В бесплатном веб-форуме MyBB нашли две критические уязвимости

В бесплатном веб-форуме MyBB нашли две критические уязвимости

В бесплатном веб-форуме MyBB нашли две критические уязвимости

В бесплатном веб-форуме MyBB нашли две критические уязвимости, которые в связке позволяют потенциальному злоумышленнику удалённо выполнить вредоносный код. При этом для успешной атаки не требуется доступ к аккаунту с большими правами.

О дырах стало известно благодаря двум независимым исследователям в области кибербезопасности — Симону Сканнеллу и Карлу Смиту. Команда разработчиков MyBB получила информацию об уязвимостях 22 февраля, а уже 10 марта вышло обновление под номером 1.8.26 с патчем.

Напомним, что MyBB, ранее носивший имена MyBBoard и MyBulletinBoard, представляет собой бесплатный веб-форум, разработанный с помощью PHP и MySQL. Первая из обнаруженных в нём брешей (CVE-2021-27889) затрагивает процесс парсинга сообщения с URL (по сути, XSS-уязвимость).

С помощью CVE-2021-27889 любой пользователь, не располагающий высокими привилегиями, может внедрить XSS-пейлоад в посты, топики и даже личные сообщения на форуме под управлением MyBB.

«Уязвимость можно использовать достаточно легко, просто сохранив специально созданное вредоносное MyCode-сообщение на сервере. При этом потребуется лишь минимальное взаимодействие с пользователем», — пишут сами разработчики.

Другая брешь, допускающая SQL-инъекцию, получила идентификатор CVE-2021-27890. Она содержится в функции управления темами, которой оснащён веб-форум. Использовать этот баг можно в том случае, если администратор с соответствующими правами импортирует специально созданную вредоносную тему.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

На основе продуктов и сервисов F.A.C.C.T. создали новую ИБ-компанию

Фонд развития результативной кибербезопасности Сайберус при участии новых инвесторов создаёт ИБ-компанию на основе продуктов и сервисов F.A.C.C.T. Основной акцент новичок сделает на разработке линейки технологий для предотвращения и расследования киберпреступлений.

Как отметили представители F.A.C.C.T., акционеры (включая основателя тогда ещё Group-IB Илью Сачкова) передают новой компании часть активов: инженерные технологии, экспертизу, интеллектуальную собственность и текущие контракты.

Ожидается, что часть команды также перейдёт в новую компанию. При этом акционеры F.A.C.C.T. не войдут в акционерную структуру.

Отмечается, что разработка продуктовой линейки новой компании ведётся с лета 2024 года. Последняя уже получила ИТ-аккредитацию в Минцифры.

Акционерами  станут фонд результативной кибербезопасности Сайберус (47%) и частные инвесторы. Сумма сделки не разглашается.

Место главы новой организации займёт нынешний генеральный директор F.A.C.C.T. Валерий Баулин, что позволит ему сосредоточится на создании «одного из ведущих игроков на рынке кибербезопасности».

Сайберус не будет принимать участие в операционном управлении новой компанией. Сделка по передаче активов F.A.C.C.T. новой компании стартовала сегодня, 29 ноября. Инвесторы планируют завершить юридические процедуры в первом квартале 2025 года.

«Наша цель — сделать новую компанию одной из сильнейших в сфере информационной безопасности в стране с фокусом на борьбу с киберпреступностью, — комментирует Валерий Баулин, генеральный директор F.A.C.C.T. — Это позитивное событие для всего рынка кибербеза. Видение новых акционеров и экспертиза команды позволят создавать новые продукты, отвечающие современным вызовам. Мы уже разрабатываем и готовим к запуску новые сервисы и продукты, продолжаем инвестировать в поиск и развитие новых талантливых сотрудников и расширять нашу экспертизу. Перед акционерами и топ-менеджментом стоит стратегическая задача обеспечить значительный рост бизнеса».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru