Критическая уязвимость в Joomla позволяла получить права администратора

Критическая уязвимость в Joomla позволяла получить права администратора

Популярная система управления контентом Joomla на прошлой неделе получила сразу три обновления, устраняющих различные бреши в системе защиты, одна из которых позволяла повышать привилегии посредством внедрения SQL-кода и тем самым получить права администратора на большинстве интернет-ресурсов, находящихся под управлением Joomla.

Данная уязвимость была обнаружена специалистом в сфере информационной безопасности Trustwave Асафом Орпани (Asaf Orpani), а также сотрудником  PerimeterX Нетанелем Рубином (Netanel Rubin).  По словам экспертов, самое слабое место находится в модуле ядра Joomla. Воспользовавшись брешью, хакер может осуществить перехват сессии администратора, извлечь идентификатор сессии и подставить его в секцию куки GET-запроса, заполучив таким образом администраторские привилегии, передает 3dnews.ru.

«Поскольку брешь была обнаружена в модуле ядра, не требующем никаких расширений, все веб-сайты на базе Joomla 3.2 и более поздних версий уязвимы к атаке. Из этого следует, что все ресурсы под управлением VirtueMart также могут быть скомпрометированы», — сообщил Орпани.

Две другие уязвимости были связаны со списком контроля доступа (ACL). Их также удалось устранить при помощи последних апдейтов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

FTC запретила GM передавать данные с подключенных автомобилей

Федеральная торговая комиссия США (FTC) запретила General Motors (GM) и её дочерней компании OnStar передавать данные о местоположении автомобилей и поведении водителей третьим сторонам, включая страховые компании и брокеров данных. Запрет будет действовать в течение пяти лет.

Официальное заявление FTC опубликовано на сайте ведомства. Решение стало ответом на многочисленные жалобы американских автовладельцев, возмущённых произвольными изменениями страховых тарифов без уведомления клиентов.

Как выяснилось в ходе расследования, проведённого The New York Times весной 2024 года, GM собирала данные о манере вождения и привычках пользователей своих автомобилей. Эти сведения продавались страховым компаниям как напрямую, так и через брокеров данных, таких как LexisNexis и Verisk.

Дополнительную информацию также собирала дочерняя структура GM — компания OnStar. Пользователи не были должным образом уведомлены о том, что их данные могут передаваться третьим лицам, включая страховые компании.

При этом OnStar изначально позиционировался как бесплатный сервис для помощи в чрезвычайных ситуациях. Однако собранные данные передавались страховым компаниям, которые использовали их для корректировки тарифов.

В некоторых случаях страховщики отказывались продлевать договоры на прежних условиях, не информируя клиентов.

Глава FTC Лина Хан отметила, что GM фиксировала данные о геолокации и поведении водителей с интервалом в три секунды, а затем передавала их третьим лицам.

«Запрет на передачу этой информации обеспечит конфиденциальность и защитит американцев от бесконтрольного наблюдения», — подчеркнула она.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru