор CVE-2019-12922. Ей присвоили средний уровень опасности, так как деструктивные действия бреши довольно ограничены.

Для эксплуатации уязвимости злоумышленник должен отправить специально созданную ссылку атакуемому веб-администратору. Последний при этом должен быть аутентифицирован в панели phpMyAdmin в том же браузере.

«Атакующий легко может создать поддельную гиперссылку, содержащую запрос, который выполнится от лица пользователя. В этом случае открывается возможность для атаки вида CSRF из-за неправильного использования HTTP-метода», — объясняет Карденас.

Эксперт обнаружил уязвимость в июне, после чего передал информацию о ней разработчикам. Поскольку они не уложились в 90-дневный срок, Карденас решил опубликовать технические детали проблемы. Патча в настоящее время не существует.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Депутат Антропенко предупредил о фишинговых сайтах по продаже икры

В преддверии новогодних праздников злоумышленники заметно увеличили число фишинговых сайтов, предлагающих купить икру и морепродукты. Такие ресурсы привлекают низкими ценами, а их оформление зачастую почти не отличается от легитимных интернет-магазинов.

Об усилении мошеннической активности РИА Новости рассказал член комитета Госдумы по промышленности и торговле Игорь Антропенко. По его словам, количество поддельных сайтов, продающих икру и морепродукты, растёт по мере приближения праздников.

«С учетом развития интернета мошенникам сегодня не составляет труда создать фишинговый сайт и связанные с ним страницы в соцсетях, наполнив их привлекательными изображениями. Всё это создает иллюзию работы легитимного магазина», — отметил депутат.

Согласно статистике МВД, покупатели таких фейковых магазинов рискуют получить вместо товара брак, фальсификат или даже пустую коробку. По-прежнему распространена схема, когда мошенники запускают сайт на ограниченное время, собирают деньги с покупателей, после чего «клон» магазина бесследно исчезает.

«Если всё же возникает желание заказать что-то в неизвестном магазине, никогда не стоит заранее сообщать реквизиты банковских карт и оплачивать товар до его получения. И хочу напомнить: будьте осторожны при покупке икры “на вес”, поскольку во многих случаях не соблюдаются условия хранения и транспортировки такого продукта», — предостерёг Игорь Антропенко.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru