ShinyHunters brød ind på og manipulerede Clops datalækside ved at udnytte en sårbarhed i Grav CMS, ifølge oplysninger, som Gravs udviklere har bekræftet. Clop har siden flyttet siden til en ny Tor-adresse.
ShinyHunters manipulerede Clops lækside
ShinyHunters placerede først en lille fil på Clops side tidligere på måneden. Gruppen erstattede senere sidens indhold med en helsides defacement, der promoverede dens egen lækside.
Gruppen hævder, at den også stjal kildekode, plugins, serverlogfiler og private nøgler til Clops Tor-tjeneste. Derefter krævede den en løsesum og truede med at offentliggøre filerne.
Clop bekræftede, at angribere kompromitterede dens server, men bestrider påstandene om tyveriet. Ransomwaregruppen siger, at serveren kun indeholdt webstedsindhold og ingen finansielle eller operationelle data. Ingen af grupperne har fremlagt offentlige beviser, der fastslår, hvad ShinyHunters fik fat i.
Path traversal tillod filer uden for den tilsigtede mappe
ShinyHunters fortalte BleepingComputer, at Clops server kørte Grav 1.7.43. Gruppen sagde, at den manipulerede en værdi, der bruges til at opbygge midlertidige uploadstier til formularer. Ved at indsætte directory traversal-tegn kunne den dirigere filskrivninger uden for den tilsigtede mappe.
Gravs udviklere bekræftede, at den rapporterede adfærd afspejler en reel sårbarhed i Grav-kernen. Sårbarheden i Grav CMS gør det muligt for en uautentificeret angriber at påvirke, hvor softwaren skriver filer i en sårbar installation. Den har identifikatoren CVE-2026-42608.
Problemet ligger i selve Grav og ikke i det separate Form-plugin. Derfor løser en opdatering af dette plugin alene ikke den sårbare kernekode.
Grav udgiver rettelse til ældre installationer
Grav rettede håndteringen af filstier i sin 2.0-gren tidligere på året. Beskyttelsen var dog ikke blevet indført i den meget anvendte 1.7-gren, da angriberne brød ind på Clops side.
Efter at have gennemgået detaljerne om angrebet udgav Grav version 1.7.53.4 den 24. september. Opdateringen begrænser de tegn, som Grav accepterer i formularidentifikatorer, hvilket forhindrer angribere i at bruge dem til at flytte filskrivninger uden for det tilsigtede område til midlertidig lagring.
Webstedsejere, der stadig kører Grav 1.7, bør opdatere til version 1.7.53.4. Aktuelle Grav 2.x-versioner indeholder allerede rettelsen.
0 svar til “ShinyHunters hackede Clops lækside gennem sårbarhed i Grav CMS”