Обнаружена новая уязвимость в SCADA системах

Обнаружена новая уязвимость в SCADA системах

Группа исследователей в области безопасности и US CERT предупреждают производственные компании о критической уязвимости, найденной в популярном программном обеспечении для управления технологическим процессом. При успешной атаке злоумышленники могут получить контроль над всей компьютерной системой.

Ошибка найдена в программном обеспечении Genesis32 и BizViz компании Iconics. При ее эксплуатации хакер может удаленно запустить исполнение вредоносного кода на целевой системе, получить доступ к данным или к пульту управления оборудованием.

Как сообщают исследователи компании Security-Assessment.com, уязвимость переполнения стека обнаружена в клиенте ActiveX, который используется SCADA - программами. Эксплуатация возможна при передаче специально сформированной строки кода в 'SetActiveXGUID', в результате чего может произойти переполнение статического буфера и исполнение вредоносного кода, поясняют специалисты. Кроме того они представили образец кода эксплойта, созданного на JavaScript.

Стоит отметить, что такое специализированное ПО используется для управления измерительным оборудованием контроля уровня воды, сточных вод, а также на энергетических предприятиях и нефтеперерабатывающих заводах.

Iconics уже отреагировала на сообщения, опубликовав обновления для исправления ошибки.

Однако, не смотря на это, US CERT рекомендует пользователям принять меры безопасности для предотвращения возможных вторжений. Например, стоит отключить критические устройства от Интернет и внутренней сети.

Google Chrome будет просить сайты не продавать данные пользователей

Google тестирует в Chrome Canary видимый переключатель Global Privacy Control — GPC. Он позволит одним нажатием отправлять сайтам просьбу не продавать и не передавать персональные данные, а также не использовать их для таргетированной рекламы.

При включении функции браузер должен добавлять к веб-запросам сигнал Sec-GPC: 1 и передавать соответствующее значение через navigator.globalPrivacyControl.

В регионах с подходящим законодательством такая настройка может считаться официальным отказом от продажи или распространения данных. Например, GPC предназначен для реализации права «Не продавать и не передавать» по калифорнийскому закону CCPA. Подробнее механизм описан на сайте проекта GPC.

Новый переключатель появился в разделе конфиденциальности Chrome Canary, прежде всего на Android. Экспериментальные флаги доступны также на Windows, macOS, Linux и ChromeOS, однако на десктопах пользовательский интерфейс пока развёрнут не полностью.

 

Да и на Android функция сейчас работает с оговорками. Один флаг добавляет переключатель в настройки, а другой активирует сам сигнал. В ходе тестирования оказалось, что включения одной только красивой кнопки недостаточно: чтобы сайты действительно получили Sec-GPC: 1, приходится отдельно запускать Force Global Privacy Control Signal.

Даже после полноценного запуска GPC не станет волшебной кнопкой. Браузер лишь сообщает пожелание пользователя, а сайт сам определяет, как на него реагировать. Реальный эффект зависит от поддержки стандарта и законодательства конкретного региона.

В стабильной версии Chrome функции пока нет, а её поведение ещё может измениться.

RSS: Новости на портале Anti-Malware.ru