В Drupal устранили критические баги, для которых уже есть эксплойты

В Drupal устранили критические баги, для которых уже есть эксплойты

В Drupal устранили критические баги, для которых уже есть эксплойты

В CMS-системе Drupal пропатчены две опасные уязвимости, связанные с использованием сторонней библиотеки PEAR Archive_Tar. Ее разработчики уже выпустили обновление, теперь соответствующие изменения внесены в ядро Drupal.

Названная библиотека предназначена для обработки архивных tar-файлов в PHP. Обе новых уязвимости (CVE-2020-28948 и CVE-2020-28949) позволяют обойти защиту Archive_Tar  от атак, использующих возможность десериализации метаданных из файлов Phar (PHP Archive).

Эксплуатация в данном случае осуществляется через манипуляции с именами файлов и грозит исполнением вредоносного PHP-кода или перезаписью важных файлов — таких как /passwd и /shadow.

Команда Drupal признала оба бага критичными, оценив их в 18 баллов из 25 возможных по шкале, рекомендованной NIST (американским Институтом стандартов и технологий). При этом было отмечено, что использование новых брешей в CMS-системе возможно лишь при настройках, разрешающих загрузку файлов .tar, .tar.gz, .bz2 или .tlz.

Наличие уязвимостей подтверждено для Drupal версий 7 и 9, а также веток 8.8 и 8.9. Поскольку PoC-эксплойт уже опубликован, патчи для CMS были выпущены в экстренном порядке. Пользователям Drupal рекомендуется как можно скорее произвести обновление до сборки 7.75, 9.0.9, 8.8.12 или 8.9.10. Если такой возможности нет, стоит пока запретить загрузку файлов указанных форматов из недоверенных источников.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Британским военным запретили обсуждать служебные вопросы в автомобилях

Британским военнослужащим запретили обсуждать любые вопросы, связанные со службой, находясь в любом автомобиле. Соответствующие предупреждения разместили на торпедо и приборных панелях всех машин, принадлежащих армии Великобритании как в стране, так и за её пределами.

Причиной стали опасения по поводу возможного прослушивания со стороны китайских спецслужб. О новых мерах сообщил таблоид Daily Mail.

По данным издания, предупреждения появились в сотнях автомобилей, которые используются для перевозки личного состава и грузов вблизи военных баз и других объектов как на территории Британских островов, так и за рубежом.

Сообщения запрещают обсуждать служебные вопросы в салоне автомобиля, а также подчёркивают недопустимость подключения личных устройств к бортовой электросети.

Мера была введена спустя два года после того, как в одном из автомобилей, предназначенных для использования британским правительством, включая премьер-министра, выявили систему скрытого прослушивания.

Инцидент стал поводом для полного отказа от китайского ИТ- и телеком-оборудования в госсекторе Великобритании. Также под запрет попало использование китайских электромобилей в армии и на флоте.

Однако проблемы с безопасностью наблюдались не только у китайских автомобилей. Ещё на раннем этапе распространения технологий подключённых транспортных средств серьёзные уязвимости были обнаружены в автомобилях Nissan. С тех пор зафиксировано множество инцидентов с автомобилями разных производителей — европейских, американских и японских.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru