A kiberbiztonsági szakértők információkat osztottak szét a népszerű nyílt forráskódú alkalmazások három helyközi szkriptelési (XSS) sebezhetőségéről, amelyek távoli kódvégrehajtást (RCE) okozhatnak.
Egy primitív XSS-támadás lehetővé teszi a fenyegetőző JavaScript-kódjának végrehajtását az áldozat felhasználó webböngészőjében, ami megnyitja az ajtót a cookie-lopások előtt, átirányít egy adathalász webhelyre, és még sok mást.
A Cross-Site Scripting (XSS) az egyik legelterjedtebb támadás a webalkalmazásokban. Ha egy fenyegetés szereplője JavaScript kódot implementál az alkalmazás kimenetébe, az nemcsak cookie-kat lop el, hanem néha a rendszerek teljes kompromittálásához is vezet.
Az első hiba, az Evolution CMS V3.1.8, lehetővé teszi a hacker számára, hogy tükröződő XSS-támadást indítson az adminisztrációs rész különböző helyein. Aleksey Solovev kijelenti, hogy a rendszerben egy felhatalmazott rendszergazda elleni sikeres támadás esetén az index.php fájlt felülírja a támadó által a rakományba helyezett kód.
A FUDForum v3.1.1-ben felfedezett második sebezhetősége lehetővé teheti a hacker számára, hogy tárolt XSS-támadást indítson. Aleksey Solovev szerint a FUDforum egy szupergyors és méretezhető vitafórum. Nagymértékben testreszabható, és korlátlan számú tagot, fórumot, bejegyzést, témakört, szavazást és mellékletet támogat.
A FUDforum adminisztrációs panelen van egy fájlkezelő, amely lehetővé teszi fájlok feltöltését a szerverre, beleértve a PHP kiterjesztésű fájlokat is. A támadó az archivált XSS segítségével olyan PHP-fájlt tölthet fel, amely bármilyen parancsot végrehajthat a szerveren.
A legújabb sérülékenységben, a Bitbucket v4.37.1-ben olyan biztonsági hibát találtak, amely lehetővé teheti a támadók számára, hogy különböző helyeken tárolt XSS-támadásokat indítsanak. Aleksey Solovev kijelenti, hogy egy archivált XSS támadás megkísérelheti azt kihasználni kód futtatására a szerveren. Az adminisztrációs panel rendelkezik eszközökkel az SQL-lekérdezések futtatásához.
A GitBucket alapértelmezés szerint a H2 Database Engine-t használjadefinita. Ehhez az adatbázishoz létezik egy nyilvánosan elérhető exploit a kód távoli végrehajtására. Tehát a támadónak mindössze annyit kell tennie, hogy létrehoz egy PoC-kódot ezen a kihasználáson alapul, feltölti a tárolóba, és használja támadás során:
Mindig frissítse a nyílt forráskódú platformot, és azonnal telepítse a javító javításokat.
Kérjen tanácsot, értékelést, becslést a rendszer biztonságossá tételére vonatkozóan.
Ez az alapvető folyamat vállalata jelenlegi biztonsági szintjének mérésére.
Ehhez szükség van egy megfelelően felkészült Cyber Team bevonására, amely képes elemzést végezni arról, hogy a vállalat milyen állapotban van az IT-biztonság tekintetében.
Az elemzés szinkronban, a Cyber Team által készített interjún keresztül, ill
aszinkron is, online kérdőív kitöltésével.
Segítünk, forduljon szakembereihez ilwebcreativo.it az info@ címre írvailwebcreativo.it, vagy közvetlenül a WhatsApp-on a jobb alsó sarokban található ikon segítségével.
A sötét web a világháló sötét hálózatokban található tartalmára utal, amelyek az interneten keresztül érhetők el meghatározott szoftvereken, konfigurációkon és hozzáféréseken keresztül.
A Security Web Monitoring segítségével a vállalati domain elemzésétől kezdve képesek vagyunk megelőzni és visszatartani a kibertámadásokat (pl. ilwebcreativo.it ) és egyéni e-mail címek.
Vegye fel velünk a kapcsolatot a vhatsappon keresztül, és kárelhárítási tervet készítünk a veszély elkülönítésére, terjedésének megakadályozására és defimegtesszük a szükséges kármentesítési intézkedéseket. A szolgáltatást a hét minden napján, 24 órában biztosítják Olaszországból
A CyberDrive egy felhőalapú fájlkezelő, amely magas biztonsági szabványokkal rendelkezik az összes fájl független titkosításának köszönhetően. Gondoskodjon a vállalati adatok biztonságáról a felhőben végzett munka, valamint a dokumentumok más felhasználókkal való megosztása és szerkesztése közben. Ha a kapcsolat megszakad, a felhasználó számítógépén nem tárolódnak adatok. A CyberDrive megakadályozza, hogy a fájlok véletlen sérülés vagy lopás miatt elveszjenek, legyen az akár fizikai, akár digitális.
A legkisebb és legerősebb beépített adatközpont, amely számítási teljesítményt és védelmet nyújt a fizikai és logikai sérülésekkel szemben. Edzett és robo környezetekben, kiskereskedelmi környezetekben, professzionális irodákban, távoli irodákban és kisvállalkozásokban történő adatkezelésre tervezték, ahol a hely, a költség és az energiafogyasztás elengedhetetlen. Nincs szükség adatközpontokra és rack szekrényekre. Bármilyen környezetben elhelyezhető, köszönhetően a hatásos esztétikának, amely összhangban van a munkaterületekkel. A „The Cube” a vállalati szoftvertechnológiát a kis- és középvállalkozások szolgálatába állítja.
A biztonsági problémák kivizsgálásához, a sérülékenységek megoldásához, információs rendszerének védelméhez mindig támaszkodjon a szektor szakembereire:
Ercole Palmeri: Innovációfüggő
.
A Google DeepMind bemutatja mesterséges intelligencia modelljének továbbfejlesztett változatát. Az új, továbbfejlesztett modell nemcsak…
Az elegáns szintaxisáról és erőteljes funkcióiról híres Laravel szilárd alapot biztosít a moduláris architektúrához. Ott…
A Cisco és a Splunk segít ügyfeleinek, hogy felgyorsítsák útjukat a jövő Security Operations Center (SOC) felé…
A Ransomware uralta a híreket az elmúlt két évben. A legtöbb ember jól tudja, hogy a támadások…
Szemplasztikai műtétet végeztek az Apple Vision Pro reklámmegjelenítővel a Catania Poliklinikán…
A finom motoros készségek színezéssel történő fejlesztése felkészíti a gyerekeket olyan összetettebb készségekre, mint az írás. Kiszínezni…
A haditengerészeti szektor igazi világgazdasági hatalom, amely egy 150 milliárdos piac felé navigált...
Múlt hétfőn a Financial Times bejelentette, hogy megállapodást köt az OpenAI-val. Az FT engedélyezi világszínvonalú újságírását…
