Уязвимость в NEGOEX SPNEGO стала RCE, проверьте наличие сентябрьского патча

Уязвимость в NEGOEX SPNEGO стала RCE, проверьте наличие сентябрьского патча

Уязвимость в NEGOEX SPNEGO стала RCE, проверьте наличие сентябрьского патча

Два дня назад Microsoft обновила бюллетень по закрытой в сентябре уязвимости в NEGOEX (расширении SPNEGO), повысив опасность угрозы до критического уровня. Как оказалось, эксплойт позволяет не только добраться до конфиденциальной информации, но также удаленно выполнить произвольный код.

Проблему усугубляет тот факт, что CVE-2022-37958 способна обеспечить большую площадь атаки для самоходных сетевых червей. Механизм безопасности SPNEGO используют многие протоколы приложений Windows: RDP, SMB, SMTP, HTTP; и для всех этих служб он включен по умолчанию, начиная с Windows 7.

Последствия могут быть разрушительными — достаточно вспомнить эпидемию WannaCry или Petya, а ведь эти шифровальщики с функциями червя использовали лишь один уязвимый протокол Windows — SMB (CVE-2017-0144, она же EternalBlue).

Возможность удаленного исполнения кода с помощью CVE-2022-37958 обнаружила эксперт IBM X-Force Валентина Пальмьотти (Valentina Palmiotti). Согласно описанию в блоге X-Force, эксплойт можно провести, получив доступ к NEGOEX через любую службу, использующую этот механизм расширенного согласования протокола аутентификации.

Взаимодействия с пользователем атака в данном случае не требует, однако добиться успеха с первой попытки вряд ли удастся. В связи с этим степень опасности RCE-проблемы Microsoft оценила в 8,1 балла CVSS — как высокую. Тем не менее всем обновлениям с патчем для Windows присвоен статус «критическое».

Подробности уязвимости до сих пор не опубликованы: пользователям дали дополнительное время на латание дыр. Всем, кто это еще не сделал, настоятельно советуют установить обновления безопасности от 13 сентября. Другие полезные рекомендации:

  • проверить интернет-доступ к затронутым сервисам (SMB, RDP);
  • непрерывно мониторить внешний периметр, особенно веб-серверы IIS с включенной аутентификацией Windows;
  • сократить число провайдеров аутентификации, оставив лишь Kerberos или Net-NTLM; удалить дефолтного провайдера Negotiate.
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники стали в 16 раз чаще звонить с поддельных номеров из-за рубежа

За последнюю неделю количество фейковых звонков с иностранных номеров в Россию выросло в 16 раз. Об этом рассказали в Сбере. Всплеск удалось заметить в том числе благодаря пользователям, которые отправляли жалобы через раздел «Сообщи о мошеннике» в приложении СберБанк Онлайн.

Такие звонки — не новость: злоумышленники давно используют облачные АТС, где можно быстро взять в аренду номер с кодом другой страны.

Чаще всего — европейских. Иногда — стран с «похожими» номерами (например, +84 95), чтобы выглядело более правдоподобно. Всё это делается через IP-телефонию, что позволяет обходиться без операторов сотовой связи и затрудняет блокировку.

Зампред правления Сбера Станислав Кузнецов отметил, что несмотря на резкий рост таких звонков, в общем объёме мошеннических вызовов их пока немного. Антифрод-система банка их фиксирует и ставит подозрительные операции на усиленный контроль — благодаря этому удаётся избегать хищений.

Но в банке всё равно призывают не терять бдительность:

«Если вам звонят с незнакомого номера из-за границы — просто не отвечайте. Если у вас нет родных или деловых контактов за рубежом, то такие звонки почти наверняка мошеннические».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru