События

Накануне отзыва сертификатов Symantec по вине Trustico сайт Trustico.com ушел в offline

В четверг, 28 февраля, в Twitter была опубликована информация о примитивной, легко эксплуатируемой уязвимости на сайте реселлера HTTPS-сертификатов Trustico. Вскоре после публикации сайты компании и ее партнера SSL Direct ушли в offline и выдавали ошибку 503 (очевидно, оба сайта использовали в качестве хостинга один и тот же сервер).

Уязвимость на Trustico.com позволяла злоумышленникам выполнять произвольные команды на хостинговом сервере. Из-за отсутствия надлежащей проверки входных данных атакующие могли добавить в web-форму особым образом сконфигурированные команды в виде URL и запустить их на атакуемой системе под управлением Linux с правами суперпользователя. То есть, любой, кто обнаружил бы и проэксплуатировал уязвимость, смог бы получить контроль над web-сервером.

В Twitter информацию об уязвимости опубликовал сербский исследователь Предраг Куянович (Predrag Cujanović). По словам исследователя, он нашел подробности о ней в интернете и просто выложил их на своей странице в соцсети. «Какая-либо защита отсутствовала, и я не увидел никакой чувствительной информации», - отметил Куянович.

Директор Trustico Зэйн Лукас (Zane Lucas) сообщил изданию The Register, что хостинговый сервер не связан с системами, содержащими данные клиентов компании, а уязвимым web-приложением является инструмент для проверки сертификатов сайтов, а не сервис, использующий данные клиентов. Сайт был отключен на время проведения расследования инцидента.

Напомним , на этой неделе Trustico оказалась в центре скандала, связанного с массовым отзывом цифровых сертификатов. Лукас отправил по электронной почте 23 тыс. закрытых ключей удостоверяющему центру DigiCert, выпускающему SSL/TLS-сертификаты под торговой маркой Symantec. Согласно существующим правилам, УЦ был вынужден отозвать скомпрометированные сертификаты.

Ранее DigiCert принадлежал Trustico, однако затем был продан. В середине прошлого месяца Trustico перестала продавать сертификаты Symantec и в будущем займется продажей сертификатов Comodo. Данный шаг связан с тем, что в нынешнем году Google Chrome и Mozilla Firefox будут автоматически отклонять SSL/TLS-сертификаты, выпущенные под торговой маркой Symantec.

Источник

Автор: Сергей Куприянов
2.03.2018 (15:13)
Пройди тест и узнай об этом!
Информер новостей
Расширение для Google Chrome
Пишите нам

Редакция: info@alterprogs.ru

Реклама: adv@alterprogs.ru

Все права защищены © 2010-2020

"Alterprogs.ru" - технологии будущего

Контакты  | Карта сайта

Использование любых материалов, размещенных на сайте, разрешается при условии ссылки на alterprogs.ru. Для интернет-изданий - обязательна прямая открытая для поисковых систем гиперссылка. Ссылка должна быть размещена в независимости от полного либо частичного использования материалов. Материалы в рубрике "Новости партнеров" публикуются на правах рекламы.