Обнаружена уязвимость, позволяющая «положить» почти все сайты на движке WordPress
Около трети всех сайтов WWW оказались уязвимы к новой DoS-атаке, произведенной независимым израильским программистом. Патча к критической уязвимости пока нет даже в новейшей версии движка WordPress.
Независимому специалисту по информационной безопасности Бараку Товайли удалось обнаружить критическую уязвимость в CMS WordPress. Баг позволяет злоумышленникам эксплуатировать особенности файла load-scripts.php для массированной атаки, приводящей к отказу от обслуживания. Бреши присвоен идентификатор CVE-2018-6389, патчей для нее пока нет.
Детали находки
Файл load-scripts.php с уязвимостью внедрен в WP для обработки пользовательских запросов. Изначально он был создан для увеличения производительности сайтов путем объединения нескольких JS-файлов. Оказалось, что этот файл не оснащен дополнительной защитой. Это позволяет скрипту работать без необходимости вводить логин и пароль.
Основная задача load-scripts.php заключается в выборочной загрузке файлов JavaScript, названия которых перечисляются после параметра load. Так как этот файл включает в себя список используемых модулей, то можно одним запросом вывести все входящие в него элементы. В среднем общий объем предоставляемых файлов составляет 4 Мб. Посылая множество тяжеловесных запросов, можно создать нагрузку на подсистему хранения, что в итоге может привести к отказу от обслуживания.
Барак Товайли отметил, что с одного устройства можно навредить только WordPress-сайту на «слабом» сервере. Для успешной атаки на более серьезные проекты потребуются большие вычислительные мощности. Специалист опубликовал видеоролик, в котором продемонстрировал эксплуатацию уязвимости:
3К открытий3К показов
Объясняем, что значит мем «Джун уронил прод» и объясняем, что делать, чтобы прод не падал, и кого винить в падении прода.
Из найма в IT к управлению собственной компанией Алексей Лихацкий шел более 10 лет. Из года в год индустрия менялась. Появлялись не только новые требования к специалистам, но и профессии. Рассказали о внешних и внутренних переменах рынка и их влиянии на нужные для специалиста навыки.
Составили подборку лучших VPN сервисов для Яндекс Браузера, рассказали о статусе VPN в России и протоколах, которые в них используются.
МТС разработал собственный антифрод-сервис. Алгоритм умеет определять ещё на этапе авторизации надёжность пользователя.