Рейтинг темы:
  • 0 Голос(ов) - 0 в среднем
  • 1
  • 2
  • 3
  • 4
  • 5
уязвмости 1.8
#1
Здравствуйте,

искал материалы по разработке темы оформления, а нашёл столь нужную и важную информацию.

Статья в журнале "Хакер" за 1 января


https://xakep.ru/2015/01/01/obzor-eksplojtov-192/

всё то что происходит с кодом на пхп мне не понятно, я попробовал воспроизвести у себя только 
со статусом пользователя, посмотрите в конце материала о форуме и до уязвимости в каком-то телефоне, что думаете по этому поводу?  Те если бы оно ещё работало но календари отключены (не понимаю их пользу на форуме) то это панацея или все же при желании можно алерт окно вызвать где угодно?
Ответ
#2
Спасибо! Интересное чтиво Улыбка
MyBB - дырявая штука. Но ждем релиза 2.0. Ситуация, думаю, измениться.
Ответ
#3
ну да, конечно, как в бородатом анегдоте :

"Версия **
список изменения:
+ исправлены старые уязвимости, добавлены новые
.....
.... "

уверен то и двухфакторовая авторизация в 1.8 при помощи QR кода обходиться или же в "лучшем" случаи содержит недоработки, баги.

кстати, я его не активировал что бы попробовать на практике даже на пустом форуме, странное улучшение, не у всех на телефоне интернет и не каждому понравится именно такой способ защиты.
Ответ
#4
Увидел пару дней назад устрашающее сообщение на официальном сообществе.

Important: Cloudflare's memory leak vulnerability & impact on the Community Forums
Не могу до сих пор понять, о чём это? Поясните пожалуйста кто понял Что?
Ответ
#5
Цитата:CloudFlare работает как reverse proxy (обратный прокси). Это значит, что если веб-сайт является частью сообщества CloudFlare, то весь его трафик направляется через глобальную сеть CloudFlare.
В сети CloudFlare хранятся копии статических файлов в географически близких к веб-посетителям местах, что означает быструю их загрузку. CloudFlare кэширует такие ресурсы, как CSS, JavaScript и изображения. При этом с Вашей стороны не требуется никаких дополнительных усилий – технология CloudFlare автоматически определяет, какие из файлов подлежат кэшированию, исходя из их расширений. Мы не кэшируем динамический контент. Технология также применяет сжатие каждого запроса.
Сайт оф. сообщества MyBB подключен к этому сервису. Соответсвенно официальный форум пострадал от уязвимости утечки памяти. Как сообщает текст по вашей ссылке: некоторые конфиденциальные данные, такие как учетные данные пользователей, которые перемещаются через прокси-серверы CDN, возможно были украдены путем случайных соединений к ответам HTTP.
Что же делают парни из команды MyBB? Они сообщили, что были приняты меры для безопасности форума и остальных сайтов в домене *.mybb.com, здесь подробнее. Вкратце: они включают шифрование на форуме через протокол https, что и рекомендуют сделать владельцам других форумов, кто использует cloudflare.

Из интернетов:

23 февраля крупнейшая сеть доставки контента Cloudflare объявила о выявлении серьезной уязвимости. Как оказалось, сервис, который должен защищать сайты, передавал информацию о пользователях в открытом виде, и ее мог получить любой, кто знал об уязвимости. По счастливой случайности, обнаружил «дыру», которой как минимум пять месяцев, не злоумышленник, а специалист по безопасности из Google. «Медуза» рассказывает, почему уязвимость Cloudflare — это серьезно.
В чем заключается уязвимость?
Как выяснил специалист по сетевой безопасности Google Тэвис Орманди, при обычном обращении к определенной странице в сети Cloudflare сервис отдавал не только запрашиваемые данные, но и часть данных какого-нибудь другого сервиса. Сначала ему показалось, что ошибка в его собственном коде (Орманди работал над каким-то своим проектом), но потом он выяснил, что это уязвимость на стороне Cloudflare — так происходило, когда та или иная страница с точки зрения одного из механизмов сервиса была составлена с ошибками. Причем среди данных были и персональные данные, и сведения об авторизации пользователей, которые работают с сервисом. В том числе Орманди удалось обнаружить информацию с сайтов Uber и OKCupid. Полученные сведения он уничтожил.

