В источниках бесперебойного питания APC найдены критические уязвимости

В источниках бесперебойного питания APC найдены критические уязвимости

В источниках бесперебойного питания APC найдены критические уязвимости

Эксперты Positive Technologies Илья Карпов, Евгений Дружинин и Степан Носов обнаружили четыре уязвимости в модулях управления сетевыми источниками бесперебойного питания APC компании Schneider Electric, которые используются в промышленности, медицине, нефтегазовом секторе, центрах обработки данных, системах управления зданиями и в других сферах. Две уязвимости получили оценку в 10 баллов по шкале CVSS v. 3, что соответствует наивысшему уровню опасности.

Проблемы безопасности выявлены в модулях управления APC MGE SNMP/Web Card Transverse 66074, установленных в источниках бесперебойного питания Galaxy 5000/6000/9000, EPS 7000/8000/6000, Comet UPS/3000, Galaxy PW/3000/4000, STS (Upsilon и Epsilon).

Первая уязвимость CVE-2018-7243 (оценка 10) во встроенном веб-сервере (порт 80/443/TCP) позволяет удаленному злоумышленнику в обход системы аутентификации получить полный доступ к управлению ИБП, что представляет угрозу непрерывности работы подключенного к электросети оборудования.

Для устранения уязвимости производитель рекомендует заменить уязвимый модуль управления на NMC kit G5K9635CH в ИБП Galaxy 5000, Galaxy 6000, Galaxy 9000, а для MGE EPS 7000 и MGE EPS 8000 следует установить модуль управления NMC kit G9KEPS9635CH. Для остальных уязвимых ИБП замена отсутствует. Кроме того, вендор рекомендует придерживаться стандартных правил обеспечения кибербезопасности для минимизации рисков.

Вторая уязвимость встроенного веб-сервера (порт 80/443/TCP) заключается в возможности получения чувствительной информации об источнике бесперебойного питания (CVE-2018-7244, оценка 5,3). Эксплуатации третьей уязвимости (CVE-2018-7245, оценка 7,3) позволяет злоумышленнику без авторизации изменить различные параметры устройства, в том числе параметры отключения. Для устранения этих двух уязвимостей необходимо включить аутентификацию для всех HTML-страниц на странице управления доступом (это может быть сделано пользователем при первоначальной установке ИБП).

Четвертая уязвимость (CVE-2018-7246, оценка 10) дает удаленному злоумышленнику возможность перехватить данные учетной записи администратора. Если на устройстве не активирован SSL, при запросе страницы контроля доступа данные аккаунта будут отправлены в открытом виде. Производитель рекомендует использовать режим SSL в качестве режима по умолчанию и дополнительно контролировать доступ к интерфейсам управления, применяя, например, интерфейс Modbus RTU в ИБП cовместно с Modbus/SNMP шлюзом.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В России может появиться новая статья УК для киберпреступников

Во второй пакет мер, направленных на борьбу с дистанционным мошенничеством, может войти поправка к статье 163 Уголовного кодекса РФ (вымогательство), предусматривающая до 15 лет лишения свободы за преступления с применением информационно-коммуникационных технологий.

С текстом второго антифрод-пакета ознакомился «Коммерсантъ». Документ включает более 30 инициатив, направленных на противодействие телефонному и интернет-мошенничеству.

Среди предлагаемых мер — ужесточение наказания за незаконную продажу SIM-карт, возможность установить самозапрет на звонки из-за рубежа, а также обязательная передача в единую систему противодействия мошенничеству информации о звонках, содержащих признаки противоправных действий.

В рамках пакета также предлагается дополнить статью 163 Уголовного кодекса новой частью, предусматривающей отдельную ответственность за вымогательство с использованием цифровых технологий. В новой статье 163.1 предлагается установить наказание вплоть до 15 лет лишения свободы.

Под действие новой нормы будут подпадать случаи, когда вымогательство сопровождается вводом, уничтожением, блокированием или модификацией компьютерной информации, а также преднамеренным воздействием на информационные системы и (или) телекоммуникационные сети — включая использование искусственного интеллекта.

Эта инициатива вызвала вопросы у ряда опрошенных экспертов. Так, в компании F6 отметили, что вымогательство с применением вредоносного кода уже охватывается действующими частями 2 и 3 статьи 163 УК.

По мнению одного из источников на ИБ-рынке, основная проблема — не в отсутствии необходимых правовых норм, а в сложности сбора доказательств и установления личности злоумышленников.

На данный момент предложенные меры проходят межведомственное согласование. Как уточнили в Минцифры, в процессе рассмотрения возможны существенные корректировки.

Ранее стало известно, что правительство также готовит меры по криминализации DDoS-атак. Это стало ответом на инициативу министра юстиции Вадима Фадеева.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru