The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"Уязвимости в Drupal, QEMU и Nagios"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Уязвимости в Drupal, QEMU и Nagios"  +/
Сообщение от opennews (ok) on 20-Дек-12, 10:40 
Несколько недавно обнаруженных уязвимостей:

-  В стандартных компонентах, входящих в базовую поставку системы управления web-контентом Drupal (http://drupal.org/), обнаружено (http://seclists.org/fulldisclosure/2012/Dec/176) несколько  уязвимостей (http://drupal.org/SA-CORE-2012-004). Проблемы устранены (http://drupal.org/drupal-7.18) в корректирующих выпусках  Drupal 7.18 и 6.27.


Уязвимость в модуле загрузки файлов из состава Drupal 6.x и  7.x позволяет удалённому злоумышленнику инициировать выполнение произвольного PHP-кода на сервере через обход механизмов проверки корректности имени загружаемого файла, что позволяет загрузить файл как скрипт .php и выполнить его через обращение по URL. Для успешной атаки злоумышленник должен иметь доступ к функциям загрузки файлов, а http-сервер не должен блокировать выполнение php-скриптов в директории, используемой для сохранения загружаемых данных (при использовании apache выполнение таких скриптов по умолчанию запрещается в поставляемом с Drupal файле .htaccess);

-  В коде эмуляции сетевого адаптера e1000, используемом в QEMU, qemu-kvm и Xen, исправлено (http://permalink.gmane.org/gmane.comp.security.oss.general/9013) переполнение буфера, которое может быть потенциально эксплуатировано  через отправку специально оформленных пакетов, адресованных из вне в гостевое окружение. При наихудшем сценарии не исключена возможность выполнения кода с привилегиями ядра на стороне гостевой системы. Тем не менее, проблема помечена как неопасная, так как для успешного проведения атаки конфигурация сети должна допускать прохождение больших пакетов к гостевой системе, что нетипично. Проблема устранена в QEMU 1.3.
-  В web-интерфейсе системы мониторинга Nagios найдена уязвимость (http://archives.neohapsis.com/archives/fulldisclosure/2012-12), позволяющая выполнить код на сервере через манипуляции с содержимым параметра "host" при обращении к скрипту history.cgi. Проблема подтверждена в версии 3.4.3, исправление пока недоступно.


URL: http://seclists.org/fulldisclosure/2012/Dec/176
Новость: http://www.opennet.dev/opennews/art.shtml?num=35653

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Уязвимости в Drupal, QEMU и Nagios"  +3 +/
Сообщение от бедный буратино (ok) on 20-Дек-12, 10:40 
> что позволяет загрузить файл как скрипт .php и выполнить его через обращение по URL

Такие уязвимости в php будут всегда, что говорится "by design". Ведь на сегодня это единственная более-менее популярная веб-технология, работающая в режиме "что вижу, то и пою".

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

3. "Уязвимости в Drupal, QEMU и Nagios"  –1 +/
Сообщение от jedie on 20-Дек-12, 11:14 
толсто
Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

4. "Уязвимости в Drupal, QEMU и Nagios"  +2 +/
Сообщение от Аноним (??) on 20-Дек-12, 11:20 
Cохранять полученный файл в паблик-директории сервера с именем, под которым его отправил пользователь — это не «by design», это «by идиотизм».
Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

5. "Уязвимости в Drupal, QEMU и Nagios"  +/
Сообщение от б.б. on 20-Дек-12, 11:38 
Причём здесь это? Можно через два года попасть на то, что часть корня сайта доступна для записи по ftp. Или ещё как, вариантов много. Т.е., веб-сервер "отражает" кучу файлов, и на некоторые у него при некоторых условиях могут быть права на запуск. Что вижу, то и пою. Ничего более идиотского для веба и придумать нельзя. Это так "по-русски", сделать проблему на ровном месте, а потом с пеной у рта защищать её, потому что "у нас свой путь". Никто так не делает, никто. И у всех нормальные роуты, и у всех нет "что вижу, то и пою", а у php "свой путь". Россия в мире ПО, только "пьют и воруют".
Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

