Apache, powszechnie używane na świecie oprogramowanie serwera WWW, było ofiarą notorycznych luk w zabezpieczeniach raz po raz. Luki te czynią serwer podatnym na różne formy złośliwych ataków i inne oszustwa internetowe prowadzące do kradzieży i utraty informacji. Chociaż Apache regularnie wydaje aktualizacje dla swoich podatnych wersji, poniższe luki w Apache zyskały niesławę ze względu na ich potencjalne zagrożenie dla użytkowników.
Apache OpenMeetings w wersji 1.0.0 został uznany za podatny na lukę SQL Injection (CVE-2017-7681), co czyni go potencjalnie podatnym na ujawnienie informacji. Aby wykorzystać lukę, osoba atakująca musi być zalogowana do systemu, np. z wiersza poleceń, poprzez sesję desktopową lub interfejs WWW. Modyfikacja niektórych plików systemowych lub informacji jest możliwa, ale atakujący nie ma kontroli nad tym, co może zostać zmodyfikowane, lub zakres tego, na co atakujący może wpłynąć jest ograniczony.
OpenMeetings jest jednym z najpopularniejszych programów do wirtualnych spotkań, szeroko wykorzystywanym do prezentacji online, szkoleń online, konferencji internetowych i współdzielenia pulpitów użytkowników. Jego powszechne użycie powoduje ryzyko dla struktury istniejącego zapytania i ryzyko wycieku struktury innych zapytań wykonywanych przez aplikację w back-end.
Natychmiastowym środkiem zaradczym jest aktualizacja do Apache OpenMeetings 3.3.0
Jeśli szukasz rozwiązania bezpieczeństwa dla swojej strony internetowej (niestandardowe kodowane lub CMS), Astra Firewall będzie chronić swoją stronę internetową 24×7 od XSS, LFI, RFI, SQL injection, złych botów i 80+ innych zagrożeń. Weź Astra Demo teraz.
Apache Ranger Security Bypass Vulnerability
Apache Ranger został uznany za podatny na lukę w zabezpieczeniach (CVE-2017-7676). W związku z tym napastnicy mogą wykorzystać ten błąd do ominięcia pewnych ograniczeń bezpieczeństwa i wykonania nieautoryzowanych działań, które mogą pomóc w dalszych atakach. To pozwala Policy resource matcher ignorować znaki po '*’ znak wieloznaczny, co skutkuje zastosowaniem dotkniętych polityk do zasobów, w których nie powinny być zastosowane.
Apache Ranger jest szeroko stosowanym frameworkiem używanym do umożliwienia, monitorowania i zarządzania kompleksowym bezpieczeństwem danych na całej platformie Hadoop. Chociaż uważany za mało poważny, skutecznie. Podatność na obejście zabezpieczeń dotyczy wersji Ranger od 0.5.1 do 0.7. Natychmiastowym środkiem zaradczym jest aktualizacja do wersji 0.7.1 Apache Ranger, która naprawia ten błąd.
Błąd w zabezpieczeniach serwera Apache HTTP
Błąd w zabezpieczeniach serwera Apache HTTP CVE-2017-3167 Authentication Bypass pozwala atakującemu ominąć mechanizm uwierzytelniania i wykonać nieautoryzowane działania, co prowadzi do dalszych ataków. Wersje, których dotyczy ta luka, to Apache HTTP Server od 2.2.0 do 2.2.32 oraz Apache HTTP Server od 2.4.0 do 2.4.25
Usterka wynika z niewłaściwego użycia funkcji ap_get_basic_auth_pw() serwera Apache HTTP przez moduły stron trzecich poza fazą uwierzytelniania w dotkniętym oprogramowaniu. Zamiast tego moduły stron trzecich powinny używać funkcji ap_get_basic_auth_components().
Zabezpieczenia obejmują aktualizację do poprawionej wersji, dostęp do sieci tylko dla zaufanych użytkowników oraz stosowanie list kontroli dostępu opartych na adresach IP (ACL), aby umożliwić dostęp do dotkniętych systemów tylko zaufanym systemom.
Sprawdź również nasz szczegółowy blog na temat Najbardziej krytycznych luk w Apache
Martwisz się o zabezpieczenie swojej strony przed oszustami online? Skontaktuj się z Astra’s Web Security Suite, aby zapewnić całodobowe bezpieczeństwo przed XSS, LFI, RFI, SQL injection, złymi botami i 80+ innymi zagrożeniami.
Weź Astra Demo teraz.