Стало відомо про дві критичні вразливості у PHP і TLS-сертифікатах
Повідомлено про критичні проблеми у PHP та TLS-сертифікатах eMudhra, які можуть зачепити сайти, VPN і пристрої інтернету речей.
Фахівці з кібербезпеки повідомили про дві серйозні проблеми, які потенційно зачіпають вебсайти, VPN, пристрої інтернету речей та інші системи. Одна з них пов’язана з критичною вразливістю мови програмування PHP, інша — зі скомпрометованими проміжними TLS-сертифікатами індійської компанії eMudhra. Про це повідомляє Engadget.
Вразливість у PHP
PHP Foundation заявила, що випустить оновлення безпеки для двох критичних вразливостей із оцінкою 9,2 із 10 за шкалою серйозності. Організація закликала користувачів PHP підготуватися до встановлення оновлень і зазначила, що може оприлюднити їх раніше, якщо подробиці стануть публічними або з’являться докази активної експлуатації.
Попередження з’явилося після демонстрації інструменту PHP2Shell, який запускав код на вебсерверах із актуальними версіями WordPress, MediaWiki, Symfony, Drupal та інших сайтів на PHP. Компанія watchTowr заявила, що підтвердила наявність проблеми та вважає, що вона стосується всіх версій PHP, починаючи з PHP 5, випущеної 2004 року. Водночас watchTowr наголосила: відомості про можливість виконання стороннього коду на сервері базуються на неперевіреному повідомленні.
Сертифікати eMudhra
eMudhra повідомила про компрометацію восьми своїх проміжних сертифікатів центрів сертифікації, що мають ланцюжок довіри до кореневих програм Mozilla, Microsoft, Apple і Chrome, а також до багатьох інших сховищ довіри. За даними компанії, приватні ключі цих сертифікатів були слабкими, що могло б дозволити зловмисникам підробляти облікові дані для сайтів і застосунків.
Після підроблення доменних сертифікатів атакувальники потенційно можуть видавати себе за сервери та перехоплювати трафік. Mozilla, Google і Apple вже заблокували скомпрометовані сертифікати у своїх браузерах. eMudhra відкликала всі вісім сертифікатів і пояснила проблему скриптом, який використовували для їхнього створення. Найбільший ризик, за оцінкою джерела, стосується VPN, а також пристроїв інтернету речей і серверів без належного оновлення.
