Обзор уязвимостей за прошедшую неделю (19-25 июня)
Предлагаем ознакомиться с небольшим обзором уязвимостей за прошедшую неделю. В центре внимания: TP-Link, WordPress Motors, openSUSE Leap, SUSE Linux Enterprise, Veeam, Asus, Bitsight, Citizen Lab, Paragon.
Эксперт из PT SWARM Егор Филатов выявил критическую брешь в встроенном приложении Shortcuts, доступном на macOS. Программа, предназначенная для упрощения взаимодействия с системой путём автоматизации операций, оказалась уязвимой для атак, способных нанести серьёзный ущерб.
Американское агентство CISA распространило срочное уведомление о волне атак на популярные модели маршрутизаторов TP-Link. Устройства снова оказались под угрозой из-за неустранённой ошибки в прошивке, которая предоставляет возможность удалённого выполнения команд без авторизации. Опасность оценена на уровне 8,8 из 10.
В теме Motors для WordPress выявлен уязвимый участок кода, который используется киберпреступниками для захвата прав администратора. После эксплуатации уязвимости они получают полный доступ к управлению сайтом и его содержимым.
Исследователи обращают внимание на две новые уязвимости, влияющие на системы с Linux-дистрибутивами SUSE. Первая проблема связана с конфигурацией PAM и позволяет локальному пользователю получить root-права в openSUSE Leap 15 и SUSE Linux Enterprise 15.
Компания Veeam опубликовала обновления для Veeam Backup & Replication. Патчи закрывают несколько уязвимостей, в том числе серьёзный изъян, позволявший злоумышленнику удалённо выполнять произвольный код на атакуемом сервере.
Asus уведомила о выпуске обновления, устраняющего ошибку в Armoury Crate. Уязвимость позволяла обойти авторизацию и повышать уровень доступа до SYSTEM, что угрожало полной потерей контроля над устройством.
Компания Bitsight опубликовала исследование, показавшее, что в интернете открыты прямому доступу 40 000 камер видеонаблюдения. Лидируют по числу незащищённых устройств США и Япония. Существенное количество камер без защиты найдено также в Австрии, Чехии, Южной Корее, Германии, Италии и России.
Исследовательская группа Citizen Lab представила доказательства, что израильская фирма Paragon до недавнего времени имела средства для проникновения в новейшие версии iOS. Специалисты отмечают, что это связано с применением коммерческих средств слежки, ориентированных на мобильные устройства Apple.
