Агентство по кибербезопасности призвало обновить PHP, Node.js и Go — Taipei Times
Администрация по кибербезопасности призвала государственные учреждения и бизнес немедленно установить обновления для PHP, Node.js и Go. Разработчики сообщили об уязвимостях, которые могут позволить злоумышленникам удаленно выполнять код или перехватывать цифровые сертификаты, сообщает Taipei Times.
Уязвимости в PHP
PHP, Node.js и Go являются программным обеспечением с открытым исходным кодом. PHP используют как серверный язык сценариев, Node.js является средой выполнения JavaScript, а Go — языком программирования. Экстренные обновления для PHP и Node.js выпустили в среду, а новые версии Go — в понедельник.
Команда безопасности PHP выявила две уязвимости, оцененные в 9,2 балла из 10 по системе CVSS v4.0. По данным администрации, они могут позволить удаленное выполнение произвольного кода без аутентификации. PHP широко применяют для сайтов, систем управления контентом и административных интерфейсов; от него также зависят WordPress, Drupal, Joomla и Magento.
Больше актуальных новостей — в Telegram-канале UA.News Telegram.
Организациям рекомендовали проверить все системы на PHP и связанные пакеты, уточнить их версии и установить исправления в соответствии с рекомендациями разработчиков. После обновления следует просмотреть системные журналы и необычные попытки доступа, а при выявлении подозрительной активности — проверить безопасность соответствующих учетных данных.
Исправления для Node.js и Go
Node.js выпустил три обновленные версии после устранения 10 уязвимостей, четыре из которых классифицировали как высокорисковые. Основная проблема касается декодера Brotli: запись за пределами выделенной памяти может вызвать ее повреждение и потенциально привести к удаленному выполнению кода. Также устранили возможности обхода проверки TLS-сертификатов и модели разрешений, а также ошибки DNS-разрешения.
Go выпустил две обновленные версии после инцидента в индийском промежуточном центре сертификации, в результате которого были раскрыты восемь известных закрытых ключей. По данным администрации, злоумышленники могут использовать их для атак типа «человек посередине». Новые версии Go добавляют затронутые промежуточные сертификаты в список блокировки. Чтобы этот механизм заработал, разработчикам необходимо перекомпилировать и повторно развернуть приложения после обновления инструментария Go.
