Tag: vulnerability
Wszystkie
Najnowsze
Potencjalnie groźna podatność w popularnej wtyczce Contact Form 7 do WordPressa, choć to chyba „z dużej chmury mały deszcz”
Wczoraj wieczorem na moim telefonie pojawiła się informacja, która sprawiła, że natychmiast odpaliłem system automatycznie aktualizujący wszystkie strony, którymi się opiekuję. Informacja dotyczyła Contact Form 7, czyli jednej z najpopularniejszych wtyczek do formularzy kontaktowych w WordPressie (ponad 5 milionów aktywnych instalacji, i to tylko tych z repozytorium WordPress.org). Nagłówki kolejnych alertów (i informacji) grzmiały o możliwości podrzucenia na serwer np. pliku PHP, a tym samym – przynajmniej potencjalnie, jeśli ktoś nie używa PHP Pools i/lub open_basedir – przejęcia całego serwera. Brzmiało groźnie, więc na szybko, w międzyczasie jak prewencyjnie aktualizowały się strony, postanowiłem przeczytać, co o tej podatności w internetach piszą… Podwójne znaczenie.
Usługa powiadomień o (nowych) podatnościach WPScan Vulnerability Email Alerts (tylko) z płatną subskrypcją
Wprawdzie serwis WPScan Vulnerability Database przewinął się na łamach Webisndier.pl „tylko” kilka razy, to jest to chyba jedyny serwis, na którego „newslettery” zawsze patrzę. Może dlatego, że zazwyczaj są to informacje o podatnościach w WordPressie, czy też wtyczkach i motywach do niego. I choć każdy takie e-mail potencjalnie może oznaczać, że na którejś ze stron, które mam pod opieką jest jakaś podatność, to zdecydowanie wolę to wiedzieć, zanim dowiedzą się ci, co nie powinni…
Poważna podatność we wtyczce WP Live Chat Support (również w wersji „pro”) do WordPressa, którą należy pilnie zaktualizować
Nie będę leciał tzw. „clickbaitami”, czyli tytułami, które mają nakłonić jak największą liczbę osób do odwiedzenia danej strony w stylu „trwają masowe ataki na strony oparte na WordPressie”, czy też nie mniej alarmistycznie: „strony na WordPress zagrożone – wymagane działanie”, z których niczego konkretnego się nie dowiecie. Ale faktem jest, że jeśli korzystacie ze wtyczki WP Live Chat Support (również w wersji płatnej, czyli „pro”) do WordPressa, to czym prędzej dokonajcie aktualizacji, bo zagrożenie faktycznie jest dość poważne.
WordPress 5.0.1 i 4.9.9, czyli solidna porcja poprawek bezpieczeństwa, której nie warto ignorować
Przy okazji artykułu o gutenbergowej aktualizacji WordPressa (5.0) wspomniałem, że ja się z aktualizacją wstrzymam kilka dni, i pewnie do tego czasy wyjdzie już 5.0.1, a może i dalej. Ja się cały czas wstrzymuje, ale wersja 5.0.1 wyszła, i przynosi sporo poprawek – również bezpieczeństwa. Na szczęście dla takich jak ja wyszła też wersja 4.9.9, która również łata podatności, a nie wprowadza Gutenberga.
Aktualizacja phpMyAdmin, czyli oprogramowania wspomagającego zarządzanie bazami danych
Choć często pracuje na bazie danych bezpośrednio z konsoli (np. import i eksport), to czasami korzystam z oprogramowania phpMyAdmin, które w pewnym sensie upraszcza codziennie operacje na bazach danych. Dziś pojawiła się wersja oznaczona 4.8.4, w której załatano 3 podatności. Pomyślałem, że przy tej okazji warto napisać jak dokonać aktualizacji phpMyAdmin do nowszej wersji.
WordPress File Delete to Code Execution, czyli kasowanie właściwie dowolnych plików poprzez ingerencję w standardowy proces usuwania multimediów
Dziś, na blogu RIPS Technologies pojawił się opis dość ciekawej podatności w WordPressie, która pozwala skasować właściwie dowolne pliki WordPressa (i ew serwera, jeśli procesor PHP ma do nich tego typu dostęp) użytkownikom, którzy mogą zarządzać plikami multimedialnymi (upload i kasowanie plików).
EFAIL, czyli podatność w (niektórych) implementacjach szyfrowania poczty e-mail za pomocą OpenGPG oraz S/MIME
Choć sam zazwyczaj nie korzystam z szyfrowania treści przesyłanych wiadomości e-mail (oczywiście korzystam z szyfrowanego połączenia IMAP/SMTP), to raz na jakiś czas (z różnych przyczyn) z taką korespondencją mam do czynienia. Nie korzystam, dlatego, że zazwyczaj nie mam takiej potrzeby, a gdy potrzebuję wymienić „tajne sekrety”, to korzystam z innych metod/sposobów, które są dużo wygodniejsze i prostsze w użyciu. Szyfrowanie wiadomości za pomocą np. OpenPGP, choć jest relatywnie skomplikowane, to jest bezpieczne. A przynajmniej było…
WordPress i CVE-2018-6389, czyli prosty sposób na atak DoS (Denial-of-Service, czyli odmowa dostępu) na Twoją stronę
Już miałem zamykać, wszystkich w redakcji puścić do domu, by mogli ten wieczór spędzić z rodzinami, a tu niespodzianka – na liście ostrzeżeń pojawiła się informacja o nowej podatności na WordPressa. Na szczęście relatywnie niegroźnej, bo nie ma tu raczej mowy o jakimś włamaniu, czy wykradaniu danych. Po prostu, gdy komuś podpadliście, to może on spróbować troszkę poddusić Wasz serwer, aż jedyne co będzie można wyświetlić w przeglądarce, to błędy dostępności serwera/strony (5xx, np. 502, 503, 504 czy 522 od Cloudflare).
Elegant Themes Security Update, czyli wyciekająca „zajawka” chronionego hasłem posta
Wczoraj, z powodu błędu (podatności XSS) w flashowym module do wgrywania mediów aktualizowaliśmy WordPressa do wersji 4.9.2, dziś z kolei aktualizujemy motywy (Divi, Extra) i wtyczki (Page Builder) od Elegant Themes, zwłaszcza, jeśli korzystacie ze stron zabezpieczonych hasłem (jedna z natywnych funkcji WordPressa).
Meltdown i Spectre, czyli podatności na właściwie wszystkie współczesne procesory Intel, ARM i (częściowo) AMD
Rok 2017 pod względem zagrożeń i (kolejnych) luk w oprogramowaniu i sprzęcie na pewno nie był nudny. Wystarczy wspomnieć choćby podatność w WordPressie związaną z REST API, Cloudbleed, czyli podatność w usłudze Cloudflare, błąd CVE-2016-10229, pozwalający na wykonanie w Linuksie kodu z uprawnieniami jądra, ataki oprogramowania typu WannaCry (szyfrowanie danych), możliwość zdalnego wykonania kodu na komputerze za pomocą… napisów do filmu, „bonusowe oprogramowanie” w aplikacji CCleaner, podatność w protokole Bluetooth (BlueBorne), podatność w Intel Managment Engine, czy też KRAK, czyli zbiorze podatności w protokole WPA2 (WiFi), o czym wprawdzie „nie zdążyłem” napisać, ale na szczęście świat się nie zawalił… ;-)
Ale już wygląda na to, że to była tylko rozgrzewka, bo początek roku to właściwie globalna podatność w procesorach – głównie Intela, ale też i AMD, oraz ARM (urządzenia mobilne).
BlueBorne, czyli miliardy urządzeń z Bluetooth mogą stać się (ewentualnie) potencjalnym celem ataków
Z tematem „wyłącz natychmiast bluetooth, bo otworzył on w miliardach urządzeń drzwi hakerom” miałem poczekać, aż zostaną opublikowane pełne szczegóły ataku/zagrożenia, tak by móc choćby w przybliżeniu ocenić na ile jest to faktyczne zagrożenie (w takiej skali), a na ile „marketing” firmy stojącej za odkryciem. Zdanie zmieniłem, bo już kilka osób podesłało mi dziś linki do serwisów, które opisują jakąś apokalipsę, i jeszcze chwila i ludzie zaczną masowo palić urządzenia z tym interfejsem (Bluetooth).
Złośliwe napisy do filmów, czyli sposób na zdalne wykonanie kodu na komputerze ofiary
Przed nami kolejne wielkie łatanie. Ale tym razem nie dotyczy Windowsa, Linuxa, czy WordPressa. Tym razem łatamy odtwarzacze multimedialne, bo jak się okazało, w przypadku wielu z nich możliwe jest przejęcie kontroli nad komputerem za pomocą odpowiednio przygotowanego pliku z napisami.
Zdalne wykonanie kodu (CVE-2016-10033) i (potencjalny) reset hasła dowolnego użytkownika (CVE-2017-8295) w WordPressie
O tym jak ważne jest aktualizowanie każdego oprogramowania pisałem już nieraz. O tym, jak ważne jest aktualizowanie oprogramowania wystawionego na zewnątrz, gdzie – np. przez internet – dostępne jest dla każdego zapewne pisałem jeszcze więcej. Dlatego zakładam, że 2 relatywnie nowe błędy znalezione w WordPressie nie są dla Waszych stron żadnym zagrożenie, a przytaczam je tu tylko jako ciekawostkę… ;-)
Wykonanie kodu z uprawnieniami jądra w systemie Linux, „dzięki” pakietowi UDP (CVE-2016-10229)
Będzie krótko, bo tu nie ma co się rozpisywać, tylko trzeba łatać tam gdzie jest taka potrzeba… i możliwość.
Cloudbleed, czyli Tavis Ormandy z Google Project Zero wykrył poważną podatność w Cloudflare
Miałem dziś napisać o pewnej niespodziance jaką ekipa z Cloudflare w ostatnich dniach sprawiła tym, którzy korzystają z ich programu „Project Galileo”, ale życie często pisze własne scenariusze. Zaczęło się od konieczności ponownego zalogowania do wszystkich kont Google na telefonie, a już po chwili wiedziałem, że o ile faktycznie będzie dziś okazja do napisania o Cloudflare, to wydźwięk tego wpisu nie będzie „aż tak pozytywny” jak wcześniej zakładałem (w trakcie zbierania materiałów niejaka Dana najwidoczniej postanowiła, że prewencyjnie poprawi mi humor i zaczęła swój komentarz od słów „Ty palancie!!!!!!!!!!!!!!! wyłudzaczu debilu” skierowanych w moją stronę).
HTTPoxy, czyli CGI/FastCGI i „nowa” podatność aplikacji internetowych
Dawno nie było już nic o jakiejś nowej (lub nowo nagłośnionej) podatności dotyczącej (web)serwerów, więc chyba warto coś wspomnieć o HTTPoxy, czyli podatności dotyczącej CGI/FastCGI, o której od wczoraj jest dość głośno…
Wesprzyj nas!
Promocja własna
Najnowsze wpisy
Poznaj aplikację DroneTower, czyli nowy (i teoretycznie obecnie jedyny) sposób zgłaszania lotów dronami
WordPress 6.5 i „Requires Plugins”, czyli autor wtyczki może teraz w prosty sposób określić, jakie wtyczki są niezbędne (wymagane), do działania jego wtyczki
Przegląd nowości w aktualizacji 01.03.1300 oprogramowania kontrolera DJI RC (RM330)
To właściwie koniec bezpłatnej wersji Jetpack Stats, czyli statystyk dostarczanych przez wtyczkę/usługę Jetpack do WordPressa
Krajowy System Informacji Dronowej (KSID), czyli usługi cyfrowe dla BSP w nowej odsłonie
Promocja własna
Promocja własna