Эксперты обнаружили уязвимость, угрожающую сотням тысяч IoT-устройств

Эксперты обнаружили уязвимость, угрожающую сотням тысяч IoT-устройств

Эксперты обнаружили уязвимость, угрожающую сотням тысяч IoT-устройств

Эксперты сообщают об уязвимости в веб-сервере, встроенном в сотни тысяч IoT-устройств. Речь идет о GoAhead, пакете веб-серверов, созданном компанией Embedthis Software LLC, расположенной в Сиэтле, США.

Компания Embedthis утверждает, что ее продукт в настоящее время используется такими крупными корпорациями, как Comcast, Oracle, D-Link, ZTE, HP, Siemens, Canon, а также многими другими. GoAhead довольно популярен среди поставщиков аппаратных средств, поскольку он может работать на устройствах с ограниченными ресурсами — IoT-устройства, маршрутизаторы, принтеры и другое сетевое оборудование.

Этот недостаток обнаружили эксперты из австралийской компании Elttam, как выяснилось, он способен привести к удаленному выполнению вредоносного кода на устройствах, использующих GoAhead. Технические подробности этой уязвимости, получившей идентификатор CVE-2017-17562, объясняются здесь.

Атакующие могут проэксплуатировать эту брешь, если CGI включен, а программа CGI динамически связана, что является довольно распространенным вариантом конфигурации.

Специалисты Elttam сообщили об ошибке Embedthis, благодаря чему разработчики выпустили патч. Все версии GoAhead до 3.6.5 считаются уязвимыми. После того, как Embedthis выполнила свою часть работы, выпустив патч, осталось дождаться, когда поставщики устройств задействуют это обновление.

Ожидается, что такой процесс займет месяцы, даже годы, ибо некоторые устройства не получат обновления, поскольку прекратился их срок поддержки.

Минцифры хотят официально назначить ответственным за сайты правительства

Минцифры России может официально стать ведомством, которое отвечает за развитие сайтов и других интернет-ресурсов правительства. Такой проект постановления вынесли на общественное обсуждение. Объясняется тем, что Минцифры и так уже занимается этой работой, но формально полномочия за ведомством не закреплены.

А без бумажки, как водится, даже развитие правительственных сайтов может двигаться медленнее, чем хотелось бы.

В пояснительной записке говорится, что отсутствие официального статуса мешает оперативно реализовывать мероприятия по развитию интернет-ресурсов правительства.

При этом техническая инфраструктура остаётся за ФСО России. Именно ФСО указана оператором, который обеспечивает функционирование информационно-телекоммуникационной инфраструктуры для размещения официальных сайтов и других интернет-ресурсов правительства.

Отдельно в документах напоминают, что приказом ФСО от 20 января 2020 года центр специальной связи и информации службы отвечает за поддержание, эксплуатацию, развитие и информационную безопасность российского государственного сегмента интернета — RSNet.

Иными словами, расклад предлагают сделать более официальным: Минцифры — за развитие правительственных сайтов, ФСО — за инфраструктуру и безопасность.

Бюрократически звучит сухо, но по сути речь о том, чтобы закрепить уже сложившуюся схему и убрать подвешенное состояние, когда работа есть, а полномочия оформлены не до конца.

RSS: Новости на портале Anti-Malware.ru