Критические уязвимости в Etherpad грозят захватом контроля над сервером

Критические уязвимости в Etherpad грозят захватом контроля над сервером

Критические уязвимости в Etherpad грозят захватом контроля над сервером

В текстовом редакторе Etherpad сборки 1.8.13 найдены две уязвимости, позволяющие угнать аккаунт администратора, выполнить произвольный код на сервере и украсть конфиденциальные документы. Одну дыру производитель закрыл; вторая ждет своей заплатки, но эксплойт в этом случае гораздо сложнее.

Инструмент Etherpad, предоставляющий интерфейс для совместной работы в реальном времени, пользуется большой популярностью как opensource-альтернатива Google Docs. О наличии уязвимостей участникам проекта сообщили в начале текущего месяца исследователи из SonarSource.

Согласно описанию в блоге компании, проблема CVE-2021-34817 привязана к чат-компоненту Etherpad. Данная уязвимость позволяет посредством XSS-атаки захватить контроль над любым аккаунтом пользователя, в том числе с объемом прав администратора. Используя привилегированную учетную запись, злоумышленник сможет украсть или подменить конфиденциальные данные.

Уязвимость CVE-2021-34816 вызвана отсутствием верификации и санации параметров при передаче бэкенд-серверу команд на установку плагина из npm-репозитория. В итоге открылась возможность протащить в систему зловреда, подменив имя пакета или указав URL вредоносного файла на стороннем сервере. Подобная инъекция требует прав администратора (в Etherpad такой аккаунт по умолчанию отсутствует).

Комбинация найденных багов, по словам исследователей, позволит автору атаки взломать админ-аккаунт и использовать полученные привилегии для выполнения своего кода на сервере.

 

Для устранения XSS-уязвимости участники opensource-проекта выпустили обновление 1.8.14, которое пользователям Etherpad рекомендуется установить, чтобы снизить риски.

WhatsApp готовит для iPhone текстовые сообщения, открывающиеся один раз

В WhatsApp (принадлежит признанной экстремистской организацией корпорации Meta, запрещенной в России) продолжают экспериментировать с функциями для любителей конфиденциальности. Несколько недель назад стало известно, что мессенджер тестирует сообщения, которые исчезают сразу после прочтения. Теперь разработчики пошли ещё дальше.

Как сообщает WABetaInfo, в WhatsApp работают над функцией одноразовых текстовых сообщений. По сути, это аналог режима «просмотреть один раз», который уже давно доступен для фотографий, видео и голосовых сообщений.

Судя по данным из тестовых сборок, отправить такое сообщение можно будет через дополнительное меню. После набора текста пользователю предложат удержать кнопку отправки и выбрать пункт Send as view once. Собеседник сможет открыть сообщение только один раз. После прочтения оно станет недоступным и исчезнет из чата.

 

Функция будет работать как в личных переписках, так и в групповых чатах. А вот для каналов её внедрять не планируют — логика публичных публикаций плохо сочетается с одноразовыми сообщениями.

Интересно, что сейчас некоторые пользователи уже обходят отсутствие такой возможности довольно странным способом: пишут текст на изображении и отправляют картинку в режиме однократного просмотра. Новая функция должна избавить от подобных костылей.

Параллельно WhatsApp продолжает развивать и обычные исчезающие сообщения. Помимо существующих таймеров на 24 часа, 7 дней и 90 дней, разработчики готовят режим After reading, при котором сообщение будет удаляться сразу после прочтения адресатом.

Пока одноразовые текстовые сообщения ещё не доступны даже большинству бета-тестеров. Однако появление функции в тестовых сборках обычно означает, что до публичного запуска остаются считаные месяцы.

RSS: Новости на портале Anti-Malware.ru