Всем привет!
Нам поступила достаточно важная новость об уязвимости в платформе Битрикс — 10 из 10 по шкале опасности!

В CMS 1С-Битрикс: Управление исправлена критическая узявимость модуля landing с оценкой CVSS: 10/10.

Уязвимости подтверждены все версии ПО до 23.850.0. Она вызвана проблемами синхронизации при использовании общего ресурса.

Эксплуатация может позволить нарушителю, действующему удалённо, выполнить команды ОС на уязвимом узле, получить контроль над ресурсами и проникнуть во внутреннюю сеть.

1С-Битрикс достаточно оперативно смога выпустить исправления, но напрочь позабыв, видимо, уведомить своих клиентов.

Пользователям рекомендуется как можно скорее обновиться до актуальных версий, а также ограничить доступ с определенных адресов для модулей управления.

Оператор ответит на вопросы: @CheapBitrix
Всегда ваш — #Доступный_Битрикс #Уязвимости_Битрикс

Всем привет!
И снова очень важные новости в сфере безопасности… Пора срочно обновляться!

В Битрикс24 v22.0.300 обнаружены многочисленные уязвимости повышенной опасности. К ним относятся удаленное выполнение команд, межсайтовый скриптинг, подмена прототипов, небезопасный доступ к файлам и отказ в обслуживании.

🔗 CVE-2023-1713 (RCE) November 1, 2023 — Удаленное выполнение команд (RCE) в Битрикс24 через небезопасное создание временных файлов.

Небезопасное создание временных файлов в файле bitrix/modules/crm/lib/order/import/instagram.php в Битрикс24 22.0.300, размещенном на HTTP-сервере Apache, позволяет удаленным аутентифицированным злоумышленникам выполнить произвольный код через загрузку созданного файла ".htaccess".

🔗 CVE-2023-1714 (RCE) November 1, 2023 — Удаленное выполнение команд (RCE) в Битрикс24 через небезопасное извлечение переменных.

Небезопасное извлечение переменных в файле bitrix/modules/main/classes/general/user_options.php в Битрикс24 22.0.300 позволяет удаленным аутентифицированным злоумышленникам выполнить произвольный код через (1) добавление произвольного содержимого в существующие PHP-файлы или (2) десериализацию PHAR.

🔗 CVE-2023-1715 (XSS) November 1, 2023 — (CVE-2023-1715 & CVE-2023-1716) Bitrix24 Stored Cross-Site Scripting (XSS) via Improper Input Neutralization on Invoice Edit Page.

(CVE-2023-1715): Логическая ошибка при использовании функции mb_strpos() для проверки потенциальной XSS полезной нагрузки в Битрикс24 22.0.300 позволяет злоумышленникам обойти XSS-санитарию путем размещения HTML-тегов в начале полезной нагрузки. (CVE-2023-1716): Межсайтовая скриптинговая (XSS) уязвимость в странице редактирования счетов-фактур в Битрикс24 22.0.300 позволяет злоумышленникам выполнить произвольный JavaScript-код в браузере жертвы и, возможно, выполнить произвольный PHP-код на сервере, если жертва имеет привилегии администратора.

🔗 CVE-2023-1717 (XSS) November 1, 2023 — Межсайтовый скриптинг (XSS) в Битрикс24 через уязвимость прототипа на стороне клиента

Загрязнение прототипов в bitrix/templates/bitrix24/components/bitrix/menu/left_vertical/script.js в Битрикс24 22.0.300 позволяет удаленным злоумышленникам через загрязнение __proto__[tag] и __proto__[text] выполнить произвольный JavaScript-код в браузере жертвы и, возможно, выполнить произвольный PHP-код на сервере, если жертва обладает привилегиями администратора.

🔗 CVE-2023-1718 (DoS) — Bitrix24 Denial-of-Service (DoS) via Improper File Stream Access

Некорректный доступ к файловому потоку в файле /desktop_app/file.ajax.php?action=uploadfile в Битрикс24 22.0.300 позволяет неаутентифицированным удаленным злоумышленникам вызвать отказ в обслуживании с помощью созданного "tmp_url".

🔗 CVE-2023-1719 (IDOR) — Небезопасное извлечение глобальных переменных в Битрикс24

Извлечение глобальных переменных в файле bitrix/modules/main/tools.php в Битрикс24 22.0.300 позволяет неавторизованным удаленным злоумышленникам (1) перечислить вложения на сервере и (2) выполнить произвольный JavaScript-код в браузере жертвы, а также, возможно, выполнить произвольный PHP-код на сервере при наличии привилегий администратора, путем перезаписи неинициализированных переменных.

Всегда ваш — #Доступный_Битрикс #Безопасный_Битрикс #Уязвимости_Битрикс

Привет подписчики!

#Беллютень_безопасности_битрикс! #bitrix

В PHP точки, пробелы и "[" в именах запросов автоматически переименовываются в нижнее подчеркивание. А "+" в пробел. Это позволяет обходить некоторые фильтрации на уровне веб-сервера или WAF.

Например, с помощью конфигурации nginx закрыли доступ к админке из интернета, но есть фича с Bitrix, где можно переписать путь к которому мы обращаемся через параметр:

/pewpew/?SEF_APPLICATION_CUR_PAGE_URL=/bitrix/admin/

Если кто-то предусмотрел такую возможность, то можно поиграть с следующими именами:

/pewpew/?SEF_APPLICATION_CUR_PAGE_URL=/bitrix/admin/
/pewpew/?SEF%20APPLICATION%20CUR%20PAGE_URL=/bitrix/admin/
/pewpew/?SEF.APPLICATION%20CUR+PAGE[URL=/bitrix/admin/

PoC

Добавляем правила закрытия таких вариаций в .htccess

В файле .htaccess вы можете использовать правила RewriteCond и RewriteRule для настройки правил авторизации для конкретных URL-ов. Например, следующий код добавляет проверку для URL-ов, содержащих "/pewpew/" и "/bitrix/admin/":

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /

# Правило для /pewpew/?SEF_APPLICATION_CUR_PAGE_URL=/bitrix/admin/
RewriteCond %{QUERY_STRING} ^SEF_APPLICATION_CUR_PAGE_URL=/bitrix/admin/ [NC]
RewriteRule ^pewpew/$ - [F]

# Правило для /pewpew/?SEF%20APPLICATION%20CUR%20PAGE_URL=/bitrix/admin/
RewriteCond %{QUERY_STRING} ^SEF\%20APPLICATION\%20CUR\%20PAGE_URL=/bitrix/admin/ [NC]
RewriteRule ^pewpew/$ - [F]

# Правило для /pewpew/?SEF.APPLICATION%20CUR+PAGE[URL=/bitrix/admin/
RewriteCond %{QUERY_STRING} ^SEF\.APPLICATION\%20CUR\+PAGE\[URL=/bitrix/admin/ [NC]
RewriteRule ^pewpew/$ - [F]
</IfModule>


Этот код блокирует запросы к URL-ам, содержащим "/pewpew/" и имеющим параметры запроса, совпадающие с вашими шаблонами для авторизации.

Обратите внимание, что файл .htaccess желательно хранить именем владельца root.

Кроме того, резервные копии .htaccess всегда рекомендуется делать перед внесением изменений.

Если кто-то сомневается в своих способностях администрирования, обращайтесь в нашу техподдержку, мы поможем вас защитить от простых взломов.

С уважением, всегда ваш, #Доступный_Битрикс #Уязвимости_Битрикс #Безопасный_Битрикс #bitrix

Всем привет!

CVE-2023-6246: срочно обновите Linux, пока хакеры не взломали вашу систему

☠️ В системной библиотеке GNU C (glibc) обнаружена критическая уязвимость локального повышения привилегий, позволяющая получить root-права. Ошибка затрагивает Debian, Ubuntu, Fedora в конфигурациях по умолчанию.

👀 Уязвимость связана с функцией "__vsyslog_internal()" в glibc, предназначенной для записи в системные логи, и позволяет запускать произвольный код от имени привилегированного пользователя. Недостаток был введен в версию 2.37 библиотеки.

🔐 Помимо CVE-2023-6246, исследователи обнаружили в glibc и другие опасные уязвимости, а также отмечают, что подобные проблемы неоднократно находили в ПО Linux. Это подчеркивает важность соблюдения мер безопасности при разработке ПО.

#уязвимость #linux #хакеры #данныевопасности

С уважением, всегда ваш, #Доступный_Битрикс #Уязвимости_Битрикс #Безопасный_Битрикс #bitrix