Agencja cyberbezpieczeństwa wezwała do aktualizacji PHP, Node.js i Go — Taipei Times
Administracja ds. Cyberbezpieczeństwa wezwała instytucje państwowe i przedsiębiorstwa do natychmiastowego zainstalowania aktualizacji PHP, Node.js i Go. Deweloperzy poinformowali o lukach, które mogą umożliwić atakującym zdalne wykonanie kodu lub przechwycenie certyfikatów cyfrowych, donosi Taipei Times.
Luki w PHP
PHP, Node.js i Go to oprogramowanie open source. PHP jest używany jako język skryptowy po stronie serwera, Node.js jest środowiskiem uruchomieniowym JavaScript, a Go jest językiem programowania. Awaryjne aktualizacje dla PHP i Node.js wydano w środę, a nowe wersje Go — w poniedziałek.
Zespół bezpieczeństwa PHP wykrył dwie luki ocenione na 9,2 punktu na 10 w systemie CVSS v4.0. Według administracji mogą one umożliwić zdalne wykonanie dowolnego kodu bez uwierzytelnienia. PHP jest szeroko stosowany do tworzenia stron internetowych, systemów zarządzania treścią i interfejsów administracyjnych; zależą od niego również WordPress, Drupal, Joomla i Magento.
Więcej aktualnych wiadomości na kanale UA.News w Telegramie Telegram.
Organizacjom zalecono sprawdzenie wszystkich systemów PHP i powiązanych pakietów, ustalenie ich wersji oraz zainstalowanie poprawek zgodnie z zaleceniami deweloperów. Po aktualizacji należy przejrzeć dzienniki systemowe i nietypowe próby dostępu, a w przypadku wykrycia podejrzanej aktywności sprawdzić bezpieczeństwo odpowiednich danych uwierzytelniających.
Poprawki dla Node.js i Go
Node.js wydał trzy zaktualizowane wersje po usunięciu 10 luk, z których cztery sklasyfikowano jako wysokiego ryzyka. Główny problem dotyczy dekodera Brotli: zapis poza przydzieloną pamięcią może spowodować jej uszkodzenie i potencjalnie doprowadzić do zdalnego wykonania kodu. Usunięto również możliwości obejścia weryfikacji certyfikatów TLS i modelu uprawnień, a także błędy rozwiązywania DNS.
Go wydał dwie zaktualizowane wersje po incydencie w indyjskim pośrednim urzędzie certyfikacji, w wyniku którego ujawniono osiem znanych kluczy prywatnych. Według administracji atakujący mogą wykorzystać je do ataków typu „man in the middle”. Nowe wersje Go dodają dotknięte problemem certyfikaty pośrednie do listy blokowania. Aby mechanizm ten zadziałał, deweloperzy muszą ponownie skompilować i wdrożyć aplikacje po aktualizacji zestawu narzędzi Go.
