सुरक्षा सप्ताह 46: चलो कुछ अपडेट करें

जितनी जल्दी या बाद में ऐसा होता है: आप अपने मोबाइल फोन पर YouTube खोलते हैं, लेकिन वीडियो के एक समूह के बजाय आपको तत्काल अपडेट करने का प्रस्ताव मिलता है। या अंत में प्लेस्टेशन पर खेलने के लिए समय निकालें, लेकिन फिर अपडेट बस आ गया, आप उन्हें आधे घंटे के लिए डाउनलोड और इंस्टॉल करें, फिर कंसोल को बंद कर दें। या एक शानदार पोस्ट लिखने के लिए वर्डप्रेस एडमिन एरिया में जाएं, लेकिन यह वर्डप्रेस और प्लगइन्स दोनों को अपडेट करने का समय है।

आज का मुद्दा एंड्रॉइड ऑपरेटिंग सिस्टम के अपडेट के बारे में है, वर्डप्रेस में दो प्लगइन्स के लिए पैच है, संक्षेप में, अगर आपके पास स्मार्टफोन या वेबसाइट है तो आपको क्या करना होगा। वर्डप्रेस प्लगइन्स के लिए अपडेट इसमें दिलचस्प हैं कि वे दिखाते हैं कि क्या होगा यदि आप अभी भी कोड अपडेट करने में समय व्यतीत नहीं करते हैं।

GDPR कम्प्लायंस के लिए वर्डप्रेस प्लगइन में भेद्यता
खबर है । अनुसंधान ।

इस वर्ष जीडीपीआर के बारे में हमारे पास एक अलग मुद्दा था । यूरोपीय संघ के नागरिकों के निजी डेटा की सुरक्षा के लिए सख्त मानक अन्य देशों के उपयोगकर्ताओं के लिए भी उपयोगी हैं, लेकिन साइट के मालिकों और नेटवर्क सेवाओं के लिए वे अभी भी एक निश्चित सिरदर्द पैदा करते हैं। वर्डप्रेस साइटों के कई मालिक सामान्य तरीके से कानून के अनुपालन के मुद्दे को हल करते हैं - प्लगइन स्थापित करके। इनमें से एक प्लगइन्स, WP GDPR कम्प्लायंस , जैसा कि यह निकला, एक समस्या को हल करता है और दूसरा जोड़ता है।

प्लगइन काफी सरल है - यह टिप्पणियों के लिए या व्यक्तिगत जानकारी (यदि आप कुछ खरीदते हैं) के लिए रूपों में गोपनीयता समझौते के लिए लिंक जोड़ता है और व्यक्तिगत डेटा के प्रसंस्करण के लिए ग्राहक की सहमति के तथ्य को ट्रैक करता है। वर्डफ़ेंस विशेषज्ञों ने पाया कि प्लगइन संस्करण 1.4.2 और पुराने में एक गंभीर भेद्यता है: उपयोगकर्ता इनपुट सत्यापित नहीं है, और एक तैयार संदेश के साथ, आप स्वयं वर्डप्रेस इंजन की सेटिंग्स को अधिलेखित कर सकते हैं। प्लग इन के साथ साइटों पर सक्रिय हमले के बाद भेद्यता की खोज की गई थी: साइट पर डिफ़ॉल्ट रूप से बंद उपयोगकर्ता पंजीकरण द्वारा अज्ञात और सभी नए उपयोगकर्ताओं को प्रशासक का दर्जा दिया गया।

यह साइट पर संग्रहीत डेटा तक पूर्ण पहुंच को खोलता है: इस प्रकार, GDPR मानकों के अनुपालन के लिए प्लग-इन संभवतः इस GDPR के साथ समस्याओं की ओर जाता है। कानून के अनुसार, उपयोगकर्ता डेटा के रिसाव को तदनुसार संसाधित किया जाना चाहिए, और घटना के बारे में जानकारी सक्षम अधिकारियों को प्रेषित की जानी चाहिए। हमले को स्वीप करने में असमर्थता के कारण खोजा गया था, हालांकि लॉग को साफ करने का प्रयास हुआ। इस हमले के परिदृश्य के लिए, यह ज्ञात नहीं है कि साइटों को किस उद्देश्य से हैक किया गया था। सुकुरी द्वारा खोजा गया एक अन्य परिदृश्य में एक विशिष्ट डोमेन से डेटा डाउनलोड करना शामिल था। उस साइट को तुरंत अक्षम कर दिया गया था, इसलिए (संभवतः) पीड़ित साइटों पर दुर्भावनापूर्ण कोड लोड नहीं किया गया है। इसके बजाय, प्रभावित साइटें केवल त्रुटियों के साथ धीमी हैं, और पूरी तरह से खुली नहीं हैं।


और यह इस प्रकार है कि यह किसी अनसप्यूटिंग साइट एडमिनिस्ट्रेटर की तरफ से देखा गया है: आप एडमिन पैनल पर जाते हैं और वहां कुछ नया प्लग-इन स्थापित होता है (साइट के सभी पेजों में PHP कोड को इंजेक्ट करते हुए), प्रवेश की सूची में अज्ञात नाम होते हैं, और क्या होता है यह स्पष्ट नहीं है। प्लगइन के संस्करण 1.4.3 में, भेद्यता को हटा दिया गया है। वर्डप्रेस साइट पर अनुमान के अनुसार, इसे एक लाख से अधिक साइटों पर स्थापित किया गया है।


WP GDPR प्लगइन वर्डप्रेस प्लेटफॉर्म के लिए सबसे लोकप्रिय ई-कॉमर्स सिस्टम में से एक के साथ काम करता है जिसे WooCommerce के रूप में जाना जाता है। उसके ( समाचार ) में एक गंभीर भेद्यता का पता चला था। प्लेटफ़ॉर्म साइट की सामग्री तक पहुंच के कई स्तर प्रदान करता है, और स्टोर का प्रबंधन करने के लिए व्यवस्थापक होना आवश्यक नहीं है, इसमें एक विशेष शॉप मैनेजर की भूमिका है। इस तरह के एक "zavskladom" सैद्धांतिक रूप से RIPSTech विशेषज्ञों ने पाया भेद्यता के कारण व्यवस्थापक अधिकार प्राप्त कर सकते हैं।

भेद्यता दिलचस्प है: दुकान प्रबंधक की भूमिका का तात्पर्य कम रैंक के उपयोगकर्ताओं को संपादित करने की क्षमता से है, अधिक सटीक रूप से, बस खरीदार। यह सुविधा वर्डप्रेस प्लेटफ़ॉर्म राइट्स कंट्रोल सिस्टम के साथ एकीकृत (बैसाखी की मदद के बिना नहीं) थी। जब तक प्लगइन होता है, तब तक सब कुछ काम करता है: दुकान प्रबंधक की भूमिका में प्रोफाइल को संपादित करने की क्षमता है, और WooCommerce सिस्टम स्पष्ट करता है कि ये केवल खरीदार हैं। लेकिन यदि आप प्लगइन को हटाते हैं, तो यह अधिक दिलचस्प हो जाता है: दुकान प्रबंधक की भूमिका वाला एक उपयोगकर्ता एक वर्डप्रेस उपयोगकर्ता बना रहता है, और अन्य प्रोफाइल के संपादन अधिकार पूरे प्लेटफ़ॉर्म पर विस्तारित होते हैं, जिसमें साइट व्यवस्थापक भी शामिल हैं।


इस प्रकार, हमला दो चरणों में किया जाता है: एक सुरक्षा छेद प्रबंधक को WooCommerce प्लगइन को हटाने के लिए काम की परिस्थितियों से असंतुष्ट करता है। दूसरा व्यवस्थापक अधिकार प्राप्त करना संभव बनाता है; सच है, अगर ऑनलाइन स्टोर का प्लग-इन ध्वस्त हो जाता है, तो हमलावर लगभग खाली साइट का व्यवस्थापक बन जाता है। वर्डप्रेस के अनुसार, WooCommerce प्लगइन 4 मिलियन से अधिक साइटों पर स्थापित किया गया है, और यह सभी ऑनलाइन ई-कॉमर्स का एक तिहाई है। भेद्यता अक्टूबर में बंद कर दी गई थी, और WooCommerce प्लगइन के नवीनतम संस्करण प्रभावित नहीं हैं।

एंड्रॉइड अपडेट सात महत्वपूर्ण कमजोरियों को बंद करता है
खबर है । नवंबर Android सुरक्षा बुलेटिन ।

वर्डप्रेस प्लगइन्स अपडेट किए गए, यह एंड्रॉइड अपडेट करने का समय है। 5 नवंबर से पैच के अगले सेट में, एंड्रॉइड कोड में सात महत्वपूर्ण कमजोरियों को बंद कर दिया गया था। उनमें से चार मीडिया फ्रेमवर्क घटक में पाए गए - एक ही स्थान पर जहां तीन साल पहले प्रसिद्ध स्टेजफेयर भेद्यता पाई गई थी। वे "तैयार" मीडिया तत्व के साथ एक वेबसाइट खोलते समय मनमाने ढंग से कोड को निष्पादित करना संभव बनाते हैं। क्वालकॉम के स्वामित्व कोड में तीन और महत्वपूर्ण कमजोरियों की खोज की गई थी। Google उनके बारे में विस्तृत जानकारी का खुलासा नहीं करता है, उम्मीद करता है कि यह उपकरण आपूर्तिकर्ता द्वारा किया जाएगा। इसके अलावा, लिबक्सैक लाइब्रेरी में 18 कमजोरियों को बंद कर दिया गया था, मीडिया सामग्री को संपीड़ित और डिकोड करने के लिए एक प्रायोगिक मॉड्यूल, जिसे अब मुख्य एंड्रॉइड कोड बेस में शामिल नहीं करने का निर्णय लिया गया था।


अपडेट मुख्य रूप से एंड्रॉइड के नवीनतम (नौवें) संस्करण में समस्याओं को कवर करता है, लेकिन मीडिया फ्रेमवर्क में एक महत्वपूर्ण भेद्यता सहित कई कमजोरियों को ओएस के पुराने संस्करणों के लिए पैच किया गया था, जो सातवें से शुरू होता है। स्मार्टफ़ोन निर्माताओं को अग्रिम में अपडेट तैयार करने के लिए सार्वजनिक रिलीज़ से एक महीने पहले आने वाले पैच के बारे में जानकारी प्राप्त होती है। लेकिन, जैसा कि ऊपर दिए गए स्क्रीनशॉट से देखा जा सकता है, सप्ताह के दौरान अपडेट सभी समर्थित स्मार्टफ़ोन को नहीं दिया गया था।

हम इंतजार कर रहे हैं और अपडेट हैं।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।