Cisco устранила критические бреши в VPN-маршрутизаторах

Cisco устранила критические бреши в VPN-маршрутизаторах

Cisco устранила критические бреши в VPN-маршрутизаторах

Cisco устранила критические уязвимости в корпоративных VPN-роутерах, позволяющие удаленному злоумышленнику, не прошедшему аутентификацию, выполнить произвольный код или команды, а также вызвать DoS на затронутых устройствах.

Две бреши получили идентификаторы CVE-2022-20842 и CVE-2022-20827, их нашли в веб-интерфейсах управления и функции обновления базы данных. Обе проблемы связаны с недостаточной проверкой ввода.

С помощью специально созданного HTTP-ввода злоумышленник может задействовать CVE-2022-20842 и выполнить вредоносный код с правами root. Этот же эксплойт позволяет атакующему перезагрузить устройство и вызвать отказ в обслуживании, объяснили в Cisco.

Другая дыра — CVE-2022-20827 — допускает выполнение команд в атакованной операционной системе с правами root. В список уязвимых роутеров входят RV160, RV260, RV340 и RV345.

CVE-2022-20827 Затронутые версии Релиз с патчем
RV160 и RV260 Старее 1.0.01.05 Не затронут
RV160 и RV260 1.0.01.05 1.0.01.09
RV340 и RV345 Старее 1.0.03.26 Не затронут
RV340 и RV345 1.0.03.26 1.0.03.28
CVE-2022-20842 Затронутые версии Релиз с патчем
RV340 и RV345 1.0.03.26 и более старые 1.0.03.28

 

Обе уязвимости можно использовать удаленно, при этом они не требуют аутентификации. Поскольку патчи уже готовы, Cisco настоятельно рекомендует установить их как можно скорее.

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

Многие не могут попасть в Госуслуги без MAX

Некоторые пользователи при входе в приложение Госуслуги столкнулись с предложением подключить мессенджер MAX для получения кодов подтверждения. При этом пропустить экран с таким уведомлением невозможно. Судя по всему, новое окно с безальтернативным выбором российского мессенджера появляется у тех, кто ещё не настроил двухфакторную аутентификацию, однако для её изменения всё равно требуется зайти в аккаунт.

На проблему обратило внимание РИА Новости. Один из корреспондентов агентства лично столкнулся с тем, что пропустить экран с предложением использовать MAX для получения кодов подтверждения при входе в приложение невозможно.

Функция получения кодов через MAX появилась в августе 2025 года. Она доступна даже в случаях, когда пользователь не может получить СМС.

Как отмечает портал «Код Дурова», появление экрана с требованием подключить MAX не зависит от того, зарегистрирован ли пользователь Госуслуг в этом мессенджере.

По данным исследования «Кода Дурова», в десктопных версиях браузеров подобное “незакрываемое” окно появляется реже — даже при активации режима «Запросить настольную версию сайта» в мобильном браузере.

Однако этот способ не гарантирует полного обхода проблемы. Альтернативой может стать изменение настроек двухфакторной аутентификации непосредственно в мобильном приложении Госуслуг.

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

RSS: Новости на портале Anti-Malware.ru