eMudhra unieważniła osiem skompromitowanych certyfikatów TLS — Engadget

Indyjska firma eMudhra unieważniła osiem pośrednich certyfikatów TLS ze zbyt słabymi kluczami prywatnymi, podczas gdy PHP Foundation poinformowała o przygotowywaniu poprawek dla dwóch krytycznych podatności PHP. Oba problemy mogą stwarzać ryzyko masowych ataków na zasoby internetowe i wymagać znacznych prac nad ochroną systemów, informuje Engadget.

Podatności PHP

PHP Foundation oświadczyła, że przygotowuje poprawki dla dwóch krytycznych podatności, ocenionych na 9,2 punktu na 10 w skali ważności. Organizacja wezwała użytkowników PHP do przygotowania się na aktualizację i zaznaczyła, że może wydać ją wcześniej, jeśli szczegóły problemu staną się publiczne lub pojawią się dowody aktywnego wykorzystania.

Komunikat poprzedziło pojawienie się wideo z narzędziem PHP2Shell, które uruchamia kod na serwerach internetowych z aktualnymi wersjami WordPressa, MediaWiki, Drupala i innych platform PHP. Firma watchTowr oświadczyła, że potwierdziła istnienie podatności oraz że dotyczy ona wszystkich wersji PHP, począwszy od PHP 5, wydanego w 2004 roku. Jednocześnie w FAQ watchTowr zaznaczono, że możliwość uruchomienia przez atakującego własnego kodu na serwerze i potencjalnego przejęcia nad nim kontroli została opisana w niezweryfikowanym zgłoszeniu. Sansec oczekuje rozpoczęcia masowych ataków w ciągu 15 minut po wydaniu aktualizacji.

Więcej aktualnych wiadomości na kanale UA.News w Telegramie Telegram.

Certyfikaty ze słabymi kluczami

eMudhra oświadczyła, że osiem skompromitowanych certyfikatów pośrednich jest powiązanych z głównymi urzędami certyfikacji, którym ufają programy Mozilla, Microsoft, Apple i Chrome, a także inne magazyny zaufania. Słabe klucze prywatne mogą potencjalnie umożliwić atakującym fałszowanie certyfikatów domen, podszywanie się pod serwery i przechwytywanie ruchu.

Według Hacker News i innych doniesień przytoczonych przez Engadget rozmiary kluczy prywatnych wynosiły 4, 56, 66, 115, 155, 156, 230 i 237 bitów, podczas gdy w materiale jako zwykły rozmiar wskazano 384 bity. Mozilla, Google i Apple już zablokowały te certyfikaty w swoich przeglądarkach. Jednocześnie specjalista Mozilli Dennis Jackson ostrzegł, że jedno z narzędzi macOS może nadal ufać unieważnionym certyfikatom, ponieważ nie sprawdza danych o unieważnieniu. Największe ryzyko, według oceny publikacji, dotyczy VPN-ów, a także urządzeń internetu rzeczy i serwerów bez odpowiedniej obsługi.