OpenNET

В трех популярных плагинах для системы управления web-контентом WordPress, насчитывающих более 400 тысяч установок, выявлены критические уязвимости:

Уязвимость в плагине InfiniteWP Client, имеющем более 300 тысяч активных установок, позволяет подключиться без прохождения аутентификации в качестве администратора сайта. Так как плагин предназначен для унификации управления несколькими сайтами на сервере, атакующий может получить контроль сразу за всеми сайтами, обслуживаемыми с использованием InfiniteWP Client. Для атаки достаточно знать логин пользователя, имеющего права администратора, после чего через отправку специально оформленного POST-запроса (указав параметр "add_site" или "readd_site") можно войти в интерфейс управления с правами данного пользователя. Уязвимость вызвана ошибкой в реализации функции автоматического входа. Проблема устранена в выпуске InfiniteWP Client 1.9.4.5.

Две уязвимости в плагине WP Database Reset, который используется примерно на 80 тысячах сайтов. Первая уязвимость позволяет без прохождения аутентификации сбросить в начальное состояние содержимое любых таблиц в БД (привести к состоянию свежей установки WordPress, удалив связанные с сайтом данные). Проблема вызвана отсутствием проверки на наличие полномочий при выполнении функции сброса.

Вторая уязвимость в WP Database Reset требует наличия аутентифицированного доступа (достаточно наличия учётной записи с минимальными правами подписчика) и позволяет получить привилегии администратора сайта (можно добиться удаления всех пользователей из таблицы wp_users, после чего текущий оставшийся пользователь будет обрабатываться как администратор). Проблемы устранены в выпуске 3.15.

Уязвимость в плагине WP Time Capsule, имеющем более 20 тысяч установок, позволяет подключиться с правами администратора без прохождения аутентификации. Для осуществления атаки достаточно добавить в POST-запрос строку IWP_JSON_PREFIX, при наличии которой без каких-либо проверок вызывается функция wptc_login_as_admin. Проблема устранена в выпуске 1.21.16.

В очередном бета-выпуске клиента Steam исправлена ошибка, из-за которой Linux-сборка программы аварийно завершала своё выполнение при подготовке данных об используемом окружении пользователя, на основе которых подсчитывается статистика Steam Hardware & Software Survey. Предполагается, что устранённая проблема была одной из причин низкой доли Linux в отчётах Steam, так как попытка отправки данных от Linux-пользователей завершались крахом приложения. В декабрьском отчёте Steam доля Linux составляла всего 0.67%.

Дополнение: Проблема фиксируется пользователями Arch Linux и Gentoo с начала года, но похожие сообщения о крахах периодически всплывают c 2017 года и также затрагивали Fedora и Slackware.

Опубликованы экстренные корректирующие выпуски Firefox 72.0.1 и 68.4.1, в которых устранена критическая уязвимость (CVE-2019-17026), позволяющая организовать выполнение кода при открытии определённым образом оформленных страниц. Опасность усугубляется тем, что ещё до внесения исправления зафиксированы факты совершения атак с использованием данной уязвимости и в руках злоумышленников находится рабочий эксплоит. Всем пользователям Firefox рекомендуется срочно обновить браузер, а пользователям Tor Browser необходимо дождаться выхода обновления 9.0.4, которое будет опубликовано в течение нескольких часов.

Следы совершении атак с использование 0-day уязвимости были обнаружены китайским производителям антивирусного ПО Qihoo 360. Проблема вызвана некорректным определением типа элементов массива при выполнении операций StoreElementHole и FallibleStoreElement в объектном коде, скомпилированном JIT-движком IonMonkey. Подробности пока не раскрываются, но для анализа доступен код патча.

Компания Huawei объявила о завершении формировании инфраструктуры для разработки нового дистрибутива Linux - openEuler, который будет развиваться при участии сообщества. На сайте проекта уже опубликован первый релиз openEuler 1.0, iso-образ (3.2 Гб) которого пока доступен только для систем на базе архитектуры Aarch64 (ARM64). Репозиторий насчитывает около 1000 пакетов, собранных для архитектур ARM64 и x86_64. Исходные тексты связанных с дистрибутивом компонентов размещены в сервисе Gitee. Исходные тексты пакетов также доступны через Gitee.

openEuler базируется на наработках коммерческого дистрибутива EulerOS, который является ответвлением от пакетной базы CentOS и главным образом оптимизирован для использования на серверах с процессорами ARM64. Применяемые в дистрибутиве EulerOS методы защиты сертифицированы Министерством общественной безопасности КНР, а также признаны соответствующими требованиям CC EAL4+ (Германия), NIST CAVP (США) и CC EAL2+ (США). EulerOS является одной из пяти операционных систем (EulerOS, macOS, Solaris, HP-UX и IBM AIX) и единственным дистрибутивом Linux, сертифицированных комитетом Opengroup на соответствие стандарту UNIX 03.

На первый взгляд отличия openEuler от CentOS довольно существенны и не ограничиваются проведением ребрендинга. Например, в openEuler поставляется модифицированное ядро Linux 4.19, systemd 243, bash 5.0 и рабочий стол на основе GNOME 3.30. Внесено много специфичных для ARM64 оптимизаций, часть которых уже передана в основные кодовые базы ядра Linux, GCC, OpenJDK и Docker. Документация пока присутствует только на китайском языке.

Из особенностей дистрибутива выделяется система автоматической оптимизации настроек A-Tune, использующая методы машинного обучения для тюнинга параметров работы системы. Также предлагается собственный упрощённый инструментарий управления изолированными контейнерами iSulad, runtime lcr (Lightweight Container Runtime, совместим с OCI, но в отличие от runc написан на Си и использует gRPC) и сетевой конфигуратор clibcni.