Для уязвимости в libssh выпущены сканеры и эксплойты

Для уязвимости в libssh выпущены сканеры и эксплойты

Для уязвимости в libssh выпущены сканеры и эксплойты

Обнаруженная на прошлой неделе уязвимость в libssh, позволяющая пройти аутентификацию без учетных данных, похоже, пользуется популярностью. С момента обнаружения уже было выпущено множество инструментов и скриптов, которые помогают атакующим удаленно использовать эту брешь.

Проблема безопасности получила идентификатор CVE-2018-10933, и ее крайне просто использовать — нужно всего лишь послать SSH2_MSG_USERAUTH_SUCCESS, когда libssh ожидает SSH2_MSG_USERAUTH_REQUEST. Таким образом, библиотека будет думать, что атакующий прошел процесс аутентификации.

Несмотря на то, что баг был устранен в версиях libssh 0.7.6 и 0.8.4, исследователи выпустили сканеры и скрипты, которые значительно упрощают процесс эксплуатации этого недостатка. Используя эти инструменты, злоумышленники могут удаленно выполнить команды на уязвимых версиях.

Эксперты также опубликовали ряд советов, как снизить риск использования этой бреши. Вот некоторые из них.

Arch Linux

В Arch Linux предлагают обновить версию libssh. Для этого можно воспользоваться командой:

pacman -Syu "libssh>=0.8.4-1"

Cisco

Cisco опубликовала официальное сообщение, в котором утверждается, что команда поверяет, какие устройства могут быть затронуты этой проблемой.

Debian

Для Debian были выпущены пропатченные пакеты, в которых устраняется уязвимость.

Dell

Пользователям Dell повезло больше — продукты компании используют libssh2, которая не подвержена влиянию CVE-2018-10933.

F5 Networks

К сожалению, продукты BIG-IP (AFM) уязвимы, а патча на данный момент нет.

Red Hat

В Red Hat заявили, что проблема затрагивает только поставляемую с Red Hat Enterprise Linux 7 Extras версию libssh. Другие пакеты никак не затронуты.

SUSE

Уязвимы версии: SUSE Linux Enterprise Desktop 12 SP3, SUSE Linux Enterprise Module for Basesystem 15, SUSE Linux Enterprise Software Development Kit 12 SP3, SUSE Linux Enterprise Workstation Extension 12 SP3, openSUSE Leap 15.0 и openSUSE Leap 42.3. Команда опубликовала список доступных патчей.

Ubuntu

Затронуты версии: Ubuntu 18.04 LTS, Ubuntu 16.04 LTS и Ubuntu 14.04 LTS. Разработчики также опубликовали список доступных патчей.

В Краснодаре ребёнка отказались записывать к врачу без MAX

В Краснодаре местная жительница столкнулась с довольно странной ситуацией: в детской поликлинике ей фактически отказали в обычной записи ребёнка к врачу и заявили, что теперь сделать это можно только через мессенджер MAX. По словам женщины, ещё в феврале она пыталась записать сына к офтальмологу и хирургу через «Госуслуги» в детскую поликлинику № 27 на проспекте Знаменского, 3.

Но через сервис записаться не получилось — свободных талонов не было. Об этой истории 24 марта сообщил телеграм-канал Gmrlive.

Тогда её муж поехал в поликлинику лично, чтобы попробовать взять талон через терминал или оформить запись через регистратуру. Но там, как утверждается, в услуге отказали. Сотрудники медучреждения сослались на некое новое распоряжение, по которому записываться к врачам теперь якобы нужно только через MAX.

Такой ответ семью, мягко говоря, не устроил. Женщина направила обращение в Министерство здравоохранения Краснодарского края и попросила разъяснить, на каком основании ей отказали в записи и что делать пациентам, у которых мессенджер MAX вообще не установлен.

 

После этого ситуация довольно быстро начала меняться. Сначала из поликлиники ей позвонили и предложили записаться по телефону. Заодно пообещали починить терминал, через который должны выдаваться талоны.

А позже, 16 марта, пришёл и официальный ответ из краевого Минздрава. В письме сообщили, что с медицинским персоналом уже провели рабочее совещание по поводу исполнения их обязанностей. Кроме того, в ответе перечислили доступные способы записи к врачу — и мессенджера MAX среди них не оказалось.

Также женщине направили номер горячей линии и контакты главного врача, чтобы в случае повторения подобных ситуаций можно было обращаться напрямую.

В итоге история получилась довольно показательной. На словах пациентке сначала попытались представить MAX как едва ли не обязательный канал записи к врачу. Но после жалобы быстро выяснилось, что официально такого требования нет, а записаться к врачу по-прежнему можно и другими способами.

Напомним, мессенджер MAX с 18 марта 2026 года получил статус социальной сети. Это важно прежде всего для владельцев крупных каналов: теперь страницы и каналы с аудиторией более 10 тысяч пользователей смогут работать в рамках уже действующих правил Роскомнадзора для соцсетей и получать в MAX маркировку A+ после регистрации через госреестр.

RSS: Новости на портале Anti-Malware.ru