В Drupal устранили критические баги, для которых уже есть эксплойты

В Drupal устранили критические баги, для которых уже есть эксплойты

В Drupal устранили критические баги, для которых уже есть эксплойты

В CMS-системе Drupal пропатчены две опасные уязвимости, связанные с использованием сторонней библиотеки PEAR Archive_Tar. Ее разработчики уже выпустили обновление, теперь соответствующие изменения внесены в ядро Drupal.

Названная библиотека предназначена для обработки архивных tar-файлов в PHP. Обе новых уязвимости (CVE-2020-28948 и CVE-2020-28949) позволяют обойти защиту Archive_Tar  от атак, использующих возможность десериализации метаданных из файлов Phar (PHP Archive).

Эксплуатация в данном случае осуществляется через манипуляции с именами файлов и грозит исполнением вредоносного PHP-кода или перезаписью важных файлов — таких как /passwd и /shadow.

Команда Drupal признала оба бага критичными, оценив их в 18 баллов из 25 возможных по шкале, рекомендованной NIST (американским Институтом стандартов и технологий). При этом было отмечено, что использование новых брешей в CMS-системе возможно лишь при настройках, разрешающих загрузку файлов .tar, .tar.gz, .bz2 или .tlz.

Наличие уязвимостей подтверждено для Drupal версий 7 и 9, а также веток 8.8 и 8.9. Поскольку PoC-эксплойт уже опубликован, патчи для CMS были выпущены в экстренном порядке. Пользователям Drupal рекомендуется как можно скорее произвести обновление до сборки 7.75, 9.0.9, 8.8.12 или 8.9.10. Если такой возможности нет, стоит пока запретить загрузку файлов указанных форматов из недоверенных источников.

На жительницу Алтайского края завели уголовное дело за подслушивание

В Алтайском крае завершили расследование уголовного дела в отношении жительницы Солонешенского района. Её обвиняют по ч. 3 ст. 30, ч. 1 ст. 137 УК РФ — в покушении на незаконный сбор сведений о частной жизни человека, составляющих его личную тайну, без его согласия.

Расследование проводило следственное управление Следственного комитета Российской Федерации по Алтайскому краю.

Как сообщает телеграм-канал регионального управления СК, 52-летняя обвиняемая решила собрать компрометирующую информацию на своего руководителя.

По версии следствия, желая доказать, что начальник недобросовестно исполняет свои обязанности и тратит рабочее время на личные дела, женщина проникла в его служебный кабинет и спрятала в шкафу включённый диктофон. Однако устройство обнаружили другие сотрудники.

«В ходе предварительного следствия собраны достаточные доказательства, в связи с чем уголовное дело с утверждённым прокурором обвинительным заключением направлено в суд для рассмотрения по существу», — говорится в сообщении СУ СК по Алтайскому краю.

Тем временем в Госдуму внесены два законопроекта, направленные на защиту граждан от навязчивого преследования (сталкинга) и вмешательства в частную жизнь. Один из них подготовила фракция «Новые люди», другой внесён депутатом Ярославом Ниловым. Одним из главных поводов для разработки этих инициатив стало то, что правоохранительные органы крайне неохотно возбуждают дела в отношении преследователей.

RSS: Новости на портале Anti-Malware.ru