Drupalgeddon2 не е единствениот критичен пропуст во Drupal

Поради бавната реакција на сопствениците на веб станици базирани на Drupal напаѓачите го злоупотребуваат попустот. Креаторите на системот за менаџирање со содржина издадоа безбедносна закрпа уште во март, но засега надградбите доцнат.

За проблемот да биде поголем, ако до пред објавувањето на пропустот немаше познат случај на злоупотреба на пропустот, еден месец и безбедносна закрпа подоцна, пропустот го злоупотебуваат барем 3 групи. Можеби најголемиот проблем со пропустот е што е лесно да се експлоатира. Секој може со пристап до url и со инјектирање на код да добие целосна контрола врз системот. Понатаму напаѓачот може да старта код без воопшто да биде логиран во системот.

„Сите што не ја надградиле верзијата на безбедна верзија на Drupal досега веќе се хакирани. Откако пропустот беше јавно обедлоденет сведоци сме на трка во која криминалците се обидуваат да пробијат што е можно повеќе веб страници“, вели Даниел Сид, технички директор во безбедносната компанија Sucuri.

Најголем дел од заразените ситеми потоа се користат за напад на други системи со пропусти. На системите кои се пробиени потоа се инсталира софтвер за копање на криптовалути и за DDoS напади.

Сите кои не ја направиле надградбата досега треба да сметаат дека заштитата им е пробиена и треба да преземат мерки за чистење.

Сепак проблемот може да биде и поголем, безбедносниот тим на Drupal прoнајде безбедносен пропуст во CKEditor. CKEditor доаѓа интегриран во Drupal, што значи дека е нарушена безбедноста на целиот CMS. Проблемот во надградбата е поради од неправилната валидација на “img” знакот во додатокот Enhanced Image за CKEditor верзија 4.5.11 и понова, јави Агенцијата за електронски комуникации.

Коментирај

Вашата адреса за е-пошта нема да биде објавена.

You may use these HTML tags and attributes: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>

*

Слични статии