В системе управления контентом Drupal присутствует ряд уязвимостей, позволяющих выполнить код и украсть идентификаторы к базе данных посредством атаки “человек посередине”, сообщает “Лаборатория Касперского”.
По словам Фернандо Арнабольди (Fernando Arnaboldi), старшего ИБ-эксперта IOActive, эти бреши связаны с обработкой обновлений Drupal. В своем посте исследователь рассматривает три таких бага; один из них существовал в том или ином виде годами, два другие были преданы гласности на этой неделе.
Причиной первой, самой давней уязвимости является отсутствие шифрования обновлений CMS в процессе передачи, а также проверки их аутентичности при получении. Чтобы воспользоваться этой брешью, злоумышленник должен находиться в той же сети и провести MitM-атаку.
