Предлагаем ознакомиться с небольшим обзором уязвимостей за прошедшую неделю. В центре внимания: Ivanti, Rhysida, Samsung, Fortinet, FortiOS, SSL VPN, Microsoft, Bitlocker, Stacksmashing, Lenovo, Яндекс, Connect Secure, Policy Secure, ZTA.
Компания Ivanti заявила о выявлении в её VPN-сервисе пяти уязвимостей. Они отслеживаются под идентификаторами CVE-2024-21888, CVE-2024-21893, CVE-2023-46805, CVE-2024-21887 и CVE-2024-21893. Последняя активно эксплуатируется многочисленными хакерами, потому что уже есть общедоступный сценарий реализации кибератаки.
Южнокорейские эксперты по ИБ нашли уязвимость в шифровальщике Rhysida, что позволило им разработать бесплатный дешифратор для восстановления файлов в ОС Windows. Другие аналитики отрасли считают, что специалисты зря раскрыли сведения об этом баге.
Владельцам накопителей Samsung, которое используют фирменно ПО Samsung Magician, рекомендуется обновить его до версии 8.0.1. В этой версии устранена уязвимость с оценкой 7,3 балла по системе NIST (CVSS). В базе данных ей присвоили идентификатор CVE-2024-23769.
Компания Fortinet предупредила, что новая критическая RCE-уязвимость в FortiOS SSL VPN уже может эксплуатироваться хакерами. Уязвимость отслеживается как CVE-2024-21762 и имеет 9,6 баллов по шкале CVSS. Баг связан с out-of-bound записью, позволяет неавторизованным хакерам дистанционно выполнить произвольный код.
В загрузчике Shim найдена критическую уязвимость, позволяющая хакерам выполнять код и получать контроль над целевой системой до загрузки ядра, обходя заранее имеющиеся защитные механизмы.
В инструменте Bitlocker от Microsoft обнаружена серьезная уязвимость. Блогер Stacksmashing продемонстрировал, как он обходит шифрование менее чем за минуту, используя оборудование стоимостью не более 10 долларов. Энтузиаст провел эксперимент с ноутбуком Lenovo 10-летней давности, поставив тем самым под сомнение эффективность Bitlocker.
Компания «Яндекс» заявила о расширении действия программы «Баг Баунти» для смарт-устройств — теперь она распространяется на продукты, которые компания выпустила в 2023 году: «Станция Дуо Макс», «Станция Миди» и «ТВ Станция». Размер вознаграждения возрос с 600 000 до 1 млн рублей.
Компания Ivanti заявила о новой уязвимости обхода аутентификации, которая затрагивает продукты Connect Secure, Policy Secure и шлюзы ZTA. Разработчики рекомендуют администраторам как можно быстрее немедленно установить патчи на свои устройства.
Оригинал публикации на сайте CISOCLUB: "Обзор уязвимостей за прошедшую неделю (7-13 февраля)".
Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.
Подписывайтесь на нас: VK | Twitter | Rutube | Telegram | Дзен | YouTube.