В плагине Facebook for WordPress пропатчена критическая RCE-уязвимость

В плагине Facebook for WordPress пропатчена критическая RCE-уязвимость

В плагине Facebook for WordPress пропатчена критическая RCE-уязвимость

В расширении Facebook for WordPress (ранее Official Facebook Pixel) устранили две опасные уязвимости. Одна из них позволяет внедрить на сайт вредоносный PHP-код и удаленно запустить его на исполнение. Пользователям рекомендуется обновить продукт до новейшей версии — 3.0.5.

Плагин Facebook for WordPress встраивает в страницы фрагмент кода Facebook Pixel, способный мониторить трафик, регистрировать действия пользователей (просмотр контента, добавление товаров в корзину, оформление заказа), оптимизировать рекламу и создавать аудитории для рекламных кампаний. В настоящее время на счету этого продукта числится более 500 тыс. активных установок.

В конце декабря исследователи из Wordfence / Defiant обнаружили в Facebook for WordPress критическую уязвимость, связанную с ошибкой десериализации, которая возникает при выполнении функции run_action(). Авторы находки классифицировали ее как возможность инъекции PHP-объекта с оценкой 9 баллов по шкале CVSS.

Наличие данной уязвимости позволяет, минуя аутентификацию, загружать на сайт произвольные файлы и выполнить, таким образом, вредоносный код. Проблема актуальна для Facebook for WordPress версий 2.2.2 и ниже; разработчик ее устранил в начале января, выпустив сборку 3.0.0 плагина.

Вторая брешь, найденная 27 января, чуть менее опасна (8,8 балла). Она представляет собой возможность межсайтовой подделки запросов (CSRF), грозящей XSS-атакой. По свидетельству Wordfence, эта уязвимость была привнесена при выпуске версии 3 плагина. Готовя ребрендинг, разработчики переписали большую часть кода и расширили функциональность, добавив использование AJAX при сохранении изменений в настройках Facebook for WordPress.

Это было сделано с целью улучшить интеграцию плагина, однако новая реализация проверки разрешений при переходе в панель управления Facebook Pixel оказалась небезупречной. В итоге открылась возможность подменить настройки, указав на свою консоль, и украсть метрические данные сайта. Чтобы получить такой результат, злоумышленнику придется обманом заставить админа после авторизации выполнить нужное действие — например, совершить переход по ссылке.

Более того, поскольку санации настроек при их сохранении не производится, автор атаки может внести в значения вредоносный JavaScript, и он будет выполнен в браузере админа при заходе на страницу настроек. С помощью этого скрипта можно будет внедрить бэкдор в файлы тем или создать новый аккаунт администратора, чтобы захватить контроль над сайтом.

Уязвимости CSRF / XSS подвержены версии плагина с 3.0.0 по 3.0.3. Разработчик устранил ее в прошлом месяце в два приема; полный патч содержит сборка 3.0.4 (и, разумеется, 3.0.5 — новейшая на данный момент).

МВД предупредило о перехвате СМС-кодов и посоветовало включать биометрию

СМС-код больше не выглядит надежной защитой. МВД России рекомендует пользователям включать двухфакторную аутентификацию с использованием биометрии в банковских приложениях и других сервисах, где такая возможность уже реализована.

Как сообщили ТАСС в пресс-службе ведомства, причина проста: мошенники все чаще находят способы перехватывать СМС-коды, которые используются для подтверждения входа и операций.

Поэтому там, где это возможно, лучше использовать более защищенные механизмы авторизации. Эта рекомендация касается не только банковских приложений, но и портала «Госуслуги».

В МВД напоминают, что получив доступ к учетной записи, злоумышленники фактически получают доступ и к персональным данным пользователя. Именно поэтому в ведомстве призывают никогда не передавать коды подтверждения из сообщений, не хранить учетные данные в непроверенных сервисах и внимательно относиться к тому, где вводятся логин и пароль.

Впрочем, главной проблемой, по мнению МВД, остаются вовсе не технологии. Большинство хищений происходит потому, что пользователи сами сообщают конфиденциальную информацию, поверив мошенникам.

Ведомство также напомнило о классической схеме телефонного мошенничества. Если звонящий представляется сотрудником банка, полиции, ФСБ или другого ведомства, требует срочно перевести деньги на безопасный счет, назвать код из СМС или установить какое-либо приложение, разговор следует немедленно прекратить.

В МВД подчеркивают: настоящие сотрудники банков и государственных органов не запрашивают по телефону ПИН-коды, CVV-коды банковских карт и коды подтверждения из СМС. Если такой разговор начался, почти наверняка на другом конце провода мошенник.

RSS: Новости на портале Anti-Malware.ru