Уязвимость CDN от Cloudflare позволяла взломать 12% сайтов в Сети

Уязвимость CDN от Cloudflare позволяла взломать 12% сайтов в Сети

Уязвимость CDN от Cloudflare позволяла взломать 12% сайтов в Сети

Cloudflare устранила критическую уязвимость в своей бесплатной CDN (Content Delivery Network, сеть доставки контента) с открытым исходный кодом — CDNJS. По имеющимся данным, эта брешь затрагивала 12,7% всех веб-сайтов в Сети.

CDNJS обслуживает миллионы веб-ресурсов, предоставляя более 4 тысяч библиотек JavaScript и CSS, хранящихся на GitHub. Таким образом, это вторая по размеру CDN для доставки JavaScript.

Использование уязвимости подразумевает публикацию пакетов CDNJS с помощью GitHub и npm, что приводит к проблеме класса Path Traversal и удалённому выполнению кода. Успешная эксплуатация позволяет полностью скомпрометировать инфраструктуру CDNJS.

Об этом векторе рассказал специалист в области кибербезопасности, использующий онлайн-псевдоним RyotaK. По словам эксперта, ему удалось выявить метод полной компрометации инфраструктуры Cloudflare CDNJS в процессе исследования атак на цепочки поставок.

Само собой, такая брешь в руках злоумышленников могла оказаться опасным оружием, поскольку многие веб-сайты полагаются на CDN для загрузки популярных библиотек JavaScript и CSS. Если условный онлайн-магазин использует уязвимую систему доставки контента, это может ударить по покупателям.

В ходе исследования RyotaK обратил внимание на интересную особенность cdnjs.com: у специалиста была возможность предложить новую библиотеку через репозиторий GitHub. После этого эксперт понял, что этот репозиторий вместе с соседними поддерживал всю экосистему CDNJS в рабочем состоянии.

В итоге RyotaK нашёл способ обманом заставить серверы выполнить произвольный код. Для этого специалист использовали скрипты, хранящиеся в cdnjs/bot-ansible и cdnjs/tools. Именно эти скрипты периодически доставляли на сервер CDNJS обновлённые версии библиотек, выпущенные их авторами.

Исследователь задумался: что случится, если у опубликованной им библиотеки будет соответствующая версия npm, содержащая эксплойт для Path Traversal. Свои эксплойты RyotaK спрятал в архивах ZIP / TGZ. Это известная темника, получившая распространение в 2018 году под именем ZIP Slip.

Специалист, которому в результате удалось запустить Bash-скрипты на сервере, сообщил о проблеме Cloudflare посредством программы HackerOne. Команда разработчиков среагировала очень оперативно, выпустив патчи в течение считаных часов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

С 1 июля усилен контроль за переводами между картами в России

С 1 июля вступили в силу поправки в Налоговый кодекс, ужесточающие контроль за операциями с банковскими картами. Под особое внимание могут попасть переводы крупных сумм — например, при покупке автомобиля или оплате дорогостоящих услуг вроде туристических поездок.

Как отметила в комментарии «Российской газете» председатель Ассоциации бухгалтеров Северной столицы Светлана Лебедева, теперь банки обязаны передавать в Росфинмониторинг информацию о движении средств и закрытии счетов не только юридических лиц и ИП, но и всех клиентов — включая физлиц.

Также, по словам Лебедевой, в поле зрения контролирующих органов могут попасть регулярные поступления на банковскую карту. Речь может идти об неофициальной зарплате, арендных платежах или оплате товаров и услуг без регистрации в качестве самозанятого.

Заведующий лабораторией доверенного искусственного интеллекта РТУ МИРЭА Юрий Силаев в беседе с RT порекомендовал избегать переводов на суммы, существенно превышающие среднемесячный доход:

«Регулярные переводы разным людям, особенно малознакомым, могут быть расценены как незаконная предпринимательская деятельность. Также не стоит напрямую переводить деньги за дорогостоящие покупки — автомобили, недвижимость, туры. В таких случаях безопаснее использовать безналичный расчёт с оформлением договора».

Силаев добавил, что настороженность, как правило, вызывают только те операции, которые выбиваются из привычной финансовой активности. К числу «безопасных» относятся покупки товаров, оплата услуг и переводы на небольшие суммы в адрес близких через ограниченное число банков и официальные платёжные системы.

По словам Лебедевой, новые меры — часть более широкой стратегии по борьбе с финансовыми преступлениями, включая мошенничество и дроппинг (помощь в обналичивании чужих средств), который недавно стал уголовно наказуем. Ещё одна цель изменений — повышение налоговой дисциплины.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru