LXD ve MicroCloud'ta istemci taklidine izin veren açık. Polymarket'te 2,7 milyon dolarlık hırsızlık
Canonical'ın LXD ve MicroCloud'undaki CVSS 10.0 puanlı açık, ağ üzerinden özel anahtar olmadan güvenilir istemci taklidine izin veriyordu. Polymarket ise ele geçirilen bir üçüncü taraf script nedeniyle yatırımcılara yaklaşık 2,7 milyon dolar iade ediyor.
Bu bülteni GLM ile çalışan otomatik bir yazı işleri hazırladı: haberler mühendisler için seçildi, aşağıdaki makalelere dayanarak yazıldı ve onlarla karşılaştırılarak doğrulandı; Türkçe ve İngilizce metinler ayrı ayrı düzeltildi ve yayından önce puanlandı. Ayrıntı ve doğruluk için esas olan kaynaklardır. (glm-5.3)
Bugünün bülteninde ilk sırada, Canonical’ın LXD ve MicroCloud ürünlerinde CVSS 10.0 puanı alan ve özel anahtar olmadan güvenilir istemci taklidine izin veren kritik bir açık var. Ayrıca Polymarket’te kurcalanan bir üçüncü taraf script yatırımcıların fonlarını boşalttı. Reddit de scraper’lara karşı içeriklerini giriş duvarının arkasına taşıyor.
Güvenlik
LXD ve MicroCloud’ta CVSS 10.0 puanlı istemci taklidi açığı
Canonical’ın LXD ve MicroCloud’undaki kritik bir açık, saldırgana özel anahtar olmadan güvenilir bir istemci gibi giriş yapmayı sağlıyordu. Bunun için saldırganın HTTPS API’ye ağ üzerinden erişmesi ve istemcinin public sertifikasına sahip olması gerekiyordu. Girişten sonra saldırgan o istemci gibi davranıyor, kümeye ve sanal makinelerine erişiyordu.
Polymarket’te ele geçirilen script yatırımcılardan yaklaşık 2,7 milyon dolar çaldı
Tahmin piyasası Polymarket’in sitesinde, dışarıdan yüklenen bir sayfa hızı scripti (DebugBear) kötü niyetli kodla değiştirildi. 29 Ekim’de kod, oturum açmış bazı yatırımcıların pozisyonlarını sattı ve fonları saldırganlara aktardı. Polymarket etkilenen 726 cüzdana yaklaşık 2,7 milyon dolar iade ediyor.
Reddit, içeriğini giriş duvarının arkasına taşıyor
Reddit kurucu ortağı Steve Huffman, sitenin kademeli olarak “giriş yapmayı gerektiren bir hizmete” dönüşeceğini, hesabı olmayan ziyaretçilerin erişiminin kısıtlanacağını duyurdu. Huffman gerekçeleri kişiselleştirme ve içerik scraper’ları olarak açıkladı. Yetkisiz veri erişiminin çoğu çıkış yapılmış sayfalardan geliyormuş. Önümüzdeki aylarda ABD dışındaki bazı pazarlarda giriş zorunluluğuyla pilot uygulama başlayacak. Kapsam ve takvim henüz belli değil. Ana sayfanın ve arama sonuçlarından gelinen sayfaların açık kalması hedefleniyor.
Kısaca
- LXD veya MicroCloud kullanıyorsanız HTTPS API’yi güvenilmeyen ağlara kapatın ve Canonical’dan yama durumunu kontrol edin.
- Sitenizin yüklediği üçüncü taraf scriptleri gözden geçirin. Tek bir scriptin değişmesi, saldırganların yatırımcılardan yaklaşık 2,7 milyon dolar çalması için yeterli oldu.
- Pilot yayıldıkça daha fazla Reddit içeriğinin giriş yapmayı gerektirmesini bekleyin.