Adam Bannister

20 juillet 2020 à 12h30 UTC

Mis à jour: 21 juillet 2020 à 14h06 UTC

Les webmasters ont demandé instamment que le constructeur de site basé sur PHP soit mis à jour dès que possible

Dans le cas d'une faille de sécurité critique dans MicroWeber CMS, des mots de passe d'administrateur faciles à déchiffrer ont été divulgués

Une sécurité critique vulnérabilité Des informations d’identification d’administrateur faciles à déchiffrer et une variété d’autres informations utilisateur ont été publiées dans Microweber, le système de gestion de contenu (CMS) open source.

Les mots de passe utilisés pour accéder au CMS sont immédiatement hachés avec bcrypt. « Cependant, ces hachages peuvent être piratés avec Hashcat dans la configuration standard afin qu’un attaquant puisse obtenir des mots de passe d’administrateur », a déclaré Hunter Stanton, testeur de pénétration chez Rhino Security Labs.

Les administrateurs Web sont invités à mettre à jour leurs versions de microweber dès que possible après que l’équipe derrière le CMS basé sur PHP ait corrigé le bogue.

Microweber a été téléchargé plus de 71000 fois [non-HTTPS link] depuis le lancement de la plateforme en 2015.

Dump et révéler

L’erreur de pré-authentification (CVE-2020-13405) a été trouvé dans le script qui, selon un développeur de microweber, était « un vestige des premiers jours du développement du microweber », a déclaré Stanton.

Le script exécute la fonction «  Dump and Die  » de Laravel dans la base de données utilisateur, qui génère tout le contenu des variables PHP en HTML avant que l’exécution du script ne soit arrêtée, a expliqué le chercheur dans un entrée de blog publié le 16 juillet.

br>

VOUS POURRIEZ AUSSI AIMER L’équipe de sécurité de GitHub trouve un bogue RCE dans la célèbre bibliothèque de journal des modifications Noje.js

La faille peut être exploitée sans authentification en envoyant la requête POST au point de terminaison.

Cela exécutera le script qui générera l’utilisateur entier Base de données en réponse.

Les scripts PHP sont utilisés pour donner aux administrateurs Web la possibilité de personnaliser le CMS en connectant leurs propres scripts ou en modifiant ceux existants.

Vous pouvez utiliser des modules standard ou écrire vos propres modules pour exécuter des fonctions telles que l’incorporation de tweets ou l’ajout d’un utilitaire de recherche.

‘Gemme cachée’

Stanton a expliqué pourquoi il a commencé à enquêter sur le constructeur de sites Web par glisser-déposer pour détecter les bogues La gorgée quotidienne: «J’étais en train de parcourir une liste de programmes CMS open source sur GitHub lorsque j’ai trouvé Microweber.

«Très peu de failles de sécurité ont été trouvées pour les micro-tisserands dans le passé et je soupçonnais que c’était un ‘joyau caché’.

Le chercheur a déclaré qu’il n’avait trouvé aucune preuve que la vulnérabilité était exploitée dans la nature, même s’il ne recherchait pas activement des signes d’abus du bogue.

En savoir plus sur les dernières nouvelles sur la sécurité des logiciels open source

Rhino Security Labs basé à Seattle Tests de pénétration La société a annoncé la vulnérabilité des micro-tisserands le 27 avril.

Le mainteneur a confirmé la vulnérabilité le 22 mai et a publié Microweber 1.1.20 le 22 juin, qui sera supprimé du code source.

Stanton a déclaré que c’était un plaisir de travailler avec l’équipe des micro-ondes.

« Je prévois de faire plus de recherches sur les micro-ondes à l’avenir », a-t-il déclaré. La gorgée quotidienne.

« Microweber a été très réactif à la divulgation et a été très agréable de travailler avec lui pour la corriger. »

La gorgée quotidienne a contacté l’équipe microweber pour plus de détails.

CONTINUER LA LECTURE Le plugin d’authentification à deux facteurs Django a enregistré les mots de passe en texte clair



Source link

Recent Posts