الإبلاغ عن ثغرة أمنية في منصة التدوين Hashnode ,كشف الباحثون عن ثغرة في تضمين ملف محلي (LFI) غير موثق سابقًا في Hashnode ، وهو نظام تدوين موجه للمطورين ، يمكن إساءة استخدامه للوصول إلى بيانات حساسة مثل مفاتيح SSH وعنوان IP الخاص بالخادم ومعلومات الشبكة الأخرى.
قال باحثو Akamai في تقرير تمت مشاركته مع The Hacker News: “ينشأ LFI في ميزة استيراد التخفيضات المجمعة التي يمكن التلاعب بها لتزويد المهاجمين بقدرة غير معوقة على تنزيل الملفات المحلية من خادم Hashnode”.
تحدث عيوب تضمين الملف المحلي عندما يتم خداع تطبيق ويب لفضح أو تشغيل الملفات غير المعتمدة على الخادم. مما يؤدي إلى اجتياز الدليل. والكشف عن المعلومات. وتنفيذ التعليمات البرمجية عن بُعد. وهجمات البرمجة النصية عبر المواقع (XSS).
قد يكون للعيب. الناجم عن فشل تطبيق الويب في تعقيم المسار بشكل كافٍ إلى ملف تم تمريره كمدخلات. تداعيات خطيرة حيث يمكن للمهاجم الانتقال إلى أي مسار على الخادم والوصول إلى المعلومات الحساسة. بما في ذلك / etc / passwd ملف يحتوي على قائمة بالمستخدمين على الخادم.
مسلحين بهذا الاستغلال. قال الباحثون إنهم تمكنوا من تحديد عنوان IP ومفتاح الصدفة الآمنة (SSH) المرتبط بالخادم.
بينما تمت معالجة الثغرة الأمنية منذ ذلك الحين. تأتي النتائج في الوقت الذي قال فيه Akamai إنه سجل أكثر من خمسة مليارات هجوم LFI بين 1 سبتمبر 2021 و 28 فبراير 2022. وهو ما يمثل زيادة بنسبة 141٪ عن الأشهر الستة السابقة.
وقال الباحثون إن “هجمات LFI هي وسيلة هجوم يمكن أن تسبب أضرارًا جسيمة لمنظمة ما. حيث يمكن للجهة الفاعلة في التهديد الحصول على معلومات حول الشبكة للاستطلاع في المستقبل”.
الإبلاغ عن ثغرة أمنية في منصة التدوين Hashnode ,اذا وجدت هذه المقالة مثيرة للاهتمام؟ تابعً على Facebook لقراءة المزيد من المحتوى الحصري الذي ننشره.