Seagate устранила позволяющую выполнить код уязвимость NAS-устройств

Seagate устранила позволяющую выполнить код уязвимость NAS-устройств

Seagate устранила позволяющую выполнить код уязвимость NAS-устройств

Seagate исправила уязвимость в прошивке Seagate Personal Cloud Home Media Storage, использующейся в NAS-продукте компании. Брешь затрагивает веб-приложение Media Server и позволяет пользователям взаимодействовать с данными, хранящимися на устройстве, через сетевое соединение.

Интерфейс Media Server работает поверх приложения Django (Python), исследователь Йорик Костер обнаружил, что если злоумышленник сделает злонамеренные запросы к двум файлам (getLogs и uploadTelemetry), он может заставить приложение выполнить произвольные команды на целевом устройстве.

Недостаток получил классификацию «инъекции неавторизованной команды», он позволяет атакующим запускать команды на базовой прошивке устройства из интерфейса веб-управления. Господин Костер создал код, подтверждающий концепцию (proof-of-concept), который, эксплуатируя данную брешь, разрешает удаленный SSH-доступ на NAS-устройство Seagate, а затем позволяет изменить его пароль root.

Но есть один нюанс. Доступ к этому интерфейсу возможен только из локальной сети, следовательно, единственный способ использовать этот недостаток — заставить пользователя посетить зловредный URL-адрес в той же сети (LAN) с помощью устройства NAS.

Это можно осуществить с помощью, например, фишинга. Также злоумышленники могут вставлять код эксплойта в рекламные объявления. Когда владелец NAS обращается к сайту со злонамеренным объявлением, скрытый код объявления взаимодействует с уязвимым NAS-устройством.

Костер проинформировал Seagate об уязвимости компанию, занимающуюся безопасностью Beyond Security.

«Seagate была проинформирована об этой уязвимости 16 октября. Однако, даже признав факт получения информации об уязвимости, компания отказалась обозначить временные рамки исправления данной бреши», — пишет Beyond Security.

Однако вскоре Костер заявил, что Seagate удалось устранить вышеозначенную проблему.

«Могу подтвердить, что на моем NAS-устройстве проблема решена», — отчитался Костер, показав журнал изменений Seagate Personal Cloud для версии 4.3.18.0.

Собянин: камеры в Москве не вторгаются в личную жизнь

Мэр Москвы Сергей Собянин не считает, что развитие городских систем видеонаблюдения и цифровизации приводит к вторжению в личную жизнь граждан. По словам градоначальника, сотрудник полиции на перекрёстке тоже видит прохожих, автомобили и происходящие вокруг события. Однако это не означает вмешательства в частную жизнь.

В интервью РБК он заявил, что работа камер по своей сути мало отличается от присутствия полицейского на улице.

«Он вас видит. Ну, он же не вторгается в вашу личную жизнь. Ну, если вы начнете хулиганить, что-то такое вытворять, то... Тогда он подойдет и спросит, что вы делаете, и пресечет эти действия», — пояснил Собянин.

По мнению мэра, аналогичным образом работают и городские системы видеонаблюдения.

«Она есть и есть. Она фоновая. Она никакого отношения к вашей личной жизни не имеет. Поэтому никакого вторжения в личную жизнь там не происходит», — заявил он.

Тема городского видеонаблюдения и цифрового контроля остаётся одной из самых обсуждаемых в последние годы. Москва считается одним из мировых лидеров по количеству камер наблюдения и уровню цифровизации городских сервисов. Камеры используются для обеспечения общественной безопасности, контроля дорожного движения, поиска нарушителей и решения других задач.

При этом критики подобных систем регулярно поднимают вопросы о конфиденциальности данных и границах допустимого наблюдения со стороны государства.

Собянин же дал понять, что рассматривает камеры прежде всего как инструмент обеспечения порядка, а не как средство слежки за законопослушными гражданами.

RSS: Новости на портале Anti-Malware.ru