Хакеры эксплуатируют в атаках брешь QNAP NAS, пропатченную 3 года назад

Хакеры эксплуатируют в атаках брешь QNAP NAS, пропатченную 3 года назад

Хакеры эксплуатируют в атаках брешь QNAP NAS, пропатченную 3 года назад

Киберпреступники атакуют устройства QNAP NAS, на которых установлены уязвимые версии прошивки. Несмотря на то, что с момента выхода патча прошло три года, в Сети всё ещё можно встретить проблемные девайсы. С помощью старой дыры злоумышленники могут удалённо выполнить код.

Атакующие сканируют интернет, пытаясь провести инъекцию собственной команды в уязвимые прошивки. Об операциях преступников рассказали специалисты 360 Netlab.

Как выяснили исследователи, проблема кроется в CGI-программе — /httpd/cgi-bin/authLogout.cgi, которая задействуется при выходе пользователя из системы.

«Суть уязвимости в том, что QPS_SID, QMS_SID и QMMS_SID не фильтруют специальные символы и вызывают функцию snprintf напрямую, что позволяет выполнить стороннюю команду», — гласит отчёт 360 Netlab.

Удалённый злоумышленник может использовать исполняемый файл authLogout.cgi для аутентификации, поскольку фильтрация спецсимволов не производится. После этого у атакующего открывается возможность вызвать системную функцию