Виявлено вразливості в PHP і TLS-сертифікатах, оновлення вже випущено, ризики для VPN та IoT

Вразливості в інтернет-безпеці

Як повідомляє НВ — Техно: 22 жовтня 2023 року було виявлено дві серйозні вразливості в інтернет-безпеці, одна з яких пов'язана з мовою програмування PHP, що використовується у популярних системах управління контентом, таких як WordPress, Drupal, MediaWiki та Symfony. Інша вразливість стосується TLS-сертифікатів зі слабким шифруванням. Фонд PHP вже випустив оновлення для виправлення цих вразливостей 21 жовтня 2023 року о 14:00 UTC (17:00 за Києвом). Рівень небезпеки вразливостей PHP оцінили у 9,2 з 10, а проблема зачіпає всі версії PHP, починаючи з PHP 5, випущеного в 2004 році.

Вразливість PHP дозволяє виконання коду на вебсерверах, що піддає ризику численні онлайн-сервіси. Компанія Sansec очікувала масові атаки через 15 хвилин після публікації технічних деталей. Додатково, індійська компанія eMudhra виявила вісім компрометованих TLS-сертифікатів, які містили криптографічні ключі недостатньої довжини, від 3 до 8 біт замість типової довжини у 384 біти. Ці сертифікати пов'язані з кореневими сертифікатами, яким довіряють великі компанії, такі як Mozilla, Microsoft, Apple та Google Chrome.

Наслідки вразливостей

Компрометовані сертифікати довіряли численні браузери, операційні системи, пристрої інтернету речей, а також інфраструктура Cloudflare. Mozilla, Google та Apple вже заблокували ці сертифікати у своїх браузерах, однак деякі програми, зокрема на macOS, можуть й далі їм довіряти. Денніс Джексон з Mozilla попередив про можливість довіри до скомпрометованих сертифікатів у деяких програмах.

eMudhra відкликала всі вісім компрометованих сертифікатів, зазначивши, що проблема виникла через помилку у скрипті створення сертифікатів. Найбільші ризики стосуються VPN-сервісів у країнах з активним перехопленням трафіку державними структурами. Наслідки можуть також торкнутися застарілих серверів, пристроїв інтернету речей та інших мережевих елементів.

Філіппо Вальсорда зазначив, що усунення наслідків може стати масштабною роботою, навіть складнішою за ліквідацію наслідків вразливості Heartbleed 2014 року.

Ці вразливості підкреслюють важливість своєчасного оновлення програмного забезпечення та безпеки в інтернеті. Вразливість PHP може мати серйозні наслідки для веб-сайтів та онлайн-сервісів, які використовують цю технологію, тоді як проблеми з TLS-сертифікатами можуть зашкодити безпеці даних користувачів. Ситуація вимагає швидких дій з боку розробників та адміністраторів, щоб зменшити ризики і захистити користувачів від потенційних атак.

Важливо зазначити, що нещодавно Apple також усунула серйозну вразливість у своїх операційних системах, яка могла загрожувати безпеці даних користувачів. Ця проблема, що стосувалася iOS, iPadOS та macOS, підкреслює актуальність підтримки безпеки вразливих програмних продуктів. Детальніше про цю загрозу та вжиті заходи можна дізнатися у нашій статті про усунення критичних вразливостей Apple.