В Drupal исправлены зависимости, грозящие сливом конфиденциальных данных

В Drupal исправлены зависимости, грозящие сливом конфиденциальных данных

В Drupal исправлены зависимости, грозящие сливом конфиденциальных данных

Команда Drupal выпустила внеочередной бюллетень безопасности, предупреждающий об угрозе раскрытия конфиденциальных данных через эксплойт уязвимостей в сторонней библиотеке Guzzle. Пользователям рекомендуется установить новейшую сборку ядра CMS (от 10 июня).

Использование Guzzle позволяет владельцам сайтов упростить отправку HTTP-запросов на внешний контент, а также интеграцию с веб-сервисами. Уязвимости CVE-2022-31042 (слив содержимого куки-файлов) и CVE-2022-31043 (слив данных авторизации) были устранены в этом HTTP-клиенте для PHP пять дней назад.

Участники opensource-проекта Guzzle оценили обе проблемы в 7,5 балла по CVSS — как очень опасные. В соответствующем бюллетене Drupal сказано, что ядро CMS они не затрагивают, под угрозой могут оказаться лишь чужие проекты, использующие данную библиотеку, или кастомный код на сайтах, поэтому степень опасности была определена как умеренная.

Для защиты от эксплойта пользователям рекомендуется обновить Drupal до выпуска 9.2.21, 9.3.16 или 9.4.0-rc2, корректирующего зависимости. В качестве временной меры можно самостоятельно вывести в топ пропатченную версию подключаемого компонента с помощью пакетного менеджера Composer.

Исправлений в ветке 9.1, срок поддержки которой истек, не предвидится. Устаревшая Drupal 8 тоже их не получит, а для версии 7 проблемы Guzzle не актуальны.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Бывший замглавы Минцифры Максим Паршин осуждён на 9 лет

Хамовнический суд Москвы приговорил бывшего заместителя министра цифрового развития, связи и массовых коммуникаций Максима Паршина к девяти годам лишения свободы за получение взятки. Отбывать наказание он будет в колонии строгого режима.

Его подельник, бывший генеральный директор компании «Бюджетные и финансовые технологии» Александр Моносов, получил срок на полгода меньше — восемь с половиной лет колонии строгого режима.

О вынесении приговора сообщил корреспондент ТАСС из зала суда. Кроме лишения свободы, обоим фигурантам предстоит выплатить штраф в размере 315 млн рублей.

Максим Паршин также лишён звания действительного государственного советника Российской Федерации 3-го класса. Кроме того, ему запрещено занимать государственные должности в течение шести лет после освобождения. Александру Моносову запрещено занимать руководящие посты в течение пяти лет после окончания срока наказания.

Отмечается, что гособвинение просило назначить для Максима Паршина более суровое наказание — 13 лет лишения свободы и штраф в 315 млн рублей, а для Александра Моносова — 12 лет лишения свободы и штраф в 500 млн рублей.

Оба были задержаны с поличным 13 июня 2023 года в одном из московских ресторанов. При передаче взятки Александр Моносов вручил Максиму Паршину папку, внутри которой находились 3,75 млн рублей. По версии следствия, деньги предназначались за содействие в выделении гранта компании «Бюджетные и финансовые технологии», которую возглавлял Моносов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru