В форумном движке vBulletin исправлены опасные уязвимости
Разработчики популярного движка для интернет-форумов vBulletin выпустили обновление, исправляющее опасные уязвимости в программном обеспечении. Проблемы затрагивают версии vBulletin 5.5.4 и выше, а их эксплуатация позволяет злоумышленникам удаленно перехватить контроль над целевыми web-серверами и украсть конфиденциальную информацию.
Уязвимости обнаружил исследователь безопасности Эгидио Романо (Egidio Romano). Первая проблема (CVE-2019-17132) представляет собой уязвимость удаленного выполнения кода. Она связана с тем, что при обработке запросов пользователей на обновление аватаров для своих профилей, значков или графических элементов в vBulletin также позволяет злоумышленнику удаленно внедрить и выполнить произвольный PHP-код на целевом сервере с помощью неочищенных параметров. Данная уязвимость может быть проэксплуатирована при условии включенной опции «сохранять аватары в виде файлов». Романо также опубликовал в Сети PoC-код для данной уязвимости.
Две другие проблемы (объединены под общим идентификатором CVE-2019-17271) предоставляют возможность внедрить SQL-код и позволяют администраторам с ограниченными привилегиями получить доступ к важной информации в базе данных.
Администраторам сайтов настоятельно рекомендуется установить официальные патчи vBulletin.
vBulletin — широко используемый форумный движок, написанный на языке PHP. На базе vBulletin работают более чем 100 тыс. web-сайтов в интернете, включая сайты компаний, которые входят в рейтинг Fortune 500 и ТОП 1 млн по Alexa.
Microsoft исправила 9 критических уязвимостей в своих продуктах
Во вторник, 8 октября, компания Microsoft выпустила очередные ежемесячные обновления безопасности для своих продуктов. В общей сложности было исправлено 59 уязвимостей в Windows и связанном ПО, 9 из которых являются критическими, 49 – опасными и 1 – средней опасности.
Две критические уязвимости (CVE-2019-1238 и CVE-2019-1239), позволяющие удаленно выполнить код, были исправлены в VBScript. Проблемы связаны с тем, как VBScript обрабатывает объекты в памяти, и позволяют атакующему вызвать повреждение памяти и выполнить произвольный код в контексте текущего пользователя. Для эксплуатации уязвимостей злоумышленник должен хитростью заставить жертву открыть особым образом сконфигурированный сайт в браузере Internet Explorer.
Проэксплуатировать обе уязвимости можно также с помощью приложения или документа Microsoft Office, встроив элемент управления ActiveX, отмеченный как «безопасный для инициализации» и использующий движок браузера Internet Explorer.
Как и в прошлые месяцы, Microsoft исправила очередную уязвимость во встроенном в Windows приложении Remote Desktop Client, позволяющую получить контроль над компьютерами путем подключения их к вредоносному RDP-серверу. В отличие от червеобразной уязвимости BlueKeep, новоиспеченная уязвимость не является самораспространяющейся и для ее эксплуатации злоумышленник должен заставить жертву подключиться к вредоносному RDP-серверу либо с помощью социальной инженерии, либо путем «отравления» кэша DNS (DNS cache poisoning), либо осуществив атаку «человек посередине».
Три критические уязвимости, позволяющие удаленно выполнить код, были также исправлены в скриптовом движке Chakra. Проблемы существуют из-за того, как Chakra обрабатывает объекты в памяти в Microsoft Edge, и приводят к повреждению памяти. Одна критическая уязвимость позволяет повысить привилегии и возникает, когда Azure App Service в Azure Stack не проверяет длину буфера прежде, чем скопировать в него память.
Хакерское подразделение СГБ Узбекистана оказалось раскрыто из-за собственных ошибок
Специалистам компании «Лаборатория Касперского» удалось выявить киберпреступную группировку, предположительно связанную со Службой государственной безопасности Узбекистана, благодаря ошибкам, допущенным участниками подразделения, получившего название SandCat, при обеспечении собственной операционной безопасности. В частности, исследователи обнаружили ряд эксплоитов, используемых группировкой, а также вредоносное ПО, находящееся в процессе разработки, пишет издание Motherboard Vice.
Одна из сомнительных практик включала использование «названия военного подразделения, связанного с СГБ» для регистрации домена, задействованного в атаках. Кроме того, участники SandCat установили на компьютер, где разрабатывался новый вредонос, антивирус производства ЛК, что позволило экспертам обнаружить вредоносный код на стадии его создания. Еще одну ошибку группировка допустила, встроив скриншот с одного из компьютеров в тестовый файл, тем самым раскрыв крупную платформу для атак, которая находилась в разработке. Благодаря всем этим недочетам специалистам удалось выявить четыре эксплоита для уязвимостей нулевого дня, приобретенных SandCat у сторонних брокеров, а также отследить активность не только данной группировки, но и других хакерских групп в Саудовской Аравии и Объединенных Арабских Эмиратах, использующих те же эксплоиты.
В ходе проведенного исследования специалисты выявили, что IP-адреса машин, используемых для тестирования вредоносного ПО, связаны с доменом itt.uz, зарегистрированным на военную часть 02616 из Ташкента. Более того, с тех же компьютеров SandCat загружала образцы вредоносов на Virus Total.
Впервые эксперты ЛК выявили следы активности SandCat еще в 2018 году, однако в то время у них не было оснований предполагать связь группировки с СГБ. В своих операциях SandCat применяла вредонос под названием Chainshot, который также использовался группировками из Саудовской Аравии и ОАЭ. Однако в атаках SandCat была задействована другая инфраструктура, на основании чего эксперты пришли к выводу, что речь идет о разных преступниках.
По мнению экспертов, SandCat приобретала эксплоиты для атак у двух израильских компаний — NSO Group и Candiru. Обе фирмы прекратили поставлять SandCat эксплоиты в 2018 году, в результате группировка занялась разработкой собственного вредоносного ПО.
«Эти парни [SandCat] существуют уже давно и до недавнего времени я никогда не слышал о наличии у Узбекистана кибервозможностей. Так что для меня было шоком узнать, что они покупают все эти эксплоиты и атакуют людей, и никто никогда не писал о них», — отметил специалист исследовательской команды ЛК Брайан Бартоломью (Brian Bartholomew).
Хакер заявил о краже данных 218 миллионов пользователей
Хакер под ником Gnosticplayers рассказал о взломе нескольких приложений крупнейшего американского разработчика онлайн-игр Zynga Inc. По его словам, он получил доступ к данным 218 млн игроков. Утечка затронула всех пользователей Android и iOS, которые установили игру-головоломку Words With Friends и зарегистрировались в ней до 3 сентября этого года.
Взломщик поделился с изданием The Hacker News данными нескольких аккаунтов. Судя по этим образцам, к нему попали имена пользователей, адреса электронной почты, хэшированные пароли с солью, токены сброса паролей (если их сбрасывали), номера телефонов и Facebook ID (если были указаны при регистрации), а также идентификаторы аккаунта Zynga.
Gnosticplayers добавил, что ему также удалось похитить данные пользователей Draw Something и игры OMGPOP, которая уже не поддерживается производителем. По его словам, среди информации, к которой он получил доступ, были 7 млн паролей пользователей в незашифрованном виде.
12 сентября представители Zynga опубликовали официальное заявление об утечке данных из Words With Friends и Draw Something, но не раскрыли количество пострадавших пользователей. Они сообщили, что уже начали расследование и привлекли к нему сторонних специалистов и правоохранительные органы. Также разработчики предприняли шаги для защиты учетных записей пользователей, но призвали самих игроков проявить бдительность.
Zynga Inc — один из самых успешных разработчиков онлайн-игр с текущей рыночной капитализацией в более чем 5 млрд долларов. Компании принадлежат такие игры, как FarmVille, Words With Friends, Zynga Poker, Mafia Wars и Café World, насчитывающие миллиард пользователей по всему миру.
Эксперты по кибербезопасности не считают, что этот взлом игр принесет жертвам небывалый урон, но неоднозначно оценивают подход компании Zynga к защите данных.
Джавад Малик (Javvad Malik) из компании KnowBe4 отметил оперативную реакцию разработчика на инцидент, но заявил, что «в наши дни ни одна компания не должна хранить пароли в открытом доступе».
Илья Колоченко (Ilia Kolochenko), основатель и генеральный директор компании ImmuniWeb, не торопится делать выводы о масштабах атаки до окончания расследования, но уверен, что полученная информация «не даст злоумышленникам огромного пространства для маневра».
В марте этого года Gnosticplayers выставил на продажу похищенные данные 26 миллионов пользователей и объяснил это желанием проучить компании за наплевательское отношение к защите данных. «Столь низкий уровень безопасности в 2019 году меня просто бесит», — признался злоумышленник.
Источник: https://threatpost.ru/hacker-told-about-zynga-games-data-breach/34341/
Уязвимость в Telegram позволяла просматривать удаленные изображения
Для мобильного клиента кроссплатформенного мессенджера Telegram выпущена версия 5.11, исправляющая уязвимость, которая позволяет получателю просматривать изображения или файлы даже после того, как они были удалены отправителем.
В марте Telegram реализовала новую функцию, которая позволяет пользователю удалить отправленное сообщение со всех устройств получателя. Она была добавлена в качестве дополнительного уровня конфиденциальности в случае, если файл, изображение или сообщение было отправлено случайно, или отправитель позже решил удалить его.
Исследователь безопасности Дхирадж Мишра (Dhiraj Mishra) обнаружил ошибку в протоколе Telegram MTProto, связанную с функцией удаления сообщений. Когда отправитель удаляет сообщение, изображение или файл из Telegram, оно удаляется из диалога как отправителя, так и получателя, но все равно останется на устройстве. Пользователи Android-устройств в данном случае по-прежнему смогут просматривать удаленные файлы.
Уязвимость затрагивает не только удаление мультимедийных файлов из отдельных диалогов, но также отправку файлов в супергруппу Telegram. Если пользователь отправил файл по ошибке в группу, а затем удалил его, то каждый член группы все равно сможет получить доступ к нему из файловой системы устройства. Мишра протестировал уязвимость только на версии Telegram для Android, но полагает, что проблема также может затрагивать релиз для iOS.
После сообщения об ошибке Telegram наградила исследователя выплатой в размере €2500.
Исследователь опубликовал видео с демонстрацией процесса эксплуатации уязвимости.
