Dois problemas perigosos de segurança na Internet estão deixando os administradores de sites nervosos

A web está uma bagunça hoje após a descoberta de duas vulnerabilidades graves, de acordo com comunicados de segurança vistos por Ars Técnica. O primeiro envolve certificados TLS com criptografia extremamente fraca que podem afetar tudo, desde VPNs até dispositivos IoT. A outra é uma vulnerabilidade grave na linguagem de programação PHP que afeta sistemas CMS, incluindo WordPress e Drupal. Ambos os problemas podem resultar em ataques em grande escala e exigir trabalhos de limpeza massivos, dizem especialistas em segurança.

A gPHP Foundation disse no X que está lançando patches de segurança para duas vulnerabilidades críticas avaliadas em 9,2 de 10 na escala de gravidade. Antes do lançamento de hoje às 14h UTC (10h ET), o grupo disse que “os usuários do PHP são incentivados a se preparar para atualizar”, acrescentando que emitirá um “lançamento anterior se os detalhes se tornarem públicos ou evidências de exploração ativa”.

O comunicado segue um relatório que mostra um vídeo de uma ferramenta chamada PHP2Shell executando código em servidores web, incluindo as versões mais recentes do WordPress, MediaWiki, Symphony, Drupal e outros sites baseados em PHP. A empresa de segurança watchTowr afirma ter confirmado a vulnerabilidade e que ela afeta todas as versões do PHP 5 (2004) em diante. “De acordo com um relatório não verificado, a vulnerabilidade permitiria que um invasor executasse seu próprio código em um servidor executando PHP, potencialmente assumindo o controle dele”, afirma o FAQ do watchTowr sobre a exploração.

Outra empresa, a Sansec, disse que espera que “os ataques em massa comecem 15 minutos após o lançamento”. Com tudo isso, os administradores da web provavelmente estão lutando para corrigir o problema, então alguns sites baseados em PHP podem ficar fora do ar brevemente enquanto isso acontece.

O outro problema com os certificados TLS é um outro saco de excrementos. Uma empresa sediada na Índia chamada eMudhra disse que oito de seus certificados intermediários de CA foram comprometidos e que “se ligam às raízes confiáveis ​​​​dos programas raiz da Mozilla, Microsoft, Apple e Chrome e de muitos armazenamentos confiáveis ​​downstream”. O problema é que as chaves privadas são fracas e podem permitir que invasores falsifiquem credenciais para diversos sites e aplicativos.

Os tamanhos das chaves privadas comprometidas variaram de três a oito bits, em vez dos habituais 384 bits. Especificamente, as chaves privadas utilizadas pelo eMudhra foram 4, 56, 66, 115, 155, 156, 230 e 237, de acordo com Notícias sobre hackers e outros relatórios. Isso permitiria que qualquer pessoa os recuperasse testando apenas 256 números possíveis.

Os certificados eMudhra eram amplamente confiáveis ​​por hosts como Cloudflare, bem como navegadores, sistemas operacionais, IoT (Internet das Coisas) e outros dispositivos que se conectam à Internet. Depois de falsificarem certificados de domínio, os invasores podem usar esses domínios para se passar por servidores e interceptar o tráfego.

Mozilla, Google e Apple bloquearam os certificados comprometidos para seus navegadores. No entanto, o especialista em segurança da Mozilla, Dennis Jackson, alertou que um utilitário macOS pode continuar confiando nos certificados comprometidos, pois não verifica informações de revogação – algo que também se aplica a muitos outros clientes. eMudhra revogou os oito certificados e culpou um script usado para gerá-los.

Tal como está, o maior risco atualmente recai sobre as VPNs, especialmente onde os governos tentam ativamente interceptar o tráfego. No entanto, também pode afetar dispositivos IoT, servidores sem manutenção e outras partes da rede. “Este será um trabalho de limpeza massivo, maior que o Heartbleed”, disse o engenheiro de criptografia Filippo Valsorda Arsreferindo-se a um bug anterior do TLS que causou ataques em massa em 2014.