Так происходило примерно один раз на три миллиона запросов, однако если учесть количество клиентов Cloudflare, то к уязвимости нужно относиться крайне серьезно. Тем более что если один раз найти страницу с ошибками, через которую утекают данные, то обращаться к ней можно сколько угодно раз — и каждый раз получать конфиденциальную информацию из сети Cloudflare.

Ошибка закралась в систему, которая готовит страницы для распространения через сервис Google AMP, ускоряющий просмотр сайтов на мобильных устройствах. Из-за уязвимости случайное количество данных попадало в открытый доступ и их индексировали поисковые машины. Как выяснили в Cloudflare (на подробный анализ потребовалась почти неделя), уязвимость появилась не позднее 22 сентября 2016 года — то есть пять месяцев в открытый доступ попадали случайные порции конфиденциальных данных, в том числе личной информации пользователей крупнейших компаний.

Среди «утекшей» информации оказался ключ шифрования, который использовали в Cloudflare для защиты собственных сетей.

Цитата:«Это была ошибка в штуке, которая понимает HTML. Мы распознаем изменения веб-страниц на лету, и пропускаем через наши системы, Чтобы это работало, страницы должны быть у нас в памяти. Оказалось, что можно дойти до конца страницы и попасть в ту часть памяти, куда смотреть не стоило», — объясняет один из создателей Cloudflare Джон Грэм-Камминг.

Какие последствия?
Достоверно не известно, какие именно данные попали в открытый доступ, и смог ли кто-нибудь их найти. В Cloudflare утверждают, что никакие злоумышленники уязвимостью воспользоваться не успели, потому что не знали о ней — хотя она и существовала почти полгода. Компания заверяет, что в противном случае обязательно обнаружила бы подозрительную активность хакеров.

Если эти утверждения — правда, и первым об уязвимости действительно узнал специалист по компьютерной безопасности из Google, у которого не было никаких дурных мотивов, то главная проблема утечки заключается в кэшированных интернет-поисковиками данных. Cloudflare уже начала активную работу со всеми крупнейшими поисковыми системами и оперативно вычищает все конфиденциальные сведения практически на глазах («Медузе» удалось найти в одной из кэшированных страниц Google непубличные данные с сервиса Uber, а спустя несколько часов они перестали быть доступны).

На github уже собран список крупнейших сайтов, которые работали с Cloudflare и могли быть подвержены утечке данных. Наиболее важный из них, сервис хранения паролей 1Password, уже заявил, что данные его пользователей все время находились в безопасности — компания использует более сложные системы защиты. Не нанесен ущерб и пользователям российского сайта объявлений «Авито». В списке сайтов, чьи данные все же могли попасть в открытый доступ, есть, помимо Uber, блог-сервис Medium, торрент-трекер The Pirate Bay, сайт 4pda.ru и многие другие. Если у вас была учетная запись на одном из этих сайтов, лучше сменить пароль.
Ответ
#6
Так вот оно что. Сервис предназначенный для защиты, мог дать информацию в открытом виде...
Спасибо Владимир!
Ответ
#7
Давал информацию почти полгода Улыбка и случайно нашли дыру эту.
Ответ
#8
(03.03.2017, 10:09 AM)Vladimir Написал: Давал информацию почти полгода Улыбка и случайно нашли дыру эту.

мдаа  Закатить глаза удивляет такой временной отрезок. Пол года....и ничего не утекло  Улыбка
Ответ


Перейти к форуму:


Пользователи, просматривающие эту тему: 1 Гость(ей)