В серверах OpenLiteSpeed найдены уязвимости, помогающие внедрить бэкдор

В серверах OpenLiteSpeed найдены уязвимости, помогающие внедрить бэкдор

В серверах OpenLiteSpeed найдены уязвимости, помогающие внедрить бэкдор

Специалисты Palo Alto Networks выявили три уязвимости в OpenLiteSpeed Web Server; как оказалось, в связке они позволяют скомпрометировать сервер и удаленно выполнить сторонний код с привилегиями root. Проблема актуальна также для LiteSpeed Web Server Enterprise; патчи уже доступны.

Серверный софт OpenLiteSpeed представляет собой opensource-версию продукта корпоративного класса, созданного LiteSpeed Technologies как альтернатива Apache. По данным Palo Alto, лицензионный LiteSpeed Web Server занимает шестое место по популярности среди веб-серверов; поиск по Shodan показал около 1,9 млн активных экземпляров LiteSpeed.

Две уязвимости, выявленные в OpenLiteSpeed (CVE-2022-0073 и CVE-2022-0074), эксперты оценили одинаково — в 8,8 балла CVSS. Третья была признана менее опасной (CVE-2022-0072, 5,8 балла).

Проблема CVE-2022-0073 классифицируется как возможность инъекции команд. Эксплойт требует доступа к админ-панели (учетные данные можно получить брутфорсом или с помощью социальной инженерии) и позволяет удаленно выполнить вредоносный код на сервере — даже из-под аккаунта nobody, по традиции создаваемого на Linux-машинах.

Использование CVE-2022-0074 поможет хакеру повысить привилегии в системе до уровня суперпользователя, а CVE-2022-0072 (обход каталога) обеспечит доступ к закрытым файлам. Таким образом, комбинация эксплойтов позволяет автору атаки скомпрометировать сервер, создать скрытый бэкдор и получить к нему доступ.

Наличие уязвимостей подтверждено для OpenLiteSpeed выпусков с 1.5.11 по 1.7.16 и LiteSpeed с 5.4.6 по 6.0.11. Патчи включены в состав сборок 1.7.16.1 и 6.0.12 соответственно.

В бета-версии WhatsApp для Android появился тариф WhatsApp Plus

В Android-бете WhatsApp (принадлежит корпорации Meta, признанной экстремисткой и запрещённой в России) у части тестировщиков заметили новый тариф под названием WhatsApp Plus. Пока это не полноценный релиз, а ограниченный тест, но направление уже вполне понятно: Meta хочет монетизировать не только бизнес-инструменты, но и пользовательские «плюшки».

По данным WABetaInfo, в WhatsApp Plus входят в основном дополнительные функции кастомизации и удобства.

Речь идёт о премиальных стикерах, смене темы приложения, выборе альтернативной иконки, дополнительных закреплённых чатах, новых рингтонах и расширенных настройках списков чатов. Платными хотят сделать скорее «надстройки», а не саму переписку.

Цена на тесте тоже уже засветилась: около 2,99 доллара (223,77 руб.) в месяц, а у некоторых европейских бета-пользователей — 2,49 евро (219,42 руб.). Пока это выглядит как пробный запуск на Android, но ожидается, что позже подписка может добраться и до iOS, macOS и других платформ. Официальных сроков официального запуска Meta пока не называла.

Вообще, этот шаг не выглядит чем-то внезапным. Ещё в январе Meta (признана экстремисткой и запрещена в России) подтверждала, что готовит новые премиальные подписки для Facebook, Instagram и WhatsApp (все принадлежат корпорации Meta, признанной экстремисткой и запрещённой в России).

Тогда деталей по WhatsApp почти не было, а теперь стало понятнее, на чём именно компания собирается зарабатывать: не на доступе к мессенджеру как таковому, а на дополнительных функциях для тех, кто хочет чуть больше персонализации и контроля.

Если всё пойдёт по этому сценарию, WhatsApp Plus станет чем-то вроде аналога Snapchat+ или Telegram Premium, только с явным упором не на «обязательные» функции, а на визуальные настройки и небольшие бонусы для активных пользователей.

Вопрос только в том, найдётся ли у такой подписки достаточно желающих.

RSS: Новости на портале Anti-Malware.ru