С чего начнется четвертая промышленная революция в вашей компании?

�ак минимизировать риски и научиться извлекать максимальную прибыль? Как научиться идентифицировать все устройства в своих сетях? Как правильно управлять идентификацией и доступом? Зарегистрируйтесь, чтобы бесплатно скачать электронную книгу об безопасной интеграции ОТ- и ИТ-сетей прямо сейчас. × Как защитить критическую инфраструктуру от киберпреступников?

ОТ-системы, управляющие оборудованием в КИИ - под серьезной угрозой. В 85% случаев они беззащитны даже перед повторными атаками одних и тех же зловредов. Всему виной - цифровизация, которая вынуждает ОТ- и ИТ-сети интегрироваться. Данные становятся ближе к оборудованию КИИ, а хакеры - к данным.

Логические ошибки в программном коде двух популярных плагинов к системе управления контентом WordPress позволяли всем желающим логиниться в администраторский аккаунт без пароля.

Критические уязвимости в двух плагинах для распространяемой под открытой лицензией системы управления контентом сайтов WordPress позволяют всем желающим получать доступ к администраторским аккаунтам. Проблемы, описанные как «логические ошибки в коде», скрывались в плагинах InfiniteWP Client и WP Time Capsule.

InfiniteWP — очень популярный плагин с открытым исходным кодом, предназначенный для управления любым количеством сайтов на базе WordPress. Он позволяет моментально устанавливать обновления на саму систему, плагины и оформительские «темы».

Плагин установлен как минимум на 300 тыс. сайтов во всем мире. Впрочем, сами разработчики утверждают, что количество инсталляций превышает 513 тыс.

Уязвимость выявили эксперты по безопасности компании WebARX. По их сведениям, пользователю достаточно знать логин администратора, чтобы войти в систему. В InfiniteWP содержалась серьезная ошибка в процедуре проверки авторизации (конкретнее, в функции iwp_mmb_set_request в файле init.php). Как следствие, потенциальный злоумышленник мог «автоматически» входить на сервер с InfiniteWP.

К настоящему времени разработчик плагина выпустил исправление: версию InfiniteWP 1.9.4.5. Всем пользователям данного плагина рекомендуется насколько возможно оперативно установить ее.

WebARX также обнаружили аналогичную проблему в другом популярном плагине — WPTime Capsule. Так же, как и с InfiniteWP, проблемы с проверкой авторизации позволяют логиниться в качестве администратора без ввода пароля.

«Популярность разработки, увы, не является какой бы то ни было гарантией отсутствия в ней критических проблем, — говорит Анастасия Мельникова, эксперт по информационной безопасности компании SEC Consult Services. — В данном случае обнадеживает лишь то, что разработчики оперативно приняли меры к исправлению своих ошибок. Но пока все администраторы WordPress, использующие уязвимые плагины, не внесут необходимые исправления, они остаются под угрозой компрометации. А поскольку сейчас информация вышла в публичное поле, можно ожидать многочисленных попыток атаковать такие сайты».

Власти Москвы закупят «железо» для распознавания лиц почти на 2 миллиарда

Облачное объектное хранилище S3: что это такое и как подобрать тариф

Конституцию России будут переписывать авторы «закона Яровой», закона о «суверенном Рунете» и Наталья Касперская

В JavaScript затесался вредоносный пакет, ворующий данные из UNIX-систем

Во всех Windows последних 20 лет найдена опасная «дыра»

Госдума заморозила законопроект по сбору биометрии в банках

Сергей Мацоцкий

основатель и член совета директоров IBS

Андрей Филатов

глава SAP CIS

Андрей Филатов

глава SAP CIS

Индексы «ИТ-тренды CNews 2020» и «ИТ-тренды CNews 2020 Реальный сектор».