eMudhra отозвала восемь скомпрометированных TLS-сертификатов — Engadget
Индийская компания eMudhra отозвала восемь промежуточных TLS-сертификатов со слишком слабыми закрытыми ключами, в то время как PHP Foundation сообщила о подготовке исправлений для двух критических уязвимостей PHP. Обе проблемы могут создать риски масштабных атак на веб-ресурсы и потребовать значительных работ по защите систем, сообщает Engadget.
Уязвимости PHP
PHP Foundation заявила, что готовит патчи для двух критических уязвимостей, оцененных в 9,2 балла из 10 по шкале серьезности. Организация призвала пользователей PHP подготовиться к обновлению и отметила, что может выпустить его раньше, если детали проблемы станут публичными или появятся доказательства активной эксплуатации.
Сообщению предшествовало появление видео с инструментом PHP2Shell, который запускает код на веб-серверах с актуальными версиями WordPress, MediaWiki, Drupal и других PHP-платформ. Компания watchTowr заявила, что подтвердила наличие уязвимости и что она затрагивает все версии PHP, начиная с PHP 5, выпущенной в 2004 году. В то же время в FAQ watchTowr отмечается, что возможность запуска злоумышленником собственного кода на сервере и потенциального получения контроля над ним описана в непроверенном сообщении. Sansec ожидает начала массовых атак в течение 15 минут после выхода обновления.
Больше актуальных новостей — в Telegram-канале UA.News Telegram.
Сертификаты со слабыми ключами
eMudhra заявила, что восемь скомпрометированных промежуточных сертификатов связаны с корневыми центрами сертификации, которым доверяют приложения Mozilla, Microsoft, Apple и Chrome, а также другие хранилища доверия. Слабые закрытые ключи потенциально могут позволить злоумышленникам подделывать сертификаты доменов, выдавать себя за серверы и перехватывать трафик.
По данным Hacker News и других сообщений, упомянутых Engadget, размер закрытых ключей составлял 4, 56, 66, 115, 155, 156, 230 и 237 битов, тогда как в материале обычным размером названы 384 бита. Mozilla, Google и Apple уже заблокировали эти сертификаты в своих браузерах. В то же время специалист Mozilla Деннис Джексон предупредил, что одна из утилит macOS может и далее доверять отозванным сертификатам, поскольку не проверяет данные об отзыве. Наибольший риск, по оценке издания, касается VPN, а также устройств интернета вещей и серверов без надлежащего обслуживания.