6. "Уязвимости в Drupal, QEMU и Nagios"  +/
Сообщение от Анончик on 20-Дек-12, 11:52 
Это скорее проблема стандартного способа использования с апачи. Правильно запиленный nginx и php-fpm позволят избежать такого бреда
Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

7. "Уязвимости в Drupal, QEMU и Nagios"  +3 +/
Сообщение от б.б. on 20-Дек-12, 12:05 
Из-за неразберихи по тому, как именно разбирать запрос, есть проблемы с ссылками вида /index.php/hello/world, просто по причине того, что разбор с начала и разбор с конца дают РАЗНЫЕ результаты. Это php, детка :)
Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

10. "Уязвимости в Drupal, QEMU и Nagios"  +3 +/
Сообщение от metallic (ok) on 20-Дек-12, 14:27 
А казалось бы, причем тут политика?
Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

12. "Уязвимости в Drupal, QEMU и Nagios"  +/
Сообщение от бедный буратино (ok) on 20-Дек-12, 15:08 
не при чём. я говорил про истерику в политике а не про политику в истерики. это просто как пример, политика тут совсем не при чём.
Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

15. "Уязвимости в Drupal, QEMU и Nagios"  +/
Сообщение от Аноним (??) on 20-Дек-12, 15:20 
> не при чём. я говорил про истерику в политике

Пока что я вижу истерику по поводу пыха у одного деревянного субъекта. Который втирает как будто бы баги есть только в софте написанном на пыхе. Что, мягко говоря, вранье.

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

11. "Уязвимости в Drupal, QEMU и Nagios"  +/
Сообщение от Аноним (??) on 20-Дек-12, 14:50 
э… спокойно, батенька. Какой ещё «путь», какая Россия, это вы к чему вообще?

Все нормальные PHP-фреймворки давно пропускают все запросы к PHP через Front Controller. Ну загуглите на тему роутинга в Symfony1/2, ZF, да хоть Code Igniter. Короче, если хотите вести диалог, конкретизируйте свои претензии. И желательно без потока эмоций.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

14. "Уязвимости в Drupal, QEMU и Nagios"  +/
Сообщение от Аноним (??) on 20-Дек-12, 15:18 
> Причём здесь это? Можно через два года попасть на то, что часть
> корня сайта доступна для записи по ftp.

И что? Если некто может аплоадить произвольное файло на сайт - он, очевидно, может перезалить этот сайт. И? Пых виноват в кретинизме администратора? Буратино такое буратино.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

17. "Уязвимости в Drupal, QEMU и Nagios"  –3 +/
Сообщение от б.б. on 20-Дек-12, 15:37 
>> И что? Если некто может аплоадить произвольное файло на сайт - он, очевидно, может перезалить этот сайт. И? Пых виноват в кретинизме администратора?

Он может напортить это в системе "что вижу, то и пою".

php виноват в том, что он единственный работает по такой схеме. и проблема в том, что там даже через три симлинка через независимый сайт может случайно попасть .php. И ОН ИСПОЛНИТСЯ, ПОТОМУ ЧТО PHP ДЕБИЛЕН ПО УМОЛЧАНИЮ. И там, где другим не нужно защищать, в php нужно. И это проблема. Даже в cgi исполнялись только файлы с chmod +x в /cgi-bin/, а php по умолчанию поётся ВЕЗДЕ. Это не дыра, это ДЫРИЩА. Дырища по имени php.

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

22. "Уязвимости в Drupal, QEMU и Nagios"  +1 +/
Сообщение от зачем имя анониму on 20-Дек-12, 21:35 
1. попейте валерьянки
2. перестаньте писать капсом
Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

24. "Уязвимости в Drupal, QEMU и Nagios"  +/
Сообщение от Аноним (??) on 22-Дек-12, 03:58 
> Причём здесь это? Можно через два года попасть на то, что часть
> корня сайта доступна для записи по ftp. Или ещё как, вариантов
> много. Т.е., веб-сервер "отражает" кучу файлов, и на некоторые у него
> при некоторых условиях могут быть права на запуск. Что вижу, то
> и пою. Ничего более идиотского для веба и придумать нельзя. Это
> так "по-русски", сделать проблему на ровном месте, а потом с пеной
> у рта защищать её, потому что "у нас свой путь". Никто
> так не делает, никто. И у всех нормальные роуты, и у
> всех нет "что вижу, то и пою", а у php "свой
> путь". Россия в мире ПО, только "пьют и воруют".

открой для себя mod_perl и mod_python и черти знает, что еще.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

8. "Уязвимости в Drupal, QEMU и Nagios"  +/
Сообщение от Andrey Mitrofanov on 20-Дек-12, 12:35 
>это не «by design», это «by идиотизм».

By Idiotten Disign! Не ссорьтесь, ма-альчики.

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

13. "Уязвимости в Drupal, QEMU и Nagios"  +1 +/
Сообщение от Аноним (??) on 20-Дек-12, 15:17 
> Такие уязвимости в php будут всегда, что говорится "by design".

Странно. А чего же тогда в Zope дырки? Или вон яндекс недавно эпически облажался: http://habrahabr.ru/post/163039/

Оказывается, это пых виноват. А вовсе не ж@порукие буратины. Вот если заменить пых на что-то еще - программисты сразу перестанут баги делать.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

2. "Уязвимости в Drupal, QEMU и Nagios"  +13 +/
Сообщение от Аноним (??) on 20-Дек-12, 10:45 
буквально на днях кто то написал "вот поэтому я использую друпал" и такой фейл!
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

9. "Уязвимости в Drupal, QEMU и Nagios"  +1 +/
Сообщение от demimurych email(ok) on 20-Дек-12, 12:46 
В установке Drupal, идет htaccess файл для apache который делает невозможным эксплуатировать уязвимость с аплоадом php файла.
Это не совпадение, а сделано намеренно о чем сказано в самом htaccess файле.

Используешь дургой сервер, будь добр внимательно ознакомиться с правилами установки.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

16. "Уязвимости в Drupal, QEMU и Nagios"  –1 +/
Сообщение от ОнанВарвар email on 20-Дек-12, 15:37 
Обновился :).
фейла нет, ибо нет идеального кода.
Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

23. "Уязвимости в Drupal, QEMU и Nagios"  +/
Сообщение от Michael Shigorin email(ok) on 22-Дек-12, 01:05 
> буквально на днях кто то написал "вот поэтому я использую друпал" и такой фейл!

Кажется, там было в контексте дырок joomla (бишь совсем не fail, особенно с учётом характера проблемы в данном разе -- её предусмотрели, но возможность наступить на грабли с не-апачем осталась).

Другое дело, что remote code exec штука крайне неприятная в любом проявлении -- однажды и на TYPO3 пришлось спешно подрываться и затыкать, лет пять тому, что ли.  И в этом плане не такая уж и разница -- веб-сервер не смотрит в .htaccess или в модуле ляп оказался...

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

18. "Уязвимости в Drupal, QEMU и Nagios"  +/
Сообщение от Аноним (??) on 20-Дек-12, 20:37 
Меня всегда удивляет насколько яро можно говорить о негативных качествах PHP забывая при этом то что ошибки присуще любому ПО
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

19. "Уязвимости в Drupal, QEMU и Nagios"  +2 +/
Сообщение от Andrey Mitrofanov on 20-Дек-12, 21:20 
> Меня всегда удивляет насколько яро можно говорить о негативных качествах PHP забывая
> при этом то что ошибки присуще любому ПО

Не всякому ПО прсуще свойство эти ошибки взращивать. Массово, постоянно и всенепременно.

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

20. "Уязвимости в Drupal, QEMU и Nagios"  +/
Сообщение от Аноним (??) on 20-Дек-12, 21:25 
Это такой толстый намек на python?
Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

21. "Уязвимости в Drupal, QEMU и Nagios"  +/
Сообщение от Andrey Mitrofanov on 20-Дек-12, 21:27 
> Это такой толстый намек на python?

На posix шел.

Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру