Устройства Lenovo оснастили защитой от «АльтЭль»

Устройства Lenovo оснастили защитой от «АльтЭль»

Компания «АльтЭль» и компания Lenovo объявили о завершении работ по интеграции модуля доверенной загрузки ALTELL TRUST в моноблоки Lenovo ThinkCentre M72z и настольные компьютеры Lenovo ThinkCentre M92p. Первая партия защищенных устройств будет поставлена крупному российскому банку во втором квартале 2014 года. Это уже не первый пример сотрудничества двух компаний — ранее ALTELL TRUST уже был интегрирован в ноутбуки Lenovo ThinkPad T520 и моноблоки Lenovo ThinkCentre M71z.

ALTELL TRUST — модуль доверенной загрузки нового поколения, реализованный на уровне UEFI BIOS собственной разработки. В отличие от своих аналогов он неизвлекаем из защищаемого устройства, может управляться удалено, поддерживает ролевую модель доступа и многофакторную аутентификацию на удаленных AD/LDAP-серверах, а также обеспечивает контроль целостности BIOS. Благодаря наличию стека сетевых протоколов с помощью ALTELL TRUST можно организовать безопасную работу с VDI-инфраструктурами и терминальными сервисами (например, по протоколу RDP/RemoteFX).

В рамках обсуждения поставки моноблоков Lenovo ThinkCentre M72z и настольных компьютеров Lenovo ThinkCentre M92p в крупный российский банк, специалисты компании Lenovoприняли решение оснастить все устройства модулем доверенной загрузки ALTELL TRUST. Дополнительным плюсом при выборе стала поддержка этим решением технологии Intel AMT, реализованная в поставляемых устройствах.

Lenovo ThinkCentre M72z являются одним из лучших предложений на рынке корпоративных моноблоков, сочетая в себе выдающуюся производительность для выполнения ресурсоемких приложений и доступную цену. Устройства оснащены дисплеем с диагональю с диагональю 20 дюймов с разрешением 1600x900 (HD+) и предлагают широкий выбор интерфейсов для подключения периферийных устройств.

Lenovo ThinkCentre M92p обладают высокой производительностью решений корпоративного класса и широким набором возможностей. Долговечность и высокая энергоэффективность этих десктопов позволяют значительно сократить расходы на ИТ-инфраструктуру. Так, для обеспечения высокого уровня информационной безопасности на корпусе устройства реализован датчик проникновения. А поддержка технологий Intel AMT позволяет легко и с минимальными затратами управлять парком настольных компьютеров в масштабах большой организации.

Дмитрий Ефремов, менеджер по продуктам Lenovo ThinkCentre: «Продукт от «АльтЭль» кардинально отличается от решений других российских разработчиков средств доверенной загрузки, так как он основан на собственном UEFI BIOS компании. Это позволяет интегрировать ALTELL TRUST в устройства нашей компании без изменения их аппаратной конфигурации. В результате мы можем не только предложить нашим клиентам решения, соответствующие требованиям российского законодательства в области доверенной загрузки, но и избавить их от покупки дополнительных аппаратных средств, одновременно предоставив новые функции, такие как удаленное управление парком защищаемых устройств и аутентификация на удаленных AD/LDAP-серверах».

Викентий Францев, директор ООО «АльтЭль»: «Lenovo —лидер как на российском, так и на мировом рынке персональных компьютеров, поэтому мы рассматриваем сотрудничество с этим вендором как ключевой элемент нашей долгосрочной стратегии развития. Мы уверены, что устройства Lenovo, защищенные с помощью нашего модуля доверенной загрузки, найдут своих покупателей как в коммерческом секторе, так и в государственных организациях. В будущем мы дополним список поддерживаемых устройств Lenovo новыми моделями для корпоративного сектора».

Сертификация

В настоящее время ALTELL TRUST передан на сертификацию во ФСТЭК и ФСБ России по следующим регулирующим документам:

  • ФСТЭК — «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей» (Гостехкомиссия России, 1999) — по 2 уровню контроля;
  • ФСТЭК — «Требования к средствам доверенной загрузки» (ФСТЭК России, 2013) — по 2 классу защиты;
  • ФСТЭК — «Профиль защиты средств доверенной загрузки уровня базовой системы ввода-вывода второго класса защиты ИТ.СДЗ.УБ2.ПЗ»;
  • ФСБ — «Требования к аппаратно-программным модулям доверенной загрузки» на класс 3Б.

Срок получения сертификатов — II квартал 2014 года.

В Smart Slider 3 для WordPress нашли опасную брешь с риском захвата сайта

В плагине Smart Slider 3 для WordPress, который используется более чем на 800 тысячах сайтов, обнаружили неприятную уязвимость. Проблема позволяет аутентифицированному пользователю с минимальными правами — например, обычному подписчику — получить доступ к произвольным файлам на сервере.

Речь идёт об уязвимости CVE-2026-3098, которая затрагивает все версии Smart Slider 3 до 3.5.1.33 включительно. Исследователь Дмитрий Игнатьев сообщил о проблеме, после чего её подтвердили специалисты компании Defiant.

На первый взгляд уязвимость выглядит не самой страшной: для её эксплуатации нужна аутентификация. Поэтому ей присвоили средний уровень опасности. Но на практике всё не так безобидно. Если сайт поддерживает регистрацию, подписки или личные кабинеты, то даже пользователь с базовым доступом потенциально может добраться до конфиденциальных данных.

Главная опасность в том, что через эту брешь можно читать произвольные файлы сервера и добавлять их в экспортный архив. Под ударом оказывается, например, файл wp-config.php — один из самых важных для WordPress. В нём хранятся учётные данные базы данных, криптографические ключи, а это уже вполне может открыть дорогу к краже данных и даже к полному захвату сайта.

В AJAX-действиях экспорта у плагина не хватало проверок прав доступа. Иными словами, функция, которая должна была быть доступна далеко не всем, в уязвимых версиях могла вызываться любым пользователем. Дополнительной защиты nonce здесь оказалось недостаточно, потому что получить его может и обычный вошедший в систему юзер.

Патч вышел 24 марта вместе с версией Smart Slider 3 3.5.1.34. Но есть нюанс: несмотря на выход обновления, проблема всё ещё остаётся массовой. По статистике WordPress.org, за последнюю неделю плагин скачали более 303 тысяч раз, однако исследователи полагают, что как минимум 500 тысяч сайтов до сих пор работают на уязвимых версиях.

На момент публикации данных об активной эксплуатации этой уязвимости ещё не было. Но в таких случаях окно спокойствия обычно бывает недолгим: как только информация о баге становится публичной, злоумышленники начинают быстро проверять, какие сайты не успели обновиться.

Так что владельцам сайтов на WordPress, использующим Smart Slider 3, тянуть тут явно не стоит. Если плагин ещё не обновлён до версии 3.5.1.34, лучше сделать это как можно быстрее.

RSS: Новости на портале Anti-Malware.ru