ShinyHunters brøt seg inn på og manipulerte Clops datalekkasjeside ved å utnytte en sårbarhet i Grav CMS, ifølge detaljer som Gravs utviklere har bekreftet. Clop har siden flyttet nettstedet til en ny Tor-adresse.
ShinyHunters manipulerte Clops lekkasjeside
ShinyHunters plasserte først en liten fil på Clops nettsted tidligere denne måneden. Gruppen erstattet senere innholdet på nettstedet med en helsides defacement som promoterte dens egen lekkasjeside.
Gruppen hevder at den også stjal kildekode, plugins, serverlogger og private nøkler for Clops Tor-tjeneste. Deretter krevde den løsepenger og truet med å offentliggjøre filene.
Clop bekreftet at angripere kompromitterte serveren, men bestrider påstandene om tyveriet. Løsepengegruppen sier at serveren kun inneholdt nettstedinnhold og ingen finansielle eller operative data. Ingen av gruppene har lagt frem offentlige bevis som fastslår hva ShinyHunters fikk tak i.
Path traversal tillot filer utenfor den tiltenkte mappen
ShinyHunters fortalte BleepingComputer at Clops server kjørte Grav 1.7.43. Gruppen sa at den manipulerte en verdi som brukes til å bygge midlertidige opplastingsbaner for skjemaer. Ved å sette inn directory traversal-tegn kunne den styre filskriving utenfor den tiltenkte mappen.
Gravs utviklere bekreftet at den rapporterte oppførselen gjenspeiler en reell sårbarhet i Grav-kjernen. Sårbarheten i Grav CMS gjør det mulig for en uautentisert angriper å påvirke hvor programvaren skriver filer i en sårbar installasjon. Den har identifikatoren CVE-2026-42608.
Problemet ligger i selve Grav, og ikke i den separate Form-pluginen. Derfor løser ikke en oppdatering av denne pluginen alene den sårbare kjernekoden.
Grav lanserer rettelse for eldre installasjoner
Grav rettet håndteringen av filbaner i sin 2.0-gren tidligere i år. Beskyttelsen hadde imidlertid ikke blitt innført i den mye brukte 1.7-grenen da angriperne brøt seg inn på Clops nettsted.
Etter å ha gjennomgått detaljene om angrepet lanserte Grav versjon 1.7.53.4 den 24. september. Oppdateringen begrenser hvilke tegn Grav godtar i skjemaidentifikatorer, noe som hindrer angripere i å bruke dem til å flytte filskriving utenfor det tiltenkte området for midlertidig lagring.
Nettstedseiere som fortsatt kjører Grav 1.7, bør oppdatere til versjon 1.7.53.4. Gjeldende Grav 2.x-versjoner inneholder allerede rettelsen.
0 responses to “ShinyHunters hacket Clops lekkasjeside gjennom sårbarhet i Grav CMS”