10-балльная RCE-уязвимость в CMS 1С-Битрикс затронула 17 тысяч сайтов

10-балльная RCE-уязвимость в CMS 1С-Битрикс затронула 17 тысяч сайтов

10-балльная RCE-уязвимость в CMS 1С-Битрикс затронула 17 тысяч сайтов

Эксперт Positive Technologies обнаружил в системе «1С-Битрикс: Управление сайтом» уязвимость, опасность которой была оценена в 10 баллов по шкале CVSS. Эта же проблема актуальна для некоторых CRM Битрикс24; соответствующий патч доступен с 14 сентября.

Согласно бюллетеню «1С-Битрикс», данная уязвимость привязана к модулю landing и вызвана ошибками синхронизации при использовании общего ресурса. Эксплойт позволяет удаленно выполнить любую системную команду, захватить контроль над хостом и проникнуть во внутреннюю сеть.

«Уязвимость позволяла удаленному пользователю выполнить произвольный код, — уточняет автор находки, специалист по пентесту Сергей Близнюк. — Это давало потенциальному атакующему возможность запускать на узле любое ПО и манипулировать содержимым сайта и базой данных, а в случае наличия связности с локальной сетью — развивать атаку на внутренние ресурсы».

Затронутыми оказались все сайты, использующие «1С-Битрикс: Управление сайтом» в различных редакциях, начиная со «Стандарт». Под ударом оказались также некоторые резидентные серверы Bitrix24 (self-hosted).

По данным мониторинга PT Expert Security Center, на момент выхода бюллетеня разработчика уязвимые версии CMS-системы использовали около 17 тыс. сайтов — в основном в TLD-зонах RU, BY, KZ, KG и UA. Владельцами 11% таких ресурсов оказались компании из сферы электронной коммерции.

Патч для уязвимости был включен в состав сборки 23.850.0 модуля landing. Обновление доступно пользователям при наличии PHP 8.0 и активной лицензии. Заплатку можно также получить, обратившись в техподдержку; в противном случае придется отключить landing, чтобы предотвратить эксплойт.

К сожалению, уязвимости в CMS «1С-Битрикс» нередки, и каждый раз они ставят под удар большое количество обитателей рунета. В CRM Битрикс24 в этом году было устранено как минимум восемь опасных проблем.

Эффективную защиту от эксплойта уязвимостей в веб-приложениях, по словам экспертов, предоставляют ИБ-продукты класса WAF. Выявить атаку через дыру в CMS-модуле landing также поможет новое правило, созданное для MaxPatrol SIEM 7.0 и выше.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

ВТБ раскрыл новую схему мошенничества от имени лжепсихологов

Мошенники начали представляться школьными психологами и методистами, чтобы обманом выманить у родителей учеников персональные и платёжные данные. Как сообщили в банке, злоумышленники требуют предоставить сведения или пройти некое «тестирование» — якобы для итоговой аттестации или составления «характеристики ученика».

В процессе разговора мошенники могут запрашивать паспортные данные, СНИЛС, ИНН — как у ребёнка, так и у родителей. Нередко они просят установить сторонние приложения, которые якобы необходимы для прохождения теста.

На деле всё это делается ради получения доступа к Порталу Госуслуг и банковским приложениям. Через процедуры восстановления доступа злоумышленники оформляют кредиты на имя родителей и похищают полученные средства.

«Мошенники всё чаще используют школьную тематику, играя на тревоге и доверчивости родителей. Они создают ощущение срочности, используют официальные термины — “государственная аттестация”, “характеристика ученика” — чтобы сбить с толку и не дать жертве задуматься. В таких случаях важно остановиться, прервать разговор и спокойно перепроверить информацию», — отметил вице-президент ВТБ, начальник управления защиты корпоративных интересов департамента по обеспечению безопасности Дмитрий Ревякин.

По его словам, аферисты часто звонят наугад — в том числе родителям уже взрослых детей или даже бездетным людям, рассчитывая на замешательство.

Ревякин также рекомендовал передавать номера мошенников в банк. Это можно сделать через раздел «Безопасность» в чат-боте ВТБ, на сайте, в мобильном приложении ВТБ Онлайн, а также в официальных аккаунтах банка в мессенджерах «ВКонтакте» и MAX. Эти номера передаются операторам связи для последующей блокировки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru