Обзор уязвимостей за прошедшую неделю (21-27 ноября)
Предлагаем ознакомиться с небольшим обзором уязвимостей за прошедшую неделю. В центре внимания: BI.ZONE WAF, BI.ZONE CPT, Really Simple Security, WordPress, PT SWARM, Yealink Meeting Server, D-Link, MITRE, Common Weakness Enumeration, Palo Alto Networks, Ubuntu, needrestart, Лаборатория Касперского, Helldown, Zyxel, Sekoia.
Сервисы BI.ZONE WAF и BI.ZONE CPT обеспечивают защиту пользователей от критической уязвимости, выявленной в плагине Really Simple Security для WordPress. Злоумышленники уже активно пытаются использовать эту уязвимость для получения контроля над веб-ресурсами.
Специалисты PT SWARM обнаружили высокоопасную уязвимость CVE-2024-48352 (BDU:2024-07167) в системе видеоконференций Yealink Meeting Server. Уязвимость с оценкой 7,5 по шкале CVSS v3.1 может привести к компрометации учетных данных, утечке конфиденциальной информации участников переговоров и созданию возможности для проникновения в корпоративные сети.
Компания D-Link сообщила своим клиентам о необходимости замены VPN-маршрутизаторов, срок эксплуатации которых истек, из-за выявления критической уязвимости, позволяющей удаленно выполнить код без авторизации. Устранение проблемы на этих устройствах не планируется.
Согласно новому отчету MITRE, межсайтовый скриптинг признан наиболее опасной уязвимостью программного обеспечения за прошедший год. Обнародованный 20 ноября рейтинг из 25 критических уязвимостей, составленный на основе данных каталога Common Weakness Enumeration (CWE), охватывает период с июня 2023 по июнь 2024 года.
Эксперты в области ИБ предупреждают, что злоумышленники уже взломали тысячи межсетевых экранов Palo Alto Networks, используя две недавно исправленные уязвимости нулевого дня.
В утилите needrestart, применяемой в Ubuntu начиная с версии 21.04 и существующей более 10 лет, обнаружены пять уязвимостей, связанных с локальным повышением привилегий. Эти баги позволяют злоумышленнику на месте получить доступ с правами root без необходимости взаимодействия с пользователем.
Аналитики из «Лаборатории Касперского» провели исследование оборудования глобальных навигационных спутниковых систем (ГНСС), используемого в различных секторах по всему миру. На ноябрь 2024 года выявлено около 4000 уязвимых спутниковых приемников от 70 производителей, которые могут быть атакованы через интернет.
Вымогатель Helldown, эксплуатирующий уязвимости в межсетевых экранах Zyxel, проникает в корпоративные сети. Специалисты Sekoia изучили последние атаки Helldown и посвятили угрозе подробный отчет.
