En sikkerhedsekspert har opdaget en jQuery File Upload Plugin Zero-Day Sårbarhed, der giver hackere at misbruge tusindvis af sider. Fejlen blev annonceret til offentligheden sammen med, at dette plugin som vedtaget af mange tjenester og platforme.
CVE-2018-9206: Den jQuery File Upload Plugin Zero-Day Sårbarhed Kan nemt misbrugt af hackere
Den nylige annoncering af en jQuery File Upload Plugin zero-day sårbarhed er skabt overskrifter på tværs både almindelige computerbrugere og specialiserede fællesskaber. Grunden til dette er, at mange online-tjenester, sites og platforme bruge denne komponent. Ifølge offentliggjort rapport af sikkerhedsekspert pakken er aktivt udnyttes af hackere i hele verden.
Den jQuery File Upload er en af de mest udbredte jQuery widgets som giver brugerne mulighed for at uploade filer til den respektive hjemmeside - flere valg fil er mulig, sideløbende træk & droppe støtte. Dette plugin gør det også muligt at visualisering af statuslinjer, validering og forhåndsvisning skærme, samt multimedie afspilning af både lyd- og videoindhold. Dette plugin bruges på tværs af alle former for miljøer og platforme, som gør den instans meget farlig.
Dette plugin har vist sig at placere to filer, der er placeret i “filer” mappe i roden sti til web-serveren. Som en effekt af denne hackere kan uploade malware scripts og køre kommandoer på offeret værter. Derfor hvert websted, der bruger unpatched versioner af jQuery filoverførsel Plugin påvirkes. En hurtig søgning på internettet viser, at der er mange tutorials, how-to videoer og selv indspillet demonstrationer på undervisning ondsindede aktører hvordan til at udføre angreb.
Sikkerheden forsker bemærker, at jQuery adfærd er forbundet med den måde, Apache webserver håndterer fil operationer. Den udstedte CVE-2018-9206 rådgivende når implementeret tillader kun fil uploads at være af “billede” indholdstype. Dette forhindrer shell scripts og andre potentielt farlige filer, der skal uploades eller drevet af serveren. Den fulde ordlyd af det rådgivende er følgende:
File Upload widget med flere valg fil, drag&droppe støtte, statuslinje, validering og preview billeder, lyd og video til jQuery. Understøtter cross-domæne, chunked og reaktiverede fil uploads. Arbejder med alle server-side-platform (Google App Engine, PHP, Python, Ruby on Rails, Java, etc.) der understøtter standard HTML formular fil uploads.
Martin Beltov
Martin dimitterede med en grad i Publishing fra Sofia Universitet. Som en cybersikkerhed entusiast han nyder at skrive om de nyeste trusler og mekanismer indbrud.
Følg mig: