Уязвимости InstantCMS

#16 19 февраля 2015 в 05:24
Все наверно читали как вскрыли банковские системы, увели очень много денег. Так вот я скажу так: есть реальные проблемы, стоит о них писать, но следует понимать, что чем больше прибыль возможная, тем больше усилий приложат, даже в той мере, которой разработчики Инстанта не могут предположить. Но это очень крайняя мера. По крайней мере, сейчас реальные проблемы это спам, который проскакивает время от времени на блоги и форум, отсюда и плясать стоит, а вскрытия которые могут раскопать, они я думаю бесконечны, но вот кто их захочет копать без мотивации, сиречь прибыли возможной?) А все эти исследования имхо больше пиар.
#17 19 февраля 2015 в 15:12

Positive Technologies расковыряли код InstantCMS на предмет дырок.

Max
Они по доброте душевной присвоили себе багрепорт, что не совсем верно. Они действительно присылали сообщения об уязвимостях, но тогда, когда они уже были закрыты нами без чьей-либо помощи.
По поводу последней описываемой там уязвимости могу прокомментировать лишь то, что ее реализация крайне маловероятна. И как они сами подчеркнули

Возьмем простейший пример — виртуальный хостинг с общим хранилищем сессий. У хостинга есть ошибка конфигурации — значение директивы PHP session.save_path, которое по умолчанию равно /tmp

Т.е. задавать session.save_path средствами CMS неправильно. Изолированность сайтов должна быть обеспечена средствами серверных настроек. Все остальные решения неверные.
А по поводу sql инъекций в админке — это давно известный факт. И мы много раз рекомендовали обезопасить админку средствами прав доступа к директориям apache или же выставив в админке в настройках доступ по ip. И на данный момент в админке есть sql ij уязвимости. Но для их реализации нужен админдоступ соответственно.

Если я правильно понял, то аудит заказывали как раз этой фирме.

Sonat
Нет, им мы ничего не заказывали, тот старый аудит выполнялся другим человеком. Присылали они багрепорты исключительно по своей инициативе.

так а всеже на какой версии эти уязвимости?

yury
1.10.3 по-видимому.

сейчас реальные проблемы это спам, который проскакивает время от времени на блоги и форум

letsgo
на последних версиях первой ветки спама быть не должно (т.к. полностью изменен алгоритм токенов регистрации, восстановления пароля и активации), либо он неавтоматический.

А все эти исследования имхо больше пиар.

letsgo
Не думал, что когда-то скажу тебе это, но ты прав, более того, они это особенно не скрывают.

Но, несмотря ни на что, нам и вам, пользователям, все это только на руку, за что им и спасибо.
#18 19 февраля 2015 в 19:53

нам и вам, пользователям, все это только на руку

Fuze
Нам же лишняя реклама не помешает, полностью согласен с вами. smile
#19 19 февраля 2015 в 20:39
Реклама должна быть ЗДОРОВАЯ и все понимать-что реклама -это правдивая, тогда люди сами потянутся
#20 19 февраля 2015 в 20:48

Реклама должна быть ЗДОРОВАЯ

Петрмаг
Петрмаг, знаешь как маркетологи говорят
не важно что о тебе говорят — лишь бы говорили
много народу и по сей день не слышало про инстант, а кто заинтересуется так в поиске есть куча другой разной инфы про инстант
Я про вп например читал, что тоже куча уязвимостей есть, и что теперь????
про ДЛЕ — так там тоже имеется куча того же…
#21 19 февраля 2015 в 21:51
А если скажут ты вор и убийца? Тоже реклама))) cryреклама должна быть в любом случае на позитивных эмоциях и вызывать жажду попробовать, а не настороженность из криминальной хроники- ну это я так в общем.
#22 19 февраля 2015 в 23:11
Наверняка почти в любой системе есть уязвимости — люди же пишут код.
А другие люди ищут как этот код взломать. hoho
#23 19 февраля 2015 в 23:15

Реклама должна быть ЗДОРОВАЯ и все понимать-что реклама -это правдивая, тогда люди сами потянутся

Петрмаг

В настоящее время разработчик InstantCMS устранил все обнаруженные нами уязвимости.

С хабра
Это как раз здоровая реклама, не так ли?))
Вы не можете отвечать в этой теме.
Войдите или зарегистрируйтесь, чтобы писать на форуме.
Используя этот сайт, вы соглашаетесь с тем, что мы используем файлы cookie.