Apache устранила эксплуатируемую 0-day уязвимость в веб-сервере

Apache устранила эксплуатируемую 0-day уязвимость в веб-сервере

Apache устранила эксплуатируемую 0-day уязвимость в веб-сервере

Организация Apache Software Foundation выпустила новую версию HTTP Web Server под номером 2.4.50. С её выходом разработчики устранили две уязвимости, одна из которых активно используется в кибератаках.

Учитывая, насколько популярен кросс-платформенный веб-сервер от Apache, атаки с эксплуатацией 0-day могут иметь очень серьёзный размах. Уязвимость, которой присвоили идентификатор CVE-2021-41773, позволяет атакующему замапить URL на сторонние файлы. Другими словами, это брешь вида Path Traversal.

Для успешной эксплуатации злоумышленнику нужно отравить бэкенду запросы на доступ. Как правило, такие запросы блокируются, однако в этом случае защитные механизмы можно обойти с помощью закодированных знаков в URL. Такая атака может привести к утечке источника CGI-скриптов.

Атака сработает в том случае, если у жертвы запущен Apache HTTP Server 2.4.49 и при этом отключён один из параметров контроля доступа. Фактически уязвимой считается конфигурация по умолчанию, что усугубляет ситуацию.

Более старые версии веб-сервера не страдают от этой 0-day. Тем не менее специальный поисковик Shodan зафиксировал более сотни тысяч потенциально дырявых установок в Сети 

 

Всем администраторам рекомендуется срочно установить вышедшие патчи, чтобы защитить свои серверы от кибератак злоумышленников.

Минюст предложил криминализировать нелегальный майнинг

Минюст разместил на портале проектов нормативных актов законопроект, предусматривающий введение уголовной ответственности за нелегальный майнинг криптовалюты, а также за незаконную деятельность операторов майнинговой инфраструктуры.

Документ опубликован для общественного обсуждения и содержит поправки в Уголовный и Уголовно-процессуальный кодексы РФ.

Согласно проекту, в Уголовный кодекс предлагается добавить часть 6 в статью 171. В ней преступлением признаётся «осуществление майнинга цифровой валюты лицом, не включённым в реестр лиц, осуществляющих майнинг цифровой валюты, если такое включение является обязательным, либо оказание услуг оператора майнинговой инфраструктуры без включения в реестр операторов майнинговой инфраструктуры — при условии, что эти деяния причинили крупный ущерб гражданам, организациям или государству либо были сопряжены с извлечением дохода в крупном размере».

За такие действия предлагается наказывать штрафом до 1,5 млн рублей либо исправительными работами сроком до двух лет. При наличии отягчающих обстоятельств — крупного ущерба, значительного незаконного дохода или совершения преступления в составе организованной группы — штраф может увеличиться до 2,5 млн рублей. Также предусмотрены принудительные работы на срок до пяти лет или лишение свободы на тот же срок.

Отдельно отмечается проблема нелегального майнинга с использованием чужих устройств, когда добыча криптовалюты ведётся с помощью внедрённых на компьютеры пользователей вредоносных программ. В последние годы, как отмечают специалисты, майнинговые ботнеты начали создавать и на базе устройств «умного дома», объединяя их в распределённые сети.

RSS: Новости на портале Anti-Malware.ru