UWAGA: Robak Santy podmienia pliki w phpBB!

21 grudnia pojawił się w sieci nowy robak – Santy. Szacuje się, że dotychczas zainfekował ponad 40 tys. komputerów. Santy wykorzystuje lukę w phpBB – popularnym darmowym pakiecie służącym m.in. do tworzenia forów dyskusyjnych.Błąd ten, dotyczący wersji do 2.0.10, opublikowany został w listopadzie, jednak do tej pory bardzo wiele systemów nie zostało załatanych. Dotyczy on funkcji urldecode i poprzez SQL Injection umożliwia wykonanie na atakowanym komputerze dowolnego kodu php.n
n
Robak napisany jest w perlu. Jego działanie polega na wyszukaniu poprzez Google serwerów na których obecny jest plik viewtopic.php. Następnie robak rozpoczyna atak na komputery z tak wygenerowanej listy. W przypadku sukcesu, nadpisuje pliki z rozszerzeniami asp, htm, jsp, php, phtm i shtm tekstem: This site is defaced!!! NeverEverNoSanity WebWorm generation X.n
n
Jakkolwiek użytkownicy najpopularniejszej wyszukiwarki internetowej nie są bezpośrednio podatni na atak, Google na wniosek firm produkujących oprogramowanie antywirusowe wprowadziło blokady zapytań kierowanych przez robaka.n
n
Serwery korzystające z mechanizmów phpBB powinny zostać jak najszybciej załatane. Nawet w przypadku wygasania działalności robaka, są one wciąż podatne na exploity, które są łatwo dostępne w sieci.n
n
Uaktualnienia phpBB (do wersji 2.0.11) dostępne są pod adresem .n
n
O robaku Santy przeczytać można m.in. w biuletynie US CERT () i w opisie firmy Symantec ().