InfoWatch представит две новинки на Infosecurity Russia 2008

InfoWatch представит две новинки на Infosecurity Russia 2008

Компания InfoWatch представит на 5-й международной выставке InfoSecurity Russia 2008 два новых продукта – InfoWatch CryptoStorage Personal для криптографической защиты данных пользователей, хранящихся на домашних ПК, а также новую версию корпоративной системы защиты конфиденциальной информации InfoWatch Traffic Monitor 3.1.

InfoWatch CryptoStorage Personal – первое программное решение InfoWatch, предназначенное для защиты конфиденциальной информации, хранящейся на персональном компьютере от несанкционированного доступа с использованием технологий шифрования. Среди функциональных возможностей продукта – шифрование файлов и папок с использованием стойких алгоритмов, возможность создания специализированных объектов хранения данных – файлов-контейнеров, защита логических дисков и флэш-носителей, разграничение прав доступа пользователей к защищаемым объектам.

InfoWatch CryptoStorage Personal позволяет также защищать от несанкционированного доступа содержимое оперативной памяти, сохраняемое на диске при переходе в спящий (hibernate) режим, данные файла дампа памяти (crash dump), сохраняемого на диске в экстренных ситуациях, информацию из временных файлов и файлов подкачки.

В новой версии InfoWatch Traffic Monitor 3.1 (IW TM 3.1) учтены пожелания пользователей предыдущих версий к базе данных продукта и консоли управления. Новинка использует последнюю версию Oracle 11g и среди прочих новых полезных функций осуществляет перехват и фильтрацию сообщений Lotus Notes как по формальным атрибутам перехваченного объекта, так и с помощью контентного анализа вложений и текста сообщений.

Поддержка протокола SNMP для мониторинга и управления системой обеспечивает контроль состояния компонент системы. А кластеризация Proxy-сервера позволила увеличить пропускную способность и обрабатываемую нагрузку. Для идентификации пользователей в новой версии используется единая система Microsoft Active Directory.

Рустэм Хайретдинов, заместитель генерального директора InfoWatch, отметил: «Для посетителей Infosecurity Russia 2008 в этом году наша компания подготовила два новых продукта, предназначенных для защиты конфиденциальной информации. Мы последовательно реализуем продуктовую стратегию InfoWatch, направленную на создание многоуровневой системы защиты чувствительной информации клиентов с помощью DLP (Data Leakage Prevention) систем последнего поколения. Новым в этой стратегии является то, что клиентские части наших корпоративных решений будут доступны для защиты информации персональных пользователей».

Отметим также, что в рамках конференции Infosecurity Moscow 2008 8 октября в Синем зале павильона №2 с докладом на тему «Современные решения в области защиты конфиденциальной информации» выступит ведущий аналитик компании InfoWatch, кандидат физико-математических наук, директор ассоциации «РусКрипто» Александр Иванов.

В Smart Slider 3 для WordPress нашли опасную брешь с риском захвата сайта

В плагине Smart Slider 3 для WordPress, который используется более чем на 800 тысячах сайтов, обнаружили неприятную уязвимость. Проблема позволяет аутентифицированному пользователю с минимальными правами — например, обычному подписчику — получить доступ к произвольным файлам на сервере.

Речь идёт об уязвимости CVE-2026-3098, которая затрагивает все версии Smart Slider 3 до 3.5.1.33 включительно. Исследователь Дмитрий Игнатьев сообщил о проблеме, после чего её подтвердили специалисты компании Defiant.

На первый взгляд уязвимость выглядит не самой страшной: для её эксплуатации нужна аутентификация. Поэтому ей присвоили средний уровень опасности. Но на практике всё не так безобидно. Если сайт поддерживает регистрацию, подписки или личные кабинеты, то даже пользователь с базовым доступом потенциально может добраться до конфиденциальных данных.

Главная опасность в том, что через эту брешь можно читать произвольные файлы сервера и добавлять их в экспортный архив. Под ударом оказывается, например, файл wp-config.php — один из самых важных для WordPress. В нём хранятся учётные данные базы данных, криптографические ключи, а это уже вполне может открыть дорогу к краже данных и даже к полному захвату сайта.

В AJAX-действиях экспорта у плагина не хватало проверок прав доступа. Иными словами, функция, которая должна была быть доступна далеко не всем, в уязвимых версиях могла вызываться любым пользователем. Дополнительной защиты nonce здесь оказалось недостаточно, потому что получить его может и обычный вошедший в систему юзер.

Патч вышел 24 марта вместе с версией Smart Slider 3 3.5.1.34. Но есть нюанс: несмотря на выход обновления, проблема всё ещё остаётся массовой. По статистике WordPress.org, за последнюю неделю плагин скачали более 303 тысяч раз, однако исследователи полагают, что как минимум 500 тысяч сайтов до сих пор работают на уязвимых версиях.

На момент публикации данных об активной эксплуатации этой уязвимости ещё не было. Но в таких случаях окно спокойствия обычно бывает недолгим: как только информация о баге становится публичной, злоумышленники начинают быстро проверять, какие сайты не успели обновиться.

Так что владельцам сайтов на WordPress, использующим Smart Slider 3, тянуть тут явно не стоит. Если плагин ещё не обновлён до версии 3.5.1.34, лучше сделать это как можно быстрее.

RSS: Новости на портале Anti-Malware.ru