Фахівці з кібербезпеки виявили дві серйозні вразливості, які можуть призвести до масштабних кібератак. Одна стосується PHP, що використовується у WordPress і Drupal, а інша — TLS-сертифікатів зі слабим шифруванням.
Про це пише видання Engadget.
Перша проблема пов’язана з мовою програмування PHP, на якій працюють багато сайтів і систем керування вмістом, зокрема WordPress, Drupal і MediaWiki. Фонд PHP повідомив про підготовку виправлень для двох критичних вразливостей, кожну з яких оцінили у 9,2 бала з 10 за рівнем небезпеки.
Випуск оновлень провели 21 жовтня о 14:00 за всесвітнім координованим часом (17:00 за Києвом).
Компанія watchTowr повідомила, що підтвердила наявність проблеми, яка, за її даними, може зачіпати всі версії PHP починаючи з PHP 5, випущеної у 2004 році. Дослідники також продемонстрували роботу інструмента PHP2Shell, здатного виконувати код на вебсерверах, зокрема тих, що використовують WordPress, MediaWiki, Symfony та Drupal.
Якщо зловмисники зможуть скористатися цією вразливістю, вони потенційно отримають змогу запускати власний код на сервері та встановлювати над ним контроль.
Компанія Sansec очікувала, що масові атаки можуть початися вже через 15 хвилин після публікації технічних подробиць. Через термінове встановлення оновлень деякі сайти на PHP можуть тимчасово припинити роботу.
Друга проблема стосується TLS-сертифікатів, які допомагають підтверджувати справжність сайтів і захищати передавання даних. Індійська компанія eMudhra повідомила про компрометацію восьми проміжних сертифікатів центру сертифікації. Вони були пов’язані з кореневими сертифікатами, яким довіряють Mozilla, Microsoft, Apple і Google Chrome.
Причиною небезпеки стали надзвичайно слабкі криптографічні ключі. За даними Hacker News та інших видань, їхня довжина становила від 3 до 8 біт замість типових для описаного випадку 384 біт. Через це зловмисник міг би підібрати ключі, перебравши лише 256 можливих значень.
Використовуючи такі ключі, атакувальники потенційно могли б підробляти сертифікати сайтів і застосунків, видавати себе за справжні сервери та перехоплювати інтернет-трафік. Компрометованим сертифікатам довіряли браузери, операційні системи, пристрої інтернету речей та інші системи,
зокрема інфраструктура Cloudflare.
Mozilla, Google та Apple вже заблокували скомпрометовані сертифікати у своїх браузерах. Сама eMudhra відкликала всі вісім сертифікатів і пояснила проблему помилкою у скрипті, який використовували для їх створення.
Водночас фахівець із безпеки Mozilla Денніс Джексон попередив, що деякі програми для macOS можуть і надалі довіряти цим сертифікатам, якщо не перевіряють інформацію про їх відкликання. Подібна проблема може стосуватися й інших клієнтських програм.
Найбільші ризики наразі пов’язують із VPN-сервісами, особливо в країнах, де державні структури активно намагаються перехоплювати інтернет-трафік. Загроза також може стосуватися пристроїв інтернету речей, застарілих серверів та інших елементів мережевої інфраструктури.
Інженер-криптограф Філіппо Вальсорда заявив виданню Ars Technica, що усунення наслідків може стати масштабною роботою, навіть складнішою за ліквідацію наслідків Heartbleed — відомої вразливості TLS, виявленої у 2014 році.
Читайте також:
- Тихий злам. Хакери атакували користувачів Google Pixel через невідому раніше вразливість
- Вразливості в системах. ШІ-агенти допомогли одному хакеру зламати понад 100 сайтів
- Чергова діра в безпеці. Хакери зламали консоль OpenCode та «накрутили» користувачам рахунки за ШІ
