Symantec закрыла уязвимости на сайте Hack is Wack

Ресурс, созданный для нужд проводимого Symantec конкурса Hack is Wack, оказался восприимчив к ряду потенциальных атак, и компании пришлось срочно принимать меры по предотвращению эксплуатации уязвимостей.



Напомним, что Symantec заключила соглашение с известным западным исполнителем Snoop Dogg, работающим в музыкальном жанре "рэп", и конкурс Hack is Wack является одним из мероприятий по продвижению продуктов компании, которые предусмотрены упомянутым соглашением. Пользователи могут присылать на конкурс собственные рэп-композиции, тематически связанные с киберпреступностью; для автора лучшей работы предусмотрен ряд призов, в частности - билеты на концерт Snoop Dogg и ноутбук Toshiba.


Сайт конкурса, тем не менее, оказался не образцовым с точки зрения безопасности. Исследователь Майк Бэйли сообщил в своем блоге, что программное обеспечение ресурса содержало ряд уязвимостей, допускающих осуществление широкого спектра атак. "Например, на сервере имеется кэш-папка, куда попадают данные от SQL, JSON и другого ПО - и эта папка общедоступна и проиндексирована", - отмечал он в записи от второго сентября. - "Есть там и уязвимости, открывающие путь для межсайтового исполнения сценариев (XSS) - пока только с использованием возможностей стандарта HTML5, но адаптация для прежних версий относительно несложна, - и CSRF-уязвимости, и проблемы в сценарии загрузки видео при отправке Flash - этот модуль CMS Joomla, похоже, использовался вообще безо всякого контроля качества, хотя в настоящее время он находится еще только на стадии альфа-тестирования." В системе голосования за загруженные видеоролики также имелись проблемы, которые могли предоставить возможность для мошенничества посредством межсайтовых запросов.


"Symantec была проинформирована об уязвимостях на микросайте Hack is Wack, и мы незамедлительно приняли меры по обеспечению безопасности", - сообщил eWeek представитель компании. - "На данный момент мы можем с уверенностью сказать, что никакие конфиденциальные данные о пользователях и организациях не были скомпрометированы или преданы огласке. Symantec чрезвычайно серьезно относится к безопасности как своего основного сайта, так и дополнительных микроресурсов, и мы сделали все необходимое, чтобы разрешить возникшую проблему."


Объявленный Symantec конкурс завершается 30 сентября.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Уязвимости в межсетевых экранах Cisco угрожали сотням тысяч устройств

В межсетевых экранах Cisco Adaptive Security Appliance и Firepower Threat Defense найдены две уязвимости, затрагивающие в общей сложности сотни тысяч устройств. Успешная эксплуатация этих дыр позволяет злоумышленнику провести DoS-атаку.

Проблемы выявил специалист Positive Technologies Никита Абрамов, который также объяснил, что для использования багов условный киберпреступник должен отправить специально созданный пакет.

«Если атака увенчается успехом, злоумышленник сможет вызвать отказ в обслуживании межсетевого экрана. После этого устройство перезагрузится, а пользователи уже не смогут попасть во внутреннюю сеть организации», — рассказывает эксперт.

«Поскольку проблема может затронуть и VPN-подключения, подобная атака способна повлиять на бизнес-процессы в условиях повсеместной удалённой работы. Масштаб выявленной уязвимости можно сравнить с CVE-2020-3259, которую нашли на 220 тысячах устройств».

Атакующему не потребуется проходить аутентификацию или получать какие-либо дополнительные права. Достаточно будет банальной отправки специального запроса по определённому пути. Как отметил Абрамов, уязвимость угрожает любой организации, использующей эти устройства для организации удалённого доступа сотрудников.

Бреши получили идентификаторы CVE-2021-1445, CVE-2021-1504 и 8,6 баллов по шкале CVSS 3.1. Таким образом, уязвимостям можно присвоить высокий уровень опасности. В Positive Technologies подчеркнули, что это логические ошибки, часто возникающие по вине разработчиков.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru