14/04/22
В конце прошлой недели на странице Twitter, связанной с хакерской группой BlueHornet, появилась информация об уязвимости в ПО для аутентификации пользователей NGINX LDAP. По словам хакеров, они подготовили экспериментальный эксплоит для NGINX 1.18.
«Протестировав его (эксплоит – ред.), мы выяснили, что к нему уязвим целый ряд компаний и корпораций», – сообщили BlueHornet.
Как пояснили хакеры, эксплуатация уязвимости проходит в два этапа. Первый этап – LDAP-инъекция (тип атаки на web-приложения, предусматривающий создание операторов LDAP на основе вводимых пользователями данных).
По словам BlueHornet, группа намеревалась сообщить о своем открытии команде безопасности Nginx через bug bounty-платформу HackerOne. Позднее была создана GitHub-страница с подробными объяснениями эксплуатации уязвимости.
Группа заявила, что уязвимость затрагивает конфигурации NGINX по умолчанию и раскритиковала разработчиков за то, что они никак не отреагировали на ее сообщение. Если верить хакерам, они протестировали свой эксплоит на системах «Королевского банка Канады», однако, были ли они взломаны, неизвестно. Позднее группа также сообщила о взломе систем китайского представительства компании UBS Securities.
В понедельник, 11 апреля, разработчики NGINX опубликовали заявление касательно уязвимости и отметили, что она затрагивает только эталонные реализации, но не NGINX Open Source и NGINX Plus.
Как пояснили в компании, эталонные реализации подвержены уязвимостям в трех случаях: если для конфигурации демона использовались параметры командной строки; применяются опциональные параметры конфигурации; аутентификация LDAP зависит от конкретного членства в группе. Для всех трех случаев были разработаны методы защиты от эксплуатации уязвимости.
