В Drupal устранили критические баги, для которых уже есть эксплойты

В Drupal устранили критические баги, для которых уже есть эксплойты

В Drupal устранили критические баги, для которых уже есть эксплойты

В CMS-системе Drupal пропатчены две опасные уязвимости, связанные с использованием сторонней библиотеки PEAR Archive_Tar. Ее разработчики уже выпустили обновление, теперь соответствующие изменения внесены в ядро Drupal.

Названная библиотека предназначена для обработки архивных tar-файлов в PHP. Обе новых уязвимости (CVE-2020-28948 и CVE-2020-28949) позволяют обойти защиту Archive_Tar  от атак, использующих возможность десериализации метаданных из файлов Phar (PHP Archive).

Эксплуатация в данном случае осуществляется через манипуляции с именами файлов и грозит исполнением вредоносного PHP-кода или перезаписью важных файлов — таких как /passwd и /shadow.

Команда Drupal признала оба бага критичными, оценив их в 18 баллов из 25 возможных по шкале, рекомендованной NIST (американским Институтом стандартов и технологий). При этом было отмечено, что использование новых брешей в CMS-системе возможно лишь при настройках, разрешающих загрузку файлов .tar, .tar.gz, .bz2 или .tlz.

Наличие уязвимостей подтверждено для Drupal версий 7 и 9, а также веток 8.8 и 8.9. Поскольку PoC-эксплойт уже опубликован, патчи для CMS были выпущены в экстренном порядке. Пользователям Drupal рекомендуется как можно скорее произвести обновление до сборки 7.75, 9.0.9, 8.8.12 или 8.9.10. Если такой возможности нет, стоит пока запретить загрузку файлов указанных форматов из недоверенных источников.

Подпишитесь на новости

Мошенники создали сайты для проверки вымышленных табельных номеров

Телефонные мошенники обзавелись собственной системой подтверждения личности. Злоумышленники создали сеть фальшивых сайтов, где жертве предлагают проверить табельный номер якобы сотрудника правоохранительных органов. О схеме рассказали специалисты компании Ф6/F6.

Сценарий рассчитан на тех, кто начал сомневаться в звонящем. Вместо уговоров мошенник предлагает проверку: найдите в поисковике «Сервис проверки федеральных госслужащих» или «Межведомственный портал идентификации». Названия солидные, только сами сервисы вымышленные.

На поддельном сайте можно ввести номер и получить карточку с ФИО, должностью, рейтингом и датой приёма на работу. Есть и возможность загрузить документ по одноразовому коду. Всё это — декорации, которые должны придать словам незнакомца официальный вес. Мошенник фактически предлагает проверить себя в базе, которую контролируют мошенники.

Такие ресурсы встраивают в многоэтапные схемы. Сначала человека убеждают перейти по ссылке или назвать код из СМС. Затем подключаются лжеправоохранители: пугают последствиями уже совершённого действия и предлагают следовать новым указаниям. Фальшивая карточка сотрудника помогает подавить оставшиеся сомнения.

По словам экспертов F6, преступники усложняют сценарии и добавляют всё больше участников и инструментов, чтобы отключить критическое мышление жертвы.

Карточка на сайте, который подсказал сам звонящий, его полномочий не подтверждает. Проверять такую историю стоит через независимо найденные официальные контакты ведомства. А коды из СМС незнакомцу не нужны — каким бы убедительным ни выглядел его табельный номер.

RSS: Новости на портале Anti-Malware.ru