В Cisco DNA Center найден бэкдор-аккаунт, патчи уже доступны

В Cisco DNA Center найден бэкдор-аккаунт, патчи уже доступны

В Cisco DNA Center найден бэкдор-аккаунт, патчи уже доступны

На днях Cisco оповестила пользователей о трех уязвимостях, получивших статус критических (10 баллов из 10 по шкале CVSSv3). Одна из брешей представляет собой наличие бэкдор-аккаунта в Cisco DNA Center.

Проблемы безопасности в довольно сложном программном обеспечении удалось обнаружить благодаря грамотному аудиту, проведенному специалистами Cisco.

Первую из уязвимостей, получившую идентификатор CVE-2018-0222, проще всего проэксплуатировать, Cisco описывает ее как «недокументированные статические учетные данные для аккаунта администратора», что является, по сути, неким аккаунтом-бэкдором.

Компания не указала имя пользователя и пароль от этой учетной записи, однако уточнила, что эти данные могут быть использованы злоумышленником для повышения привилегий.

Известных способов деактивации этого аккаунта не существует, так что рекомендуется как можно скорее применить выпущенные компанией патчи.

Вторая уязвимость — CVE-2018-0268 — позволяет обойти процесс аутентификации подсистемы Kubernetes, встроенной в Cisco DNA Center.

«Имеющий доступ к служебному порту Kubernetes злоумышленник может выполнить команды с повышенными привилегиями», — пишет Cisco. — «Удачная эксплуатация может привести к полной компрометации затронутых контейнеров».

Как и в случае с предыдущей брешью, обходных путей для ее устранения нет, придется обновляться.

Последняя, но от этого не менее важная, брешь CVE-2018-0271. Этот недостаток позволяет обойти аутентификацию API DNA Center.

«Баг обусловлен неспособностью упорядочить URL-адреса. Злоумышленник может использовать эту брешь, отправив специально сформированный URL», — объясняют эксперты. — «Удачная эксплуатация этой проблемы позволит атакующему получить неаутентифицированный доступ к критическим службам, что приведет к повышению привилегий в DNA Center».

Cisco устранила все три проблемы в DNA Center v1.1.3.

Подпишитесь на новости

ВС признал переписку с адвокатом в телефоне обвиняемого доказательством

Переписка с адвокатом в смартфоне не получила автоматический пропуск из уголовного дела. Верховный суд РФ признал допустимыми сообщения, найденные в телефоне обвиняемого: мужчина добровольно передал устройство оперативникам и сообщил пароль. Защита ссылалась на адвокатскую тайну, но суд этот довод отклонил.

Позиция изложена в определении ВС от 14 октября 2026 года по делу № 19-УД26-24-А3.

Фигурант утверждал, что заказал из-за границы растительное удобрение, а наркотическое вещество оказалось в посылке по ошибке отправителя. Однако суд счёл, что содержимое телефона подтверждает его осведомлённость ещё до таможенного досмотра.

Среди прочего мужчина отправлял адвокату сведения о предстоящем контроле и ссылку на статью об ответственности за заказ митрагинина.

ВС указал: адвокатская тайна связана с оказанием юридической помощи, а адвокат не вправе разглашать её без согласия доверителя. Но здесь исследовали телефон самого обвиняемого, добровольно выданный вместе с паролем. Оперативно-разыскное мероприятие суд признал законным, отметив наличие судебного разрешения.

При этом явку с повинной и опрос, оформленные без адвоката, исключили из доказательств. Переписка же в деле осталась. Итоговый приговор — 15 лет и шесть месяцев колонии строгого режима — ВС менять не стал.

В этой истории стоит учитывать, что речь шла о добровольной передаче устройства, сообщении пароля и законности ОРМ. Даже такой сомнительный прецедент не даёт оснований считать, что любую переписку с поверенным теперь можно прочитать.

RSS: Новости на портале Anti-Malware.ru