Критические баги в Control Web Panel открывают Linux-серверы для RCE-атак

Критические баги в Control Web Panel открывают Linux-серверы для RCE-атак

Критические баги в Control Web Panel открывают Linux-серверы для RCE-атак

Исследователи в области кибербезопасности рассказали о двух критических уязвимостях в бесплатной панели управления сервером Control Web Panel, которые можно связать с цепочкой эксплойтов для удалённого выполнения кода на затронутых серверах.

Бреши объединили под общим идентификатором CVE-2021-45467. В сущности, это типичная проблема PHP-инъекции, которая возникает в том случае, если злоумышленник заставит веб-приложение раскрыть или запустить определённые файлы на сервере.

В частности, уязвимость возникает, когда две неаутентифицированные PHP-страницы, используемые в приложении — «/user/login.php» и «/user/index.php» — не могут корректно удостоверить путь к файлу скрипта. О проблеме в безопасности рассказал Паулос Ибело.

Для эксплуатации уязвимости атакующему придётся изменить выражение include, которое используется для включения содержимого одного PHP-файла в другой PHP-файл. Именно так злоумышленник может внедрить вредоносный код с удалённого ресурса.

 

Эту брешь можно использовать в связке с CVE-2021-45466, что позволит киберпреступнику удалённо получить полный контроль над уязвимым сервером. Хвала разработчикам — они уже выпустили патч в этом месяце, поэтому остаётся только установить его, чтобы защитить серверы от эксплойтов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Минфин РФ отказался от идеи вернуть НДС на отечественный софт

В Минфине России еще раз проработали вопрос об отмене льгот по НДС для вендоров реестрового софта и решили отложить эту меру бессрочно. Об этом объявила на CNews FORUM 2025 первый замминистра финансов Ирина Окладникова.

По словам представителя министерства, от данной инициативы их заставило отказаться дружное сопротивление ИТ-отрасли.

Когда Минфину представили перспективы роста налоговой нагрузки (в 5-7 раз) на участников активно развивающегося рынка в случае отмены НДС с 1 января, там передумали и одобрили изъятие этого пункта из пакета поправок к Налоговому кодексу, уже принятых в первом чтении Госдумой.

«Наша задача — собрать дополнительные доходы, — цитирует ТАСС выступление Окладниковой. — Мы пытаемся собрать доходы отовсюду, откуда можем, и конечно, любые льготы у нас всегда вызывают вопросы, особенно введенные много лет назад. Знаете, на удивление, у нас в новом пакете было очень много предложений, но самый активный отклик был как раз на НДС для российского программного обеспечения».

О готовности российских властей отказаться от возврата НДС на софт, внесенный в реестр Минцифры, стало известно в прошлом месяце. Сторонники сохранения этой льготы указывали на высокую значимость ИТ для технологической независимости страны и цифровой трансформации экономики.

По оценкам АНО «Цифровая экономика», доля ИТ в общем объеме ВВП по итогам 2024 года составила 6%. На каждый рубль господдержки отрасль возвращает в бюджет два.

Вместе с тем эксперты фиксируют снижение темпов роста российского ИТ-рынка. Введение НДС на сделки с реестровым софтом привело бы к повышению цен на такие продукты (по оценкам, до 35%) и породило еще один сдерживающий фактор для развития внутреннего рынка.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru