Hejto.pl
Dodaj post

Wpisz coś do wyszukania (minimum 2 znaki)

Wpis użytkownika 30ohm w Hydepark

GURU

w Hydepark

24

Grubo. PHP opublikuje dzisiaj (21 października) informację o 2 krytycznych podatnościach mających 22 lata.

❌ Team PHP zaleca przygotowanie się do łatania i zaaplikowanie łatki ASAP

❌ Zastrzegają też, że mogą wypuścić łatkę wcześniej jeśli dostrzegą znaki publicznej eksploitacji lub info o podatności wycieknie wcześniej

❌ Krążą informacje, że są to podatności w PHP core oraz, że dają RCE bez uwierzytelnienia (zdalny dostęp na serwer).

Podatne wszystkie wersje od 5.0, poprawki będą tylko dla 8.x. ale będzie pogrom.

Duże znane serwisy na php to np. fb i wypok

Komentarze (14)

Osobistość1

@30ohm Może na ludziach piszących w PHP robi to wrażenie. Jeśli utrzymuje się apki w NextJS to takie krytyczne podatności to wychodzą przynajmniej raz w miesiącu od jakiegoś czasu xD. Są już przygotowane całe skrypty które skanują serwer szukając którejś z tych podatności. Jak przeglądam logi z VPSów które utrzymuje to codziennie mam setki jak nie tysiące requestów próbujących którejś z dziur. Ale jeśli wasze apki stoją na Vercelu to ludzie od Vercela stają na głowie byle by tylko blokować wszelkie takie requesty nawet bez łatek (ale i tak polecam jednak aktualizować xd).

GURU1

@Catharsis z PHP jest ten problem że jak ktoś napisał gowno kod 20 lat temu to będzie działał do tej pory. Dodatkowo rakowi usługodawcy hostingu nie potrafią powiedzieć klientom dość i mają stare wersję silnika z dodanymi patchami. Druga sprawa część ma kompletnie wyjebane na aktualizację. Bierzemy teraz taką dziurę plus gowno stronę plus źle skonfigurowany serwer i jest botnet

Gruba ryba7

AI poprawia jakość kodu. Jakiś czas będziemy żyć w niespokojnych czasach, aż załatamy większość podatności.

Fenomen1

@Fulleks

Wyslij note informacyjna fo Bialego Domu, ze Amerykanie nie maja oligopolu co do swoich AI I wcale nie probuja przepchnąć chinczykom zajebanych odpowiedzi treningowych zeby zle nauczyc tamten model kodowania by tworzył wektory ataku. Przecież to sie kurwa prosi o to.

Fenomen1

@Fulleks Hmm, gdyby tylko istniało cos takiego jak oligopol...

Ale latwo jest odrzucić błotem niz sprawdzić xD

Jeśli lubisz teorie spiskowe, to Fundacja Nautilus moze Ci ich dostarczyć az nadto.

Osobistość0

Wyczekuję jakiegoś opracowania, ale póki poprawka się nie rozprzstrzeni to nikt nie chce puścić pary z ust. Podobno działa na wszystkim, co ma jakikolwiek formularz na stronie. Brzmi świetnie.