Обзор уязвимостей за прошедшую неделю (3-10 сентября)
Предлагаем ознакомиться с небольшим обзором уязвимостей за прошедшую неделю. В центре внимания: Contagious Interview, WinRAR, Citrix NetScaler, Wing FTP Server, Sitecore Experience, Mozilla Firefox, Apache ActiveMQ, Commerce, Magento, SessionReaper, TP-Link, iPhone SRDP.
Исследователи SentinelLabs и Validin выявили активность северокорейской кибергруппировки, стоящей за операцией Contagious Interview. Эта кампания ранее получила известность благодаря рассылке фальшивых вакансий, которые служили прикрытием для доставки вредоносного ПО.
R-Vision выпустила августовский обзор критических уязвимостей. В отчёте названы проблемы, обнаруженные в WinRAR, Citrix NetScaler и Wing FTP Server — популярных решениях, используемых в инфраструктуре тысяч организаций.
watchTowr Labs представила результаты анализа, посвящённого платформе Sitecore Experience. Специалисты описали три взаимосвязанные уязвимости, которые позволяют раскрывать конфиденциальную информацию и запускать код на стороне сервера — как до, так и после прохождения аутентификации.
Эксперт PT SWARM Даниил Сатяев сообщил об уязвимости в Mozilla Firefox. Проблема позволяла при помощи вредоносного кода на случайном сайте перенаправлять жертв на поддельные страницы и похищать их учётные данные. После уведомления разработчики устранили баг в рамках политики ответственного раскрытия.
Red Canary зафиксировала нетипичную технику атаки на облачные Linux-сервера. Получив доступ через брешь в Apache ActiveMQ, злоумышленники самостоятельно закрывали уязвимость, устанавливая заплатку — вероятно, чтобы исключить вмешательство других хакеров и закрепиться в системе.
Adobe признала серьёзную проблему, затрагивающую платформы Commerce и Magento. Исследователи назвали уязвимость SessionReaper одной из самых опасных за всю историю этих продуктов. По их мнению, её эксплуатация может привести к полному перехвату сессий пользователей.
TP-Link подтвердила информацию о 0-day уязвимости, выявленной в ряде моделей своих маршрутизаторов. Компания уже начала работу над патчами, но пока проблема остаётся нерешённой. Подробности о числе затронутых устройств не раскрываются.
Apple объявила старт приёма заявок на участие в следующем этапе программы Security Research Device Program (SRDP). Специалисты по ИБ смогут получить специальную версию iPhone для проведения исследований. Заявки принимаются до 31 октября 2025 года.
