Специалисты австрийской компании SEC Consult рассказали о странной истории, связанной с известным производителем Ubiquiti Networks, который разрабатывает различные аппаратные и софтверные решения для провайдеров и предприятий.
Еще в ноябре 2016 года исследователи обнаружили серьезную проблему в устройствах Ubiquiti, которая позволяет атакующему полностью перехватить контроль над девайсом. Специалисты сообщили об уязвимости производителю, воспользовавшись официальной bug bounty программой на HackerOne, но разработчики Ubiquiti повел себя весьма странно. Вначале представители компании заявили, что уже знают о баге и отказались принимать заявку исследователей. Затем заявка все же была принята, а проблема признана, но патча для уязвимости до сих пор нет, потому что связь с сотрудниками Ubiquiti оборвалась еще в январе 2017 года. В настоящий момент специалисты SEC Consult уже окончательно отчаялись вновь установить контакт с Ubiquiti и решили публично раскрыть информацию о проблеме,
Исследователи пишут, что файл pingtest_action.cgi на ряде устройств Ubiquiti содержит уязвимость типа command injection. Баг возник в силу того, что разработчики использовали для создания встроенного сервера устройств невероятно старую версию PHP – это PHP 2.0.1, вышедшая в 1997 году, то есть двадцать лет назад! Но есть две новости: хорошая и плохая. Хорошая: к счастью, проблему command injection может эксплуатировать только авторизованный пользователь. Плохая: данная уязвимость не является единственной. Также прошивка устройств Ubiquiti уязвима перед CSRF-атаками, что позволяет фальсифицировать действия пользователя.
Устроить CSRF-атаку на уязвимое устройство совсем несложно. Исследователи пишут, атака может быть реализована посредством одного GET-запроса, и для этого достаточно заманить жертву на вредоносный сайт. Так как защиты от CSRF у девайсов Ubiquiti нет, злоумышленник сможет обратиться к админке устройства и выполнить произвольные действия, за спиной легитимного пользователя.
Демонстрацию атаки исследователи записали на видео, однако proof-of-concept эксплоит пока не был опубликован. Исследователи все-таки решили дождаться выхода патча, надеясь, что огласка привлечет внимание к проблеме.
Эксперты SEC Consult опробовали атаку против четырех девайсов Ubiquiti и пришли к выводу, что такая же проблема существует еще как минимум у 38 моделей устройств. Список можно увидеть ниже.
Хамовнический суд Москвы признал запрещенной публикуемую в мессенджерах информацию о возможности изменения голоса во время звонков. Телеграм-боты, предлагающие такие услуги, подлежат блокировке на территории РФ.
Решение принято судом по ходатайству прокуратуры, поданному в защиту неопределенного круга лиц. Ответчику (Роскомнадзору) предписано ограничить доступ к ресурсам Telegram, нарушающим российское законодательство.
Суд установил, что публичный доступ к таким ресурсам повышает риск их использования в нарушение российских законов о связи, противодействии терроризму и экстремистской деятельности. Кроме того, доступность услуг по подмене голоса провоцирует мошенничество, с которым российские власти усиленно борются.
Особенно опасны в этом плане дипфейки. В прошлом году из-за использования злоумышленниками ИИ-технологий число атак с применением дипфейков, по данным экспертов МТС, измерялось десятками тысяч.
Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
