В источниках бесперебойного питания APC найдены критические уязвимости

В источниках бесперебойного питания APC найдены критические уязвимости

В источниках бесперебойного питания APC найдены критические уязвимости

Эксперты Positive Technologies Илья Карпов, Евгений Дружинин и Степан Носов обнаружили четыре уязвимости в модулях управления сетевыми источниками бесперебойного питания APC компании Schneider Electric, которые используются в промышленности, медицине, нефтегазовом секторе, центрах обработки данных, системах управления зданиями и в других сферах. Две уязвимости получили оценку в 10 баллов по шкале CVSS v. 3, что соответствует наивысшему уровню опасности.

Проблемы безопасности выявлены в модулях управления APC MGE SNMP/Web Card Transverse 66074, установленных в источниках бесперебойного питания Galaxy 5000/6000/9000, EPS 7000/8000/6000, Comet UPS/3000, Galaxy PW/3000/4000, STS (Upsilon и Epsilon).

Первая уязвимость CVE-2018-7243 (оценка 10) во встроенном веб-сервере (порт 80/443/TCP) позволяет удаленному злоумышленнику в обход системы аутентификации получить полный доступ к управлению ИБП, что представляет угрозу непрерывности работы подключенного к электросети оборудования.

Для устранения уязвимости производитель рекомендует заменить уязвимый модуль управления на NMC kit G5K9635CH в ИБП Galaxy 5000, Galaxy 6000, Galaxy 9000, а для MGE EPS 7000 и MGE EPS 8000 следует установить модуль управления NMC kit G9KEPS9635CH. Для остальных уязвимых ИБП замена отсутствует. Кроме того, вендор рекомендует придерживаться стандартных правил обеспечения кибербезопасности для минимизации рисков.

Вторая уязвимость встроенного веб-сервера (порт 80/443/TCP) заключается в возможности получения чувствительной информации об источнике бесперебойного питания (CVE-2018-7244, оценка 5,3). Эксплуатации третьей уязвимости (CVE-2018-7245, оценка 7,3) позволяет злоумышленнику без авторизации изменить различные параметры устройства, в том числе параметры отключения. Для устранения этих двух уязвимостей необходимо включить аутентификацию для всех HTML-страниц на странице управления доступом (это может быть сделано пользователем при первоначальной установке ИБП).

Четвертая уязвимость (CVE-2018-7246, оценка 10) дает удаленному злоумышленнику возможность перехватить данные учетной записи администратора. Если на устройстве не активирован SSL, при запросе страницы контроля доступа данные аккаунта будут отправлены в открытом виде. Производитель рекомендует использовать режим SSL в качестве режима по умолчанию и дополнительно контролировать доступ к интерфейсам управления, применяя, например, интерфейс Modbus RTU в ИБП cовместно с Modbus/SNMP шлюзом.

Задержан серийный взломщик аккаунтов пользователей маркетплейсов

Сотрудники отдела по борьбе с противоправным использованием информационно-телекоммуникационных технологий УМВД России по Пензенской области выявили и задержали подозреваемого во взломе учётных записей пользователей маркетплейсов. По версии следствия, он оформлял от их имени покупки дорогостоящих товаров в рассрочку.

Об успешной операции пензенских киберполицейских пишут местные СМИ со ссылкой на пресс-службу регионального УМВД. Дело было возбуждено после трёх обращений жителей Пензенской области о несанкционированных списаниях с их платёжных карт крупных сумм. Ущерб по этим эпизодам составил 150 тыс. рублей.

По факту произошедшего было возбуждено уголовное дело по ч. 3 статьи 158 УК РФ (кража). В ходе оперативных мероприятий следствие вышло на 20-летнего жителя Рязанской области. По данным полиции, он покупал в теневом сегменте интернета сим-карты с номерами, которые ранее использовались для регистрации на маркетплейсах, а затем были вновь переданы операторам. Эти сим-карты злоумышленник применял для захвата учётных записей пользователей, не отвязавших от аккаунтов старые номера.

От имени владельцев таких аккаунтов он приобретал дорогостоящие товары в рассрочку, а затем перепродавал их. После достижения лимитов на рассрочку злоумышленник, по версии следствия, продавал и сами учётные записи. Кроме того, как выяснилось, фигурант активно регистрировал подставные аккаунты в различных мессенджерах и также торговал ими.

В ходе следственных мероприятий подозреваемого задержали. У него изъяли семь телефонов, около 100 сим-карт, большое количество банковских карт и компьютерную технику.

Как сообщили в УМВД по Пензенской области, фигуранту также предъявлены дополнительные обвинения по ч. 2 статьи 272 УК РФ (неправомерный доступ к компьютерной информации) и статье 274.4 УК РФ (организация деятельности по передаче абонентских номеров с нарушением законодательства РФ). Ему избрана мера пресечения в виде заключения под стражу.

RSS: Новости на портале Anti-Malware.ru