В серверных продуктах Supermicro обнаружено несколько уязвимостей

В серверных продуктах Supermicro обнаружено несколько уязвимостей

Эксперты обнаружили ряд уязвимостей, затрагивающих прошивку от Supermicro. Supermicro специализируется на выпуске x86-серверных платформ и различных комплектующих для серверов, рабочих станций и систем хранения данных.

Проблемы безопасности обнаружила команда Eclypsium, они затрагивают как старые, так и новые модели продуктов Supermicro. В настоящее время компания работает над устранением этих багов.

Эксплуатация этих брешей возможна только в случае использования вредоносной программы, которая уже запущена в системе. Однако опасность в том, что эксплуатация уязвимостей может помочь вредоносу прочно закрепиться в прошивке, что позволит ему пережить даже переустановку ОС.

Первая из дыр присутствует в конфигурации некоторых продуктов Supermicro. Как говорят специалисты, некоторые из этих продуктов поставляются с прошивкой, которая использует неправильную настройку для «Descriptor Region» (функция безопасности чипсетов на базе Intel).

Уязвимость позволяет работающей в ОС программе модифицировать Descriptor Region и проникнуть в прошивку.

«Supermicro сообщила, что некоторые из уязвимых устройств были выпущены в 2008 году, на данный момент они имеют статус end-of-life, их поддержка более не осуществляется», — пишет команда Eclypsium в отчете.

Еще одна проблема, которую обнаружили эксперты, — некорректная аутентификация при обновлении прошивки. Эта брешь затрагивает системы Supermicro X9DRi-LN4F+ и X10SLM-F.

«Мы провели тесты, в ходе которых намеренно модифицировали официальный образ прошивки Supermicro. Он был принят и установлен системой».

Третья и последняя проблема безопасности — отсутствие защиты от отката образа прошивки. Это важно в тех случаях, когда вендор проверяет подлинность прошивки, а также помогает предотвратить возможность замены злоумышленником более новый образ старым.

Исследователи Eclypsium уведомили Supermicro о наличии проблем еще в январе, на данный момент производитель работает над их устранением.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Штрафы за утечку сведений о здоровье могут ужесточить

Минцифры предлагает поднять штрафы за утечки данных о здоровье, национальности, судимости, политических взглядах и сведениях об интимной жизни. Новелла содержится в новой версии законопроекта об оборотных штрафах за утечки ПДн, который обсуждают с весны.

О предложении поднять штрафы за потерю данных специальной категории пишут “Ведомости”. Утечка таких ПДн будет считаться отягчающим обстоятельством.

По словам представителя Минцифры, пункт о более жесткой ответственности за утечки отдельных категорий данных обсуждается министерством с отраслью с лета.

"Такие ПД относятся к наиболее чувствительным, поэтому мы добавили этот пункт в перечень отягчающих обстоятельств", — отметил он.

К спецкатегории относятся данные о состоянии здоровья, о наличии судимости, религиозных убеждениях и тому подобное, поясняет бизнес-консультант по информационной безопасности (ИБ) Positive Technologies Алексей Лукацкий.

К такой информации также относятся данные о расовой и национальной принадлежности, политических взглядах, интимной жизни, добавляет партнер адвокатского бюро "Юрлов и партнеры" Глеб Ситников.

Биометрические данные — это биометрия лица, отпечатки пальцев и все те сведения, которые характеризуют физиологические и биологические особенности человека.

Пока не сообщается, как именно факт утечки специальной категории данных будет влиять на решение о сумме штрафа.

Рост утечек начался весной. Тогда в сеть выложили данные сервисов “Яндекс.Еда” и Delivery Club, а также медицинской лаборатории “Гемотест”. Сервисы доставки оштрафовали на 60 тыс. рублей, а персональные данные из медцентра оценили в 0,2 копейки за клиента.

Из других нововведений последней версии законопроекта об утечках — смягчающие обстоятельства. К ним Минцифры предлагает отнести компенсацию большинству пострадавшим от утечек и добровольный аудит защищенности данных.

Минцифры весной заявило о намерении ввести оборотные штрафы для компаний, допустивших утечку персональных данных. В первой редакции законопроекта предлагалось штрафовать компанию на 1% от годовой выручки за сам факт утечки и на 3%, если она не сообщила о ней вовремя.

В последней редакции документа такой порядок штрафа предусматривается только для компаний, допустивших утечку более 100 000 записей.

Законопроект критикует Ассоциация больших данных (АБД), в которую входят интернет-компании, операторы связи и банки. Свои замечания ассоциация направила в Минцифры. Бизнес просит министерство пересмотреть размеры штрафов в сторону их уменьшения.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru