Palo Alto Networks исправили уязвимости, найденные экспертом Google

Palo Alto Networks исправили уязвимости, найденные экспертом Google

Palo Alto Networks исправили уязвимости, найденные экспертом Google

Исследователь Тэвис Орманди (Tavis Ormandy) обнаружил несколько уязвимостей в операционной системе PAN-OS, принадлежащей Alto Networks. Воспользовавшись этими недостатками, злоумышленник может выполнить произвольный код с правами суперпользователя.

В общей сложности Орманди обнаружил 3 бреши в безопасности. Самая серьезная из них отслеживается под именем CVE-2016-9150 и связана с тем, как сервер обрабатывает переполнение буфера. Злоумышленник с сетевым доступом к интерфейсу управления может использовать эту уязвимость, чтобы выполнить <a href="https://bugs.chromium.org/p/project-zero/issues/detail?id=908">произвольный код</a> или вызвать состояние отказа в обслуживании (DoS).

Исследователь Google отметил, что PAN-OS использует модифицированную версию встроенного сервера Appweb 3, поддержка которого прекратилась в 2012 году. Следовательно уже 4 года он не получает обновлений безопасности.

Помимо этого, Орманди обнаружил две локальные ошибки повышение привилегий, которые могут быть использованы для получения прав суперпользователя. Эти недостатки отслеживаются под именем CVE-2016-9151.

«Межсетевые экраны Palo Alto Networks некорректно проверяют некоторые переменные окружения, которые потенциально могут позволить выполнение кода с более высокими привилегиями» - говорится в сообщении, опубликованном компанией.

Изначально, когда Palo Alto Networks сообщили Орманди о том, что одна из этих уязвимостей исправлена, эксперт быстро нашел способ обойти это исправление.

Найденные бреши затрагивают: PAN-OS 5.0.19 и более ранние версии, PAN-OS 5.1.12 и более ранние версии, PAN-OS 6.0.14 и более ранние версии, PAN-OS 6.1.14 и более ранние версии, PAN-OS 7.0.10 и более ранние версии и PAN-OS 7.1.5 и более ранние версии. С релизом версий 5.0.20, 5.1.13, 6.0.15, 6.1.15, 7.0.11 и 7.1.6. уязвимости были исправлены.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В России представили прототип шлюза безопасности на отечественной платформе

На форуме Kazan Digital Week 2025 «Лаборатория Касперского» и Kraftway представили новый рабочий прототип шлюза безопасности. Его ключевая особенность — использование российской электронной компонентной базы, чего не было в предыдущей версии.

Разработчики тестируют работу ПО KasperskyOS и Kaspersky Automotive Secure Gateway на новой платформе.

Сейчас идёт проверка и валидация системы, а также пилотные проекты. В дальнейшем решение планируется использовать не только в автомобилях, но и в других видах транспорта.

Прототип объединяет шлюз безопасности и телематический блок. Такая архитектура позволит строить отечественные интеллектуальные системы управления дорожным движением и транспортом. Новый комплекс рассчитан на безопасное обновление «по воздуху», удалённую диагностику и изоляцию критически важных систем от внешних сервисов.

При проектировании упор сделали на «конструктивную безопасность»: когда защита интегрируется в систему ещё на этапе архитектуры. В прототипе реализованы аутентификация и разграничение прав доступа, защита каналов связи, доверенная загрузка и защищённое хранилище данных.

По словам участников проекта, появление подобных решений важно для транспортной отрасли: оно обеспечивает локализацию технологий и снижает зависимость от зарубежных компонентов, а также помогает выстроить замкнутый цикл — от проектирования и производства до эксплуатации устройств в России.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru