🩹 «А был ли патчик? Или как долго живут уязвимости в Рунете» — доклад на PHDays

На протяжении года мы исследовали как быстро (или не очень) устраняются уязвимости в Рунете. В докладе Максима Пушкина — живые цифры по среднему «времени жизни» уязвимостей и выводы о том, какие категории ПО остаются наиболее уязвимыми.

Спойлер: даже актуальное, активно используемое ПО, может месяцами оставаться без обновлений (а уязвимости в нем будут цвести и пахнуть).

✔️ Зависит ли среднее время жизни уязвимости от того, опенсорсный продукт или нет?
✔️ Сколько нужно дней, чтобы обновить почтовый сервер?
✔️ Как активно обновляется GitLab?

Ответы на эти вопросы будут даны в ходе доклада. Приходите — расскажем, что на самом деле происходит с патчами.

🗓 23 мая
🕐 13:15
📍 Зал 16 «Эдисон»

🔮 «Предсказуемывай это! Анализируем интернет быстро, качественно, дешево» — доклад на PHDays

В своем докладе Сергей Гордейчик и Александр Рудаков поделятся с какими проблемами столкнулась компания CyberOK в ходе решения задач по сканированию больших сетевых пространств.

О чем доклад:
✔️ Как отсканировать рунеты за один день с одной машины без регистрации и смс.
✔️ Почему мы реализуем свои собственные инструменты для сканирования.
✔️ Как в 50 раз ускорить задачу детекта программного обеспечения.
✔️ Как собирать странички с веб-серверов и не потратить бюджет маленькой страны на дисковые хранилища.
✔️ Как использовать результаты сканирования для процедур рекона организаций.

Сканируй с нами, сканируй как мы, сканируй лучше нас! Приходи на доклад!

https://vk.com/video-28022322_456241524

🗓 24 мая
🕐 13:00
📍 Зал 24 «Шеннон»

⚠️ Критическая уязвимость в Yii 2 Framework (CVE-2024-58136)

В апреле 2025 года в популярном PHP-фреймворке Yii 2 была раскрыта критическая уязвимость CVE-2024-58136 с базовым баллом CVSS 9.0, активно используемая в реальных атаках начиная с февраля 2025 года.

Уязвимость представляет собой регрессию ранее исправленной CVE-2024-4990 и затрагивает механизм прикрепления поведений (behaviors) к компонентам через обработку class array key.

Проблема возникает в магическом методе set() класса yii\base\Component при обработке свойств, начинающихся с префикса "as ". Злоумышленник может обойти патч CVE-2024-4990, добавив свойство "class" с ссылкой на легитимный Behavior класс, что позволяет инстанцировать произвольные объекты и достичь удаленного выполнения кода (RCE).

🎯 Условия эксплуатации:
• Приложение должно принимать пользовательский ввод в формате JSON.
• Наличие эндпоинтов, обрабатывающих параметры с префиксом "as ".
• Доступность классов для инстанцирования в контексте приложения.

💥 Активная эксплуатация:
Уязвимость активно эксплуатируется в реальных атаках с февраля 2025 года, особенно в связке с CVE-2025-32432 для компрометации CraftCMS-инсталляций, о чем ранее сообщали специалисты СайберОК.

‼️ Рекомендации:
• Немедленно обновите Yii 2 до версии 2.0.52 или более поздней.
• Проверьте логи приложения на подозрительные запросы с параметрами "as ".
• Реализуйте дополнительную валидацию входных данных JSON.
• Ограничьте доступные для инстанцирования классы в конфигурации приложения
• Рассмотрите временное отключение динамического прикрепления поведений.

🔎 Фреймворк Yii 2 широко используется в корпоративных веб-приложениях. В подтверждение этому, на просторах Рунета СКИПА фиксирует около 5 тысяч уникальных инсталляций этого ПО.

Несмотря на то, что потенциально уязвимые версии ПО обнаружены на 45% хостов, в связи с дополнительными условиями, которые необходимы для успешной эксплуатации, мы оцениваем, что реально уязвимых сервисов существенно меньше.

‼️ Критическая уязвимость в Roundcube Webmail (CVE-2025-49113)

В популярной веб-почте Roundcube Webmail обнаружена критическая уязвимость CVE-2025-49113 с базовым баллом CVSS 9.9 из 10.0.

Эксплуатация уязвимости тривиальна, и мы уверены, что боевой эксплойт не заставит себя долго ждать.

На радарах СКИПА мы наблюдаем более 78 тысяч уникальных инсталляций с Roundcube Webmail на просторах Рунета, из которых около 85% оказались потенциально уязвимыми к CVE-2025-49113.

Уязвимость позволяет аутентифицированным пользователям выполнять произвольный код через PHP Object Deserialization.

Проблема заключается в отсутствии валидации параметра _from в URL-адресах, что происходит в файле program/actions/settings/upload.php. Это приводит к небезопасной десериализации PHP-объектов, позволяя злоумышленникам с действующими учетными данными выполнять удаленный код на сервере.

🎯 Затронутые версии:
• Все версии Roundcube Webmail до 1.5.10
• Версии 1.6.x до 1.6.11

💥 Особенности уязвимости:
Уязвимость была обнаружена исследователем Kirill Firsov из компании FearsOff, которая планирует опубликовать технические детали и proof-of-concept после предоставления пользователям достаточного времени для применения патчей.

Несмотря на то, что для эксплуатации требуется аутентификация, критический CVSS-балл обусловлен возможностью полной компрометации системы при успешной атаке.

‼️ Рекомендации:
• Немедленно обновите Roundcube Webmail до версий 1.6.11 или 1.5.10 LTS
• Проверьте логи веб-сервера на подозрительные запросы к /program/actions/settings/upload.php
• Ограничьте права загрузки файлов только доверенным пользователям
• Рассмотрите возможность временного отключения функций загрузки до обновления
• Проведите аудит всех установленных плагинов и расширений Roundcube

🔎 Roundcube Webmail широко используется хостинг-провайдерами и корпоративными инфраструктурами для предоставления веб-интерфейса электронной почты.

‼️ Уязвимость в SCADA-системе Пульт.онлайн — BDU:2025-01130

🔎 Исследователь СайберОК обнаружил 0-day уязвимость в SCADA-системе Пульт онлайн.

⚙️ Уязвимость связана с недостаточным ограничением попыток аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, реализовать атаку методом брутфорса.

📡 Несмотря на то, что SCADA-системы по своей природе не должны торчать в Интернет, мы регулярно встречаем компоненты АСУ ТП при сканировании — включая Пульт онлайн.

🎯 Затронутые версии: все до 3230
✅ Исправлено в версии: 3230 и выше

ℹ️ Уязвимости присвоен идентификатор:
• BDU:2025-01130

‼️ Рекомендации:
• Немедленно обновить систему до версии 3230.

🚨 0-day уязвимость в Apache Pinot — BDU:2025-04466

Исследователь СайберОК, Станислав Савченко, выявил 0-day уязвимость в OLAP-хранилище Apache Pinot (версии до 1.2.0). Уязвимость связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию путем отправки специально сформированного GET-запроса.

⛔️ Уязвимость подтверждена производителем и устранена в версии 1.2.0. Существует эксплойт.
• Класс: CWE-22 (Path Traversal)
• CVSS 3.1: 8.6 | CVSS 2.0: 7.8 — высокий уровень опасности

📊 В российском сегменте мы видим несколько активных уязвимых сервисов. В глобальном Интернет СКИПА отслеживает более 700 экземпляров ПО, всё ещё доступных из внешней сети.

💡 Рекомендуется обновление до версии Apache Pinot 1.2.0. В качестве временной меры — ограничить доступ к системе извне и использовать WAF.

Полезные ссылки
🔗 https://github.com/apache/pinot/pull/13124
🔗 https://github.com/apache/pinot/releases/tag/release-1.2.0

📝 Опыт участия в проекте «Киберустойчивый регион»

Как измерить защищенность целого региона?

Рассказали в новой статье о том, как компания СайберОК принимала участие в проекте «Киберустойчивый регион», запущенный на масштабах целого региона РФ.

Читать на Хабре 👈

🚨 Уязвимость в HostCMS — COK-2025-04-03

⚠️ Исследователь СайберОК — Алексей Седой — обнаружил XSS-уязвимость в Типографе текста HostCMS. Для проведения атаки требуются активные действия пользователя — однако, XSS можно эскалировать до RCE, внедрив вредоносный код в шаблон системы.

⚙️ На радарах СКИПА мы видим около 11 000 живых сервисов в РУ сегменте, 98% из которых могут быть подвержены уязвимости.

• CVSS 3.1: 1.1 (/AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:N/A:N) — низкий уровень опасности.

• Уязвимы все версии, включая 7.1.0 и ниже, где присутствует модуль Типограф.

• Идентификатор CyberOK: COK-2025-04-03

🛡 Вендор выпустил исправление без официального уведомления и CVE — уязвимость была устранена в коммите.

⚠️ Уязвимость в плагине Forminator для WordPress (CVE‑2025‑6463)

В июне 2025 года в популярном плагине Forminator Forms – Contact Form, Payment Form & Custom Form Builder обнаружена уязвимость CVE‑2025‑6463 с базовым баллом CVSS 8.8 (HIGH).

🔎 На радарах СКИПА мы наблюдаем более 8 тысяч уникальных инсталляций WordPress с Forminator на просторах Рунета, потенциально уязвимых к CVE‑2025‑6463.

Пользователи CyberOK СКИПА PentOps были своевременно уведомлены.

Проблема позволяет без авторизации удалять произвольные файлы на сервере, включая критические конфигурационные файлы WordPress, что может привести к удаленному выполнению кода (RCE).

Уязвимость кроется в функции entry_delete_upload_files. При удалении заявки плагин принимает на вход путь к файлу из параметров формы и без проверок удаляет указанный файл. Злоумышленник может передать путь к wp-config.php или любому другому ресурсу и вывести сайт из строя или перехватить управление.

🎯 Условия эксплуатации:
• Любой посетитель может отправить запрос на удаление формы с параметром пути к файлу.
• Процесс удаления срабатывает как вручную, так и через встроенные антиспам‑механизмы.
• Отсутствие валидации и ограничения каталога удаления.

💥 Активная эксплуатация по всему миру:
• Плагин установлен на более чем 600 000 сайтов WordPress по всему миру.
• По оценкам экспертов, из них около 400 000 ресурсов потенциально под угрозой.
• Фиксируются кейсы массового удаления wp-config.php и последующего захвата сайта.

‼️ Рекомендации:
• Немедленно обновите Forminator до версии 1.44.3 или выше.
• Проверьте логи на запросы удаления файлов за пределами /wp-content/uploads/.
• Временно отключите автоматическое удаление форм или ограничьте права.
• Внедрите WAF‑правила, блокирующие HTTP‑запросы с параметром пути к файлам.
• По возможности используйте дополнительные плагины безопасности (например, Wordfence) для проактивного мониторинга.

🚨 Уязвимость в vBulletin — BDU:2025-04734

⚠️ Исследователь СайберОК Алексей Седой совместно с коллегой KurandX из комьюнити выявил уязвимость в vBulletin — коммерческой платформе для создания форумов и онлайн-сообществ.

📡 СКИПА отслеживает около 1700 живых инстансов vBulletin, из которых более 1300 были уязвимы на момент выявления. В текущее время количество уязвимых снизилось до 200+.

Клиенты СайберОК СКИПА PentOps были уведомлены об уязвимости 15 апреля.

Уязвимость затрагивает старые версии vBulletin (3.x – 4.2.x) и связана с устаревшим модулем /forumrunner/, который часто остаётся активным даже после обновлений — особенно в случае использования лицензионной версии с автоматическим апдейтом через скрипт.

🧱 CVSS 3.1: 6.4 — средний* уровень опасности.

* Формально риск средний, но фактически приближается к High — эксплойт позволяет обойти HttpOnly и получить все cookie в контексте *.domain.com.

🧩 Проблемный скрипт:

/forumrunner/image.php?url=

⛔️ Параметр url подвержен SSRF-атаке, а также может быть использован для перехвата cookie-файлов пользователей. Важно: выполнение происходит со стороны PHP, без участия клиента.

🧪 Ранее в рамках bug bounty мы подтвердили эксплуатацию уязвимости на реальном ресурсе: при модерации сообщения с внедрённым внешним изображением происходила отправка всех сессионных cookie на домен злоумышленника, включая авторизационные токены.

💳 Идентификаторы
• BDU:2025-04734
• COK-2025-04-04

🔧 Мы подготовили фикс (сделано для версии 4.2.3) — прикрепляем в аттаче.