Ommabop jQuery plaginidagi zaiflik tajovuzkorlarga veb-serverlarni nazorat qilish imkonini beradi.

Muammo hujumchilar tomonidan kamida uch yil davomida faol ravishda foydalanilib kelinmoqda.

Kiberjinoyatchilar mashhur jQuery File Upload plaginidagi zaiflikdan zararli fayllarni kiritish va serverlar boshqaruvini egallab olish uchun faol foydalanmoqda. Nemis ishlab chiqaruvchisi Sebastian Tschan tomonidan yaratilgan plagin va uning filiallari (7,8 mingdan ortiq), shuningdek Blueimp nomi bilan ham tanilgan, juda ko’p loyihalarda, xususan CMS, CRM tizimlari, WordPress plaginlari, Drupal plaginlari, Joomla komponentlari va boshqalarda qo’llaniladi. naqd dollar). Uning so‘zlariga ko‘ra, muammo kamida 2015-yildan beri kiberjinoyatchilar tomonidan faol ravishda qo‘llanila boshlandi. Zaiflik (CVE-2018-9206) plaginning 9.22.1 dan oldingi barcha versiyalariga ta’sir qiladi. JQuery File Upload dasturini ishlab chiquvchisi oʻzining tahlilini oʻtkazdi, bu esa haqiqatda zaiflik dasturning manba kodi bilan bogʻliq emas, balki 2010-yilda Apache Web Server loyiha jamoasi tomonidan kiritilgan oʻzgartirish bilan bogʻliqligini aniqladi, bu esa plaginning Apache serverlarida ishlashiga bilvosita taʼsir koʻrsatdi. Gap 2010 yil noyabr oyida chiqarilgan Apache HTTP Server 2.3.9 versiyasi haqida ketmoqda, u .htaccess fayllari orqali ochilgan alohida papkalarda foydalanuvchi sozlamalarini e’tiborsiz qoldirish imkoniyatini taqdim etdi. Ushbu parametr Apache HTTP Server 2.3.9 va keyingi versiyalarida sukut bo’yicha yoqilgan.

Blueimp plaginning dastlabki chiqarilishidan bir necha kun oldin kiritilgan o’zgarishlardan bexabar bo’lgani uchun, fayllarni yuklash papkasi uchun xavfsizlik cheklovlarini o’rnatish uchun maxsus .htaccess faylidan foydalanadigan kodda ularni hisobga olmadi. Muammo jQuery File Upload 9.22.1 da hal qilindi.

Cashdollar GitHub-da mavjud bo’lgan 7,8 ming jQuery File Upload vilkalarining 1 mingtasini sinovdan o’tkazdi va ulardan faqat 36 tasida zaiflik yo’qligini aniqladi. Ilovalarni zaifliklar va PoC kodini tekshirish vositasi GitHub’da nashr etilgan.