Zranitelnosti označované jako PHP2Shell mohly útočníkům umožnit vzdálené spuštění škodlivého kódu a převzetí kontroly nad zranitelnými servery, a to i bez přihlášení.

Informace o bezpečnostních chybách se rozšířily ještě před vydáním oprav. Provozovatelé internetových služeb tak museli rychle rozhodovat, jak své systémy a zákaznická data ochránit. Některé organizace přistoupily dokonce k úplnému odstavení svých webů.

V Lamaelu jsme se rozhodli jednat okamžitě a dát bezpečnosti zákaznických dat přednost před plnou dostupností všech funkcí.

Jak jsme postupovali

Ve středu 21. října, po zaznamenání prvních pokusů o zneužívání zranitelnosti, naši správci infrastruktury v časných odpoledních hodinách preventivně omezili provoz Lamaelu.

Na úrovni serverové infrastruktury jsme dočasně zablokovali zpracování požadavků typu multipart/form-data, které představovaly jeden z možných způsobů zneužití bezpečnostních chyb.

Protože tento způsob komunikace využívají také formuláře v Lamaelu, aplikace zůstala dostupná především pro prohlížení informací, ale nebylo možné vytvářet a upravovat záznamy ani nahrávat soubory.

Toto preventivní opatření nám umožnilo snížit bezpečnostní riziko v kritickém období před vydáním oprav, aniž bychom museli Lamael zcela odstavit.

Jakmile byla zveřejněna bezpečnostní aktualizace, naši správci neprodleně aktualizovali PHP na opravenou verzi 8.5.12.

Následně jsme postupně obnovovali všechny funkce aplikace:

• 21. října, přibližně 13:00–14:00: Preventivní omezení vytváření a úprav záznamů a nahrávání souborů.
• 21. října, přibližně 17:00: Nasazení bezpečnostní aktualizace PHP 8.5.12 a obnovení vytváření a úprav záznamů.
• 22. října, přibližně 9:00: Odstranění zbývajících omezení a obnovení nahrávání souborů a příloh.

Od čtvrtečního rána je Lamael opět v plném provozu bez jakýchkoliv omezení.

Bezpečnost zákaznických dat nebyla podle dosavadních zjištění narušena

Podle dosavadních zjištění nedošlo k úspěšnému napadení systému Lamael ani k úniku uživatelských dat.

Bezpečnostní hrozba přitom nespočívala v samotné aplikaci Lamael, ale v technologii PHP, na které jsou postaveny miliony internetových aplikací po celém světě.

Podobné situace ukazují, že zabezpečení moderní cloudové služby není pouze otázkou kvalitního programování. Stejně důležité jsou průběžné sledování bezpečnostních hrozeb, profesionální správa serverů a schopnost rychle reagovat na nová rizika.

Proč jsme přistoupili k omezení provozu

Uvědomujeme si, že Lamael je pro naše zákazníky důležitým pracovním nástrojem a jakékoliv omezení může komplikovat jejich každodenní práci.

Pokud ale stojíme před rozhodnutím mezi dočasným omezením některých funkcí a rizikem ohrožení zákaznických dat, bezpečnost má jednoznačně přednost.

Naším cílem není jen poskytovat funkční a spolehlivou aplikaci, ale také aktivně chránit informace, které nám zákazníci svěřují.

Děkujeme našim zákazníkům za pochopení a omlouváme se za dočasné komplikace. Zároveň děkujeme správcům naší infrastruktury za rychlou a profesionální reakci.

Vaše data jsou pro nás závazkem. A jejich ochranu bereme vážně.

Další informace o bezpečnostní hrozbě

• NÚKIB – Upozornění na kritické zranitelnosti v PHP
• PHP.net – Oficiální bezpečnostní aktualizace
• Lupa.cz – PHP2Shell: kritické zranitelnosti v PHP

The post Bezpečnost dat na prvním místě: jak jsme v Lamaelu reagovali na kritickou zranitelnost PHP appeared first on Lamael.