Дослідник безпеки з Zero Day Initiative опублікував подробиці про три виправлені вразливості в платформі SolarWinds Orion, сукупна експлуатація яких дозволяє зловмиснику виконувати на уразливих системах довільний код з привілеями адміністратора без авторизації.
CVE-2020-14005: Впровадження команд і виконання довільного скрипта VBScript
Продукт дозволяє користувачеві без привілеїв адміністратора вказувати шлях для виконання VBS-скрипта, коли спрацьовує попередження. Будь-які обмеження з зберігання VBS-файлів на віддаленому загальному ресурсі SMB відсутні, завдяки чому атакуючий може вказувати довільний VBS-скрипт для виконання.
CVE-2020-27869: Підвищення привілеїв для виконання SQL-ін’єкції
У SolarWinds Orion також існує уразливість, що дозволяє здійснювати SQL-ін’єкції. Проексплуатувати її може користувач без привілеїв адміністратора за допомогою параметра “Налаштувати дію” (або відповідної команди API).
CVE-2020-10148: Обхід аутентифікації
Проаналізувавши надане Hotfix 2 виправлення, фахівці Zero Day Initiative вивчили уразливість, що дозволяє обійти всі механізми аутентифікації. За їх словами, додаток містить логіку, що дозволяє обходити аутентифікацію, коли клієнт запитує ресурси, для яких аутентифікація необов’язкова, такі як JavaScript і CSS-файли. Зокрема, аутентифікацію можна обійти, якщо шлях URL-адреси запиту містить “Skipi18n” або закінчується “i18n.ashx”, “WebResource.axd” або “ScriptResource.axd”.
Хоча окремо уразливості не становлять великої загрози, в сукупності вони можуть дозволити зловмиснику віддалено виконати код на найвищому рівні.
Радимо звернути увагу на поради, про які писав Cybercalm, а саме:
Як дізнатися, які дані Google знає про Вас і видалити їх? – ІНСТРУКЦІЯ
Як не стати жертвою кібератаки? ПОРАДИ
Чи варто користуватися WhatsApp? П’ять правил безпеки від найбільш розшукуваного хакера світу
П’ять небезпечних типів файлів, що можуть містити шкідливе ПЗ
Нагадаємо, Apple займається розробкою, яка буде розрізняти користувачів смартфонів за новою технологією. Йдеться про так звану теплову карту особи, яка, як і відбитки пальців, є унікальною. Обдурити цю систему захисту буде практично неможливо.
Також корпорація Microsoft випускає вбудований генератор паролів та функцію моніторингу витоків облікових даних у системах Windows та macOS, що працюють з останньою версією Microsoft Edge.
Окрім цього, багатофункціональний “шкідник” VPNFilter, якому вдалося інфікувати 500 тисяч роутерів у 54 країнах, хоч і був дезактивований два роки тому, однак досі не вичищений із сотень мереж. Такі невтішні результати чергової перевірки, яку провели дослідники з Trend Micro.
До речі, викрадена база даних, яка містить імена, адреси електронної пошти та паролі користувачів Nitro PDF, безкоштовно розповсюджується в Мережі. Загалом база даних налічує понад 77 мільйонів записів.
