Уязвимости в IBM QRadar позволяют удаленно выполнить команды

Олег Иванов 29 Мая 2018 - 10:06

...

Исследователь в области безопасности обнаружил три уязвимости в продукте IBM QRadar, эти бреши могут быть использованы эксплойтом в связке, что позволит удаленному злоумышленнику обойти процесс аутентификации и выполнить произвольные команды с root-привилегиями.

IBM QRadar представляет собой систему SIEM, призванную помочь аналитикам выявлять сложные киберугрозы в своей сети.

Исследователь Педро Рибейро уже сообщил компании о проблеме, связавшись с разработчиками через программу SecuriTeam Secure Disclosure.

Как позже заявила IBM, недостатки затрагивают версии с QRadar SIEM 7.3.0 по 7.3.1 Patch 2 и с QRadar SIEM 7.2.0 по 7.2.8 Patch 11. Уязвимости компания устранила с выходом 7.3.1 Patch 3 и 7.2.8 Patch 12.

Бреши получили общий идентификатор — CVE-2018-1418, по шкале CVSS они оцениваются на 5,6 баллов. Тем не менее, есть основания считать, что это опасные баги, так как в Национальной базе данных уязвимостей (National Vulnerability Database, NVD) им присвоены 9,8 баллов, что указывает на критическую степень опасности.

У QRadar есть встроенное приложение, отвечающее за сканирование файлов, у которого есть сервлет (Java) и основной компонент, использующий PHP. Первый компонент затрагивает уязвимость, которая может быть использована для обхода аутентификации, а второй имеет недостаток, который можно использовать для загрузки и выполнения шелла.

Затрагивающий компонент PHP недостаток требует аутентификации, но этого можно достичь, используя первую уязвимость.

Beyond Security предоставила технические подробности этих уязвимостей, там же опубликован PoC-код.

Следующая главная новость »

Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Олег Иванов 29 Мая 2020 - 18:49

Фишинг Целевые атаки Государство Лаборатория Касперского

Кибергруппа использует стеганографию в целевых атаках на промышленность

Исследователи проекта Kaspersky ICS CERT предупреждают о целевых атаках киберпреступников на промышленные организации в Японии и странах Европы. Экспертов особенно поражают подготовленность злоумышленников и сложность операций.

Впервые команда Kaspersky ICS CERT столкнулась с этими атаками в начале 2020 года. В мае группировка переключилась на организации в Японии, Италии, Германии и Великобритании.

Киберпреступники также выбрали себе в цели поставщиков оборудования и программного обеспечения для промышленных организаций. В качестве первой ступени в операциях используется целевой фишинг — к электронным письмам прикрепляются вредоносные документы Microsoft Office.

Атакующие используют скрипты PowerShell и ряд других способов, которые помогают им избегать детектирования и препятствовать анализу образцов вредоносных программ.

Согласно отчёту Kaspersky ICS CERT, киберпреступники адаптируют каждое письмо под конкретного получателя, учитывая его родной язык и другие особенности.

Основная цель каждого такого письма — обманом заставить пользователя открыть документ из вложения и разрешить выполнение макросов. Помимо этого, преступники используют известный инструмент Mimikatz для кражи учётных данных от аккаунтов в Windows.

Эксперты отметили интересный нюанс: специальный PowerShell-скрипт, используемый атакующими, загружает изображение с хостинга Imgur или imgbox. Этот медиафайл содержит данные, извлекая которые, вредоносная программа создаёт ещё один скрипт PowerShell — обфусцированную версию Mimikatz.