В GnuTLS устранили двухлетнюю уязвимость

В GnuTLS устранили двухлетнюю уязвимость

В GnuTLS устранили двухлетнюю уязвимость

На прошлой неделе разработчики устранили опасную уязвимость в GnuTLS, библиотеке с открытым исходным кодом для имплементации протокола TLS. Самое удивительное, что эта брешь существовала в коде почти два года, следовательно, сессии TLS 1.3 были уязвимы для атаки.

Проблема безопасности, описанная специалистами на площадке GitHub, позволяла серверам GnuTLS использовать билеты сессии, которые были выпущены ещё при прошлом соединении. При этом необязательно было задействовать функцию, которая генерирует закрытые ключи — gnutls_session_ticket_key_generate().

Проще говоря, потенциальный злоумышленник мог использовать данную уязвимость для обхода процесса аутентификации TLS 1.3. Баг впервые появился в GnuTLS 3.6.4 (релиз состоялся 24 сентября 2018 года), а устранили его в GnuTLS 3.6.14 (3 июня 2020 года).

Эндрю Айер, основатель SSLMate, в Twitter подробно расписал своё видение этого бага. По словам Айера, уязвимость создала сложная система ротации ключей.

Впрочем, Айер и раньше высказывался негативно по поводу GnuTLS, называя библиотеку «клоунской» имплементацией TLS.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Две трети компаний можно взломать за сутки и меньше

Как показало исследование проекта «Кибериспытания», около двух третей российских компаний можно взломать за сутки или даже быстрее. Причём для этого вовсе не требуется высокий уровень подготовки: большинство успешных атак реализуются с использованием базовых техник и широко известных уязвимостей.

Результат данного исследования оказался в распоряжении РБК. В исследовании участвовало более 70 компаний из разных отраслей, включая ИТ, торговлю, науку, консалтинг, промышленность и финансы.

Работа проводилась в экспресс-формате: исследователи имели три месяца на реализацию сценариев, способных привести к остановке работы организации.

В 60% случаев добиться такого результата удалось. В сфере торговли показатель оказался ещё выше — 83%. Немногим ниже уровень уязвимости в промышленности — 80%. Самыми устойчивыми оказались компании финансового сектора — здесь успешными были только 25% атак.

Особенно уязвимыми оказались малые и средние компании. В 75% случаев исследователи достигли цели — это связывают с отсутствием собственных команд информационной безопасности.

Для 67% организаций атаки не потребовали высокой квалификации. Взлом занимал не более суток, а в некоторых случаях — меньше получаса.

Наиболее частыми векторами атак стали уязвимости и слабые настройки периметра, использование скомпрометированных или простых паролей, а также дыры в веб-приложениях.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru