Уязвимость в Apache подвергает опасности файрволы и роутеры

Специалисты, обслуживающие сервер Apache, предупреждают, что их HTTP daemon уязвим перед эксплойтами, которые дают шанс атакующим передать специальные команды в адресе внутренним серверам.



Уязвимости в версии 1.3 и всех вторых версия могут быть использованы только при определенных условиях. Например, сервер должен работать в режиме обратного прокси, что часто применяется для балансировки нагрузки и для разделения статичного и динамичного контента. Но даже в этом случае внутренние системы восприимчивы к стороннему доступу лишь при использовании определенных правил перезаписи, передает xakep.ru.

И, тем не менее, уязвимые конфигурации обратного прокси используются достаточно часто, что дало специалистам по обслуживанию Apache повод выпустить в эту среду ряд советов, рекомендующих пользователям проверить свои системы и выяснить, не подвергнуты ли они риску.

"Используя директивы RewriteRule или ProxyPassMatch для настройки обратного прокси по шаблону, можно ненароком подвергнуть внутренние серверы опасности перед удаленными пользователями, которые посылают специально сконструированные запросы", - гласят советы. "Сервер не проверяет, является ли переданная в паттерн строка действительно строкой пути, так что шаблон может быть расширен на нецелевой URL".

Об уязвимости доложила фирма Context Information Security, консультативное агентство по информационной безопасности, чьи офисы располагаются в Лондоне и других городах. В блоге исследователи компании сказали, что уязвимости могут быть использованы для получения доступа к крайне чувствительным демилитаризованным зонам организации, которые должны быть доступны лишь проверенным пользователям.

"Мы можем получить доступ к внутренней/ДМЗ системе, к которой имеет доступ прокси, включая интерфейсы администрирования брандмауэров, маршрутизаторов, серверов, баз данных и т.д.", - написали они.

"Мы добились немалых успехов в атаке. Ведь проверка полномочий во внутренних системах низка, и позволяет подвергнуть опасности целую сеть, в том числе с возможностью загрузки файлов Trojan War на серверы JBoss".

В пресс-релизе исследователи компании заявили, что и другие веб-серверы и прокси могут быть восприимчивы к эксплойтам.

Apache выпустила патч для тех, кто компилирует свою собственную сборку сервера. Не удивительно, если дистрибутивы Linux выпустят свои собственные обновления в течении нескольких дней. Адвизори от Apache также содержит предложения по переписыванию правил прокси, которые могут предотвратить действие атаки.

Исследователь безопасности Дэн Росенберг вторит предупреждениям и говорит, что ущерб от плохо настроенного прокси может быть катастрофическим и что риск может распространиться далеко за пределы Apache.

"В худшем случае это может вылиться в то, что атакующие смогут считывать чувствительные данные с внутренних ресурсов", - написал он в email. "Я бы не слишком удивился, если бы выяснилось, что механизмы обратного прокси на других серверах также пострадали, но баг весьма специфичен с точки зрения его внедрения, так что без проверки об этом наверняка говорить невозможно".

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Сроки замены зарубежных СЗИ сдвинуты не будут

На конференции BIS Summit прозвучали заявления о том, что сроки, установленные указом президента на замену зарубежных средств защиты информации (СЗИ), сдвигаться не будут.

«С инициативой сдвинуть сроки выполнения Указов точно выходить не будем. Будем помогать тем, кто не готов к выполнению Указов», — отметил в своем выступлении на пленарной сессии BIS Summit заместитель директора ФСТЭК России Виталий Лютиков.

Вместе с тем заместитель руководителя ФСТЭК признал проблемы с целыми классами решений:

«Плохая ситуация с отдельными классами — во-первых, в аспектах наличия таких сертифицированных средств, а второе — качество этих средств и их эффективность».

Он при этом анонсировал, что до конца года получат сертификаты ФСТЭК России NGFW от двух вендоров. Уже сегодня ГК «Солар» сообщила о получении сертификата на Solar NGFW.

Также Виталий Лютиков раскритиковал высокие цены на ПО. Директор АНО «Центр компетенций по импортозамещению в сфере информационно-коммуникационных технологий» Илья Массух заявил о том, что цены находятся в разумных пределах, хотя и признал, что они растут более высокими темпами, чем инфляция. Кроме того, он обратил внимание на то, что при пересчете в доллары или евро цены на ПО в России будут заметно ниже, чем на зарубежных рынках.

По мнению депутата Госдумы Андрея Свинцова, росту цен способствует распыление сил игроков на схожие проекты:

«Когда в рамках рабочих групп выясняется, что десятки компаний разрабатывают одно и тоже — количество потребителей и денег конечно и когда на рынок выходит 10 одинаковых продуктов, это приводит к задиранию цен, чтобы отбить затраты. А эти затраты начинают расти сильно выше инфляции. Когда 10 команд пилят одно и то же, владелец начинает докупать себе персонал, рынок начинает разгоняться».

Свинцов призвал вмешаться в данный процесс и перераспределять разработчиков на другие продукты, поскольку, используя исключительно рыночные механизмы, ситуацию исправить не удастся.

«На своем уровне с Минцифры и разработчиками несколько подходов сделали. Выбрали 4 ОС, назвали их целевыми. К сожалению, регуляторику подогнать, что они “главные“ для импортозамещения, до конца не удалось. Такая же идея была с базами данных: пройти по всем классам и обозначить общесистемные решения, на которые весь рынок должен ориентироваться. Тут нужна позиция правительства с точки зрения регулирования», — отметил Илья Массух.

Директор АНО «Центр компетенций по импортозамещению в сфере информационно-коммуникационных технологий» привел пример Китая, где за несколько лет количество разработчиков некоторых видов ПО снизилось с сотен до 4.

«Хорошо, что мы пришли к консенсусу, что количество решений должно быть разумным, в том числе это приведет к снижению цен», — подвела итог дискуссии президент ГК InfoWatch Наталья Касперская.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru