Уязвимость CDN от Cloudflare позволяла взломать 12% сайтов в Сети

Уязвимость CDN от Cloudflare позволяла взломать 12% сайтов в Сети

Уязвимость CDN от Cloudflare позволяла взломать 12% сайтов в Сети

Cloudflare устранила критическую уязвимость в своей бесплатной CDN (Content Delivery Network, сеть доставки контента) с открытым исходный кодом — CDNJS. По имеющимся данным, эта брешь затрагивала 12,7% всех веб-сайтов в Сети.

CDNJS обслуживает миллионы веб-ресурсов, предоставляя более 4 тысяч библиотек JavaScript и CSS, хранящихся на GitHub. Таким образом, это вторая по размеру CDN для доставки JavaScript.

Использование уязвимости подразумевает публикацию пакетов CDNJS с помощью GitHub и npm, что приводит к проблеме класса Path Traversal и удалённому выполнению кода. Успешная эксплуатация позволяет полностью скомпрометировать инфраструктуру CDNJS.

Об этом векторе рассказал специалист в области кибербезопасности, использующий онлайн-псевдоним RyotaK. По словам эксперта, ему удалось выявить метод полной компрометации инфраструктуры Cloudflare CDNJS в процессе исследования атак на цепочки поставок.

Само собой, такая брешь в руках злоумышленников могла оказаться опасным оружием, поскольку многие веб-сайты полагаются на CDN для загрузки популярных библиотек JavaScript и CSS. Если условный онлайн-магазин использует уязвимую систему доставки контента, это может ударить по покупателям.

В ходе исследования RyotaK обратил внимание на интересную особенность cdnjs.com: у специалиста была возможность предложить новую библиотеку через репозиторий GitHub. После этого эксперт понял, что этот репозиторий вместе с соседними поддерживал всю экосистему CDNJS в рабочем состоянии.

В итоге RyotaK нашёл способ обманом заставить серверы выполнить произвольный код. Для этого специалист использовали скрипты, хранящиеся в cdnjs/bot-ansible и cdnjs/tools. Именно эти скрипты периодически доставляли на сервер CDNJS обновлённые версии библиотек, выпущенные их авторами.

Исследователь задумался: что случится, если у опубликованной им библиотеки будет соответствующая версия npm, содержащая эксплойт для Path Traversal. Свои эксплойты RyotaK спрятал в архивах ZIP / TGZ. Это известная темника, получившая распространение в 2018 году под именем ZIP Slip.

Специалист, которому в результате удалось запустить Bash-скрипты на сервере, сообщил о проблеме Cloudflare посредством программы HackerOne. Команда разработчиков среагировала очень оперативно, выпустив патчи в течение считаных часов.

Пенсионеры смогут подтверждать право на скидки в магазинах через MAX

Процедура получения льгот, вводимых российским ретейлом для людей преклонного возраста, скоро упростится. Таким покупателям достаточно будет зайти в MAX и предъявить на кассе QR-код, сгенерированный на основе цифрового ID.

Сервис подтверждения статуса пенсионера через MAX уже запущен в пилотном режиме компанией X5.

В настоящее время нововведение доступно лишь москвичам — посетителям ряда «Перекрестков» и «Пятерочек», освоившим самообслуживание. В следующем месяце планируется распространить его на все торговые точки этих сетей.

«Каждый месяц в наши магазины приходят около 20 млн покупателей пенсионного возраста, — отметил Александр Костин, управляющий директор Х5 Tech. — Мы последовательно развиваем цифровые сервисы, которые делают покупки для клиентов любого возраста быстрее и удобнее, а процессы в магазинах — более эффективными».

Воспользоваться новой функцией несложно. На кассе самообслуживания нужно отсканировать товар, открыть раздел «Скидки пенсионерам и другие», выбрать из списка «Скидка пенсионерам» и поднести к считывателю смартфон с QR-кодом в профиле MAX (в мессенджере на такие случаи предусмотрена опция «Показать ID»).

Возможность использования MAX для подтверждения возраста в России закреплена законом. Создаваемый в мессенджере цифровой ID разрешено применять с этой целью наравне с бумажными документами, и ретейлеры уже начали осваивать это новшество при продаже товаров 18+.

RSS: Новости на портале Anti-Malware.ru