Cisco не удалось исправить критические уязвимости с первого раза

Cisco не удалось исправить критические уязвимости с первого раза

Cisco не удалось исправить критические уязвимости с первого раза

Исследователи Cisco определили дополнительные векторы атак и вычислили функции, подверженные «perfect 10» — уязвимости удаленного выполнения кода и отказа в обслуживании. Напомним, что компания уже пыталась исправить эту проблему, выпустив обновление, которое, впрочем, не до конца устранило брешь.

Изначально полагалось, что уязвимость, получившая идентификатор CVE-2018-0101, затрагивает только функцию webvpn в программном обеспечении Cisco Adaptive Security Appliance (ASA). Как оказалось, в зоне риска гораздо больше объектов, наличие уязвимости зависит от их конфигурации.

Помимо потенциальной возможности неавторизованных злоумышленников удаленно вызвать перезагрузку системы, а также выполнить код, брешь может позволить заставить ASA прекратить обработку поступающих VPN-запросов на аутентификацию.

«Уязвимость возникает из-за проблемы с распределением и освобождением памяти при обработке вредоносного XML-пейлоада. Злоумышленник может воспользоваться этой уязвимостью, отправив специально созданный пакет XML в уязвимый интерфейс затронутой системы», — уточняет Cisco в официальном сообщении.

«В настоящее время уязвимы ASA с включенными сервисами Secure Socket Layer (SSL) или IKEv2 Remote Access VPN. Риск использования уязвимости также зависит от доступности интерфейса для злоумышленника», — также добавляют специалисты компании.

На данный момент список уязвимых устройств выглядит так:

  • 3000 Series Industrial Security Appliance (ISA)
  • ASA 5500 Series Adaptive Security Appliances
  • ASA 5500-X Series Next-Generation Firewalls
  • ASA Services Module for Cisco Catalyst 6500 Series Switches and Cisco 7600 Series Routers
  • ASA 1000V Cloud Firewall
  • Adaptive Security Virtual Appliance (ASAv)
  • Firepower 2100 Series Security Appliance
  • Firepower 4110 Security Appliance
  • Firepower 4120 Security Appliance
  • Firepower 4140 Security Appliance
  • Firepower 4150 Security Appliance
  • Firepower 9300 ASA Security Module
  • Firepower Threat Defense Software (FTD)
  • FTD Virtual.

Ранее мы писали, что Cisco устранила уязвимость критической степени в Cisco VPN.

ARinteg представила Мастер ПДн для подготовки компаний к проверкам

Компания ARinteg представила новое решение «Мастер ПДн» для автоматизации процессов, связанных с обработкой и защитой персональных данных. Тема ПДн остаётся одной из самых болезненных для бизнеса: утечки продолжаются, а штрафы за нарушения с мая 2025 года заметно выросли.

Пока рынок только адаптируется к новым требованиям, но во второй половине 2026 года ситуация может стать жёстче, особенно если регуляторы начнут активнее применять новые санкции.

«Мастер ПДн» предназначен для подготовки документов, необходимых при обработке персональных данных. Решение работает с разными системами кадрового учёта и помогает выстроить документацию вокруг процессов обработки ПДн — именно такой подход требуется регулятором.

По словам заместителя технического директора по консалтингу и аудиту ARinteg Олега Нестеровского, компаниям важно не просто формально подготовить документы, а собрать доказательную базу того, что они выполнили требования закона по защите персональных данных.

Новый продукт стал развитием уже существующего у ARinteg решения — модуля УПДн, совместимого с 1С:ЗУП. «Мастер ПДн» расширяет его возможности и позволяет автоматически формировать номенклатуру согласий для каждого субъекта ПДн с учётом целей обработки.

Также решение генерирует набор согласий для сотрудников в зависимости от их должностных обязанностей: на обработку, передачу и распространение персональных данных. Кроме того, с его помощью можно подготовить организационно-распорядительные документы с учётом последних изменений в законодательстве.

Среди основных функций «Мастера ПДн» — учёт процессов обработки персональных данных, ведение перечня обрабатываемых ПДн, определение уровней защищённости ИСПДн, а также подготовка документов по обработке и защите данных.

В ARinteg заявляют, что решение может сократить время подготовки регламентной документации до 90%. Для компаний это означает меньше ручной работы для юристов, кадровиков и специалистов по информационной безопасности при подготовке к проверкам регуляторов.

RSS: Новости на портале Anti-Malware.ru