В движке шаблонов Drupal устранили уязвимость, грозящую утечкой данных

В движке шаблонов Drupal устранили уязвимость, грозящую утечкой данных

В движке шаблонов Drupal устранили уязвимость, грозящую утечкой данных

Команда Drupal выпустила обновления для ядра CMS в связи с тем, что в дефолтном шаблонизаторе сторонней разработки только что закрыли опасную уязвимость. Система управления контентом использует библиотеку Twig для обработки и санации шаблонов с 2015 года (с момента выхода версии 8), поэтому Drupal 7 проблема не затронула.

Согласно бюллетеню разработчика, уязвимость CVE-2022-39261 (выход за пределы каталога) проявляется при загрузке шаблонов с использованием загрузчика файловой системы, но только в тех случаях, когда имя вводится пользователем. В такой ситуации подача команды source или include обеспечит автору атаки доступ на чтение к файлам в закрытых для него папках — при условии использования пространства имен вроде @somewhere/../some.fil.

Причиной появления уязвимости является неадекватная проверка подобного пользовательского ввода. Патч включен в состав сборок Twig 1.44.7, 2.15.3 и 3.4.3.

Участники проекта Drupal оценили степень опасности CVE-2022-39261 в 18 баллов из 25 возможных по используемой ими шкале (соответствует 7,5 балла по CVSS). Из неприятных последствий эксплойта упомянут несанкционированный доступ к конфиденциальным файлам, содержимому других файлам на сервере и ключам к базе данных.

Авторы публикации не преминули отметить, что в случае с CMS угрозу смягчает необходимость получить разрешение на ограниченный доступ. Однако это препятствие можно преодолеть с помощью стороннего или кастомного кода.

Для устранения проблемы пользователям рекомендуется перейти на новую сборку ядра — 9.3.22 или 9.4.7. Патчей в ветках, снятых с поддержки, не будет, поэтому лучше совершить апгрейд.

Минувшим летом в Drupal устранили еще одну уязвимость с оценкой «критическая» (по системе, принятой на проекте) — возможность удаленного выполнения PHP-кода. Установкам CMS версии 7 она тоже не страшна.

Фальшивый «Roblox без VPN» ворует аккаунты, предупреждают россиян

Пока российские игроки пытаются понять, как вернуться в Roblox после блокировки, мошенники уже нашли способ нажиться на их азарте. Как рассказала старший аналитик департамента Digital Risk Protection компании F6 Мария Синицына, киберпреступники создали фишинговый сайт, который обещает «волшебный» доступ к Roblox без VPN — нужно лишь ввести логин и пароль.

Дальше, как вы понимаете, начинается классика жанра: сайт оказывается подделкой, данные улетают злоумышленникам, а аккаунт — в их руки.

По словам Синицыной, которые передаёт РИА Новости, фейковый ресурс предлагает подключение к неким прокси-серверам, которые якобы позволяют играть без ограничений. Для этого пользователю предлагают аутентифицироваться в своём аккаунте Roblox — и на этом моменте игрок уже проиграл, причём не в игре.

Для мошенников особенно ценны аккаунты с игровой валютой, редкими персонажами, предметами и аксессуарами. Но настоящий джекпот — это профили, на которых созданы популярные игры внутри Roblox. Такие учётки продают за приличные суммы.

Параллельно в соцсетях и мессенджерах начали появляться страницы, предлагающие «специальные VPN для Roblox». По словам эксперта, часть таких предложений — просто способ привлечь трафик, но среди них встречаются и прямые мошенники: оплату возьмут, сервиса не дадут, а то и «подарят» вашему устройству вредонос.

Синицына советует относиться к таким ресурсам максимально осторожно:

  • не переходить по подозрительным ссылкам,
  • не верить сайтам, которые обещают «обход блокировок в один клик»,
  • помнить, что мошенники активно используют информационный шум вокруг блокировки Roblox.

Буквально вчера мы писали, что мошенники освоили тему разблокировки Roblox для краж с карт родителей. Поскольку схема основана исключительно на социальной инженерии и не требует технических навыков, её активно используют обычные аферисты.

Напомним, что в декабре Роскомнадзор подтвердил блокировку Roblox в России, заявив о распространении на платформе материалов экстремистского характера.

Пока неизвестно, вернётся ли Roblox в Россию, но одно ясно точно: мошенники будут использовать ситуацию до последнего. Поэтому лучше не поддаваться «легким решениям» — они обычно заканчиваются потерей аккаунта и нервов.

RSS: Новости на портале Anti-Malware.ru