Joomla 4-ի վեբ ծառայություններում մուտքի սխալ ստուգումը թույլ էր տալիս ցանկացածին կարդալ կայքի կոնֆիգուրացիան՝ ներառյալ տվյալների բազայի հավատարմագրերը։
Հրապարակվել է՝ 2023 թ. փետրվարի 16
2023-ի փետրվարին Joomla-ն ուղղեց Joomla 4-ի վեբ ծառայությունների (API) մուտքի ստուգման սխալը։ Առանց մուտքի հարձակվողը կարող էր պահանջել փակ տվյալներ, ներառյալ կայքի կոնֆիգուրացիան՝ տվյալների բազայի օգտատիրոջ և գաղտնաբառի հետ։ Գնահատականը ընդամենը «միջին» էր, բայց հարձակվողները արագ սկսեցին այն օգտագործել, իսկ հետագայում CISA-ն այն ներառեց շահագործվողների ցանկում։
| CVE | Վտանգավորություն | Խոցելի տարբերակներ | Ուղղված է |
|---|---|---|---|
CVE-2023-23752 | Միջին, CVSS 5.3 (մուտքի սխալ ստուգում, տեղեկատվության բացահայտում) | Joomla 4.0.0 – 4.2.7 | 4.2.8 և ավելի նոր |
Դասը․ վտանգավորության գնահատականը ամեն ինչ չի ասում։ Եթե արտահոսած գաղտնաբառը համապատասխանում է տվյալների բազային կամ օգտագործվում է այլ տեղ, «միջին» խոցելիությունը վերածվում է լիարժեք կոտրման։ Թարմացումից հետո փոխեք տվյալների բազայի գաղտնաբառը և բոլոր կրկնվող գաղտնաբառերը։
Աղբյուրներ՝ Joomla security announcement, NVD CVE-2023-23752.
Օգնության կարիք ունե՞ք։ Կապվեք CySec-ի հետ՝ անվճար խորհրդատվության համար։
Էքսփլոյթների նոր շղթան root իրավունքներ է տալիս տեղային N-central սերվերներում, հարձակումները սկսվեցին հրապարակումից մի քանի ժամ անց։ Լիարժեք ուղղում դեռ չկա․ շտապ ստուգումներ։
Կարդալ հոդվածըOutlook-ի շահագործվող խոցելիությունը հատուկ ֆայլի միջոցով փոխանցում է NTLM հեշը։ Այս ամիս Microsoft-ը ուղղել է ավելի քան 1000 խոցելիություն․ ահա առաջնահերթությունները։
Կարդալ հոդվածըGoogle-ը ուղղեց Chrome-ում արդեն շահագործվող use-after-free խոցելիությունը։ Ուղղումն աշխատում է միայն բրաուզերի վերագործարկումից հետո․ ինչպես համոզվել, որ յուրաքանչյուր համակարգիչ պաշտպանված է։
Կարդալ հոդվածըՄեր ինժեներները կուսումնասիրեն ձեր ներկայիս համակարգը և կառաջարկեն կոնկրետ բարելավումներ։
