Kybernetický útok: čo to je, ako funguje, cieľ a ako mu zabrániť: chyby XSS, ktoré môžu spôsobiť úplné vypnutie systému

Dnes vidíme niektoré chyby zabezpečenia Cross Site Scripting (XSS) nájdené v niektorých aplikáciách s otvoreným zdrojovým kódom, ktoré môžu spôsobiť vzdialené spustenie kódu.

Odborníci na kybernetickú bezpečnosť distribuovali informácie o troch zraniteľných miestach skriptovania medzi stránkami (XSS) v populárnych aplikáciách s otvoreným zdrojovým kódom, ktoré môžu spôsobiť vzdialené spustenie kódu (RCE).

Primitívny útok XSS umožňuje spustenie kódu JavaScript aktéra hrozby vo webovom prehliadači používateľa obete, čo otvára dvere krádeži súborov cookie, presmerovanie na phishingovú stránku a oveľa viac.

Pozrime sa teraz na niektoré nájdené zraniteľnosti

Cross-Site Scripting (XSS) je jedným z najrozšírenejších útokov vo webových aplikáciách. Ak aktér hrozby implementuje javascriptový kód do výstupu aplikácie, nielenže ukradne cookies, ale niekedy vedie aj k úplnému kompromitovaniu systémov.

Evolution CMS V3.1.8

Prvá chyba, Evolution CMS V3.1.8, umožňuje hackerovi spustiť odrazený XSS útok na rôznych miestach v sekcii správy. Aleksey Solovev uvádza, že v prípade úspešného útoku na oprávneného správcu v systéme bude súbor index.php prepísaný kódom, ktorý útočník umiestnil do užitočného obsahu.

FUD Forum v3.1.1

Druhá zraniteľnosť, objavená vo FUDForum v3.1.1, by mohla hackerovi umožniť spustiť uložený XSS útok. Aleksey Solovev hovorí, že FUDforum je super rýchle a škálovateľné diskusné fórum. Je vysoko prispôsobiteľný a podporuje neobmedzený počet členov, fóra, príspevky, témy, ankety a prílohy.

Administračný panel FUDforum má správcu súborov, ktorý vám umožňuje nahrávať súbory na server, vrátane súborov s príponou PHP. Útočník by mohol použiť archivovaný XSS na nahranie súboru PHP, ktorý môže vykonať ľubovoľný príkaz na serveri.

Bitbucket v4.37.1

V najnovšej zraniteľnosti, Bitbucket v4.37.1, bola nájdená bezpečnostná chyba, ktorá by mohla útočníkovi umožniť spustiť XSS útok uložený na rôznych miestach. Aleksey Solovev uvádza, že archivovaný útok XSS sa môže pokúsiť zneužiť na spustenie kódu na serveri. Správcovský panel obsahuje nástroje na spúšťanie SQL dotazov.

GitBucket štandardne používa databázový stroj H2definita. Pre túto databázu existuje verejne dostupný exploit na dosiahnutie vzdialeného spustenia kódu. Takže všetko, čo musí útočník urobiť, je vytvoriť PoC kód založený na tomto exploite, nahrať ho do úložiska a použiť ho počas útoku:

Ako zabrániť prítomnosti zraniteľností

Vždy aktualizujte platformu Open Source, okamžite nainštalujte všetky opravné záplaty.

Požiadajte o radu, hodnotenie, odhad, ako zabezpečiť váš systém.

HODNOTENIE BEZPEČNOSTI

Je to základný proces merania súčasnej úrovne bezpečnosti vašej spoločnosti.

K tomu je potrebné zapojiť adekvátne pripravený Cyber ​​​​Team, schopný vykonať analýzu stavu, v ktorom sa spoločnosť nachádza s ohľadom na IT bezpečnosť.

Analýza môže byť vykonaná synchrónne, prostredníctvom rozhovoru, ktorý uskutoční Cyber ​​​​Team alebo

aj asynchrónne, vyplnením dotazníka online.

Môžeme vám pomôcť, obráťte sa na špecialistov z ilwebcreativo.to píše na info@ilwebcreativo.it alebo chatovaním na Whatsapp priamo pomocou ikony vpravo dole.

MONITOROVANIE BEZPEČNOSTNÉHO WEBU: analýza DARK WEB

Temný web označuje obsah World Wide Web v darknetoch, ku ktorým sa možno dostať cez internet prostredníctvom špecifického softvéru, konfigurácií a prístupov.
S naším bezpečnostným Web Monitoringom dokážeme predchádzať a kontrolovať kybernetické útoky, počnúc analýzou firemnej domény (napr. ilwebcreativo.it ) a jednotlivé e-mailové adresy.

Kontaktujte nás cez vhatsapp, vieme pripraviť sanačný plán na izoláciu hrozby, zabránenie jej šírenia a defivykonáme potrebné nápravné opatrenia. Služba je poskytovaná 24/XNUMX z Talianska

CYBERDRIVE: bezpečná aplikácia na zdieľanie a úpravu súborov

CyberDrive je cloudový správca súborov s vysokými bezpečnostnými štandardmi vďaka nezávislému šifrovaniu všetkých súborov. Zabezpečte bezpečnosť firemných dát pri práci v cloude a zdieľaní a úprave dokumentov s ostatnými používateľmi. Ak dôjde k strate spojenia, v počítači používateľa sa neuložia žiadne údaje. CyberDrive bráni strate súborov v dôsledku náhodného poškodenia alebo zneužitia na krádež, či už fyzických alebo digitálnych.

«KOCKA»: revolučné riešenie

Najmenšie a najvýkonnejšie dátové centrum v balení, ktoré ponúka výpočtový výkon a ochranu pred fyzickým a logickým poškodením. Navrhnuté pre správu dát v okrajových a robo prostrediach, maloobchodných prostrediach, profesionálnych kanceláriách, vzdialených kanceláriách a malých podnikoch, kde sú priestor, náklady a spotreba energie nevyhnutné. Nevyžaduje dátové centrá a rackové skrine. Môže byť umiestnený v akomkoľvek type prostredia vďaka nárazovej estetike v súlade s pracovným priestorom. „The Cube“ dáva podnikové softvérové ​​technológie do služieb malých a stredných podnikov.

Kto rieši:

Pri vyšetrovaní bezpečnostných problémov, pri riešení zraniteľností, pri zabezpečení vášho informačného systému sa vždy spoliehajte na špecialistov v sektore:

• Vyzýva HRC srl +39 011 8190569 XNUMX
• alebo pošlite e-mail na adresu Rocco D'Agostino rda@rhrcsrl.it
• alebo pošlite email na Ercole Palmeri ercolep@ilwebcreativo. To

V posledných týždňoch sme sa zaoberali nasledujúcimi témami týkajúcimi sa kybernetickej bezpečnosti:

1. Hlavný v strednom útoku
2. malware
3. Phishing a Spear phishing
4. Útok s odpočúvaním
5. Drive-by
6. Skriptovanie medzi webmi (XSS)
7. SQL Injection útok
8. Príklad šírenia malvéru
9. Google Drive & Dropbox: Cieľ APT29, skupina ruských hackerov
10. Útok na heslá
11. Trendy kybernetických útokov: Správa z prvej polovice roku 2022 – softvér Check Point

Ercole Palmeri: Závislý na inováciách

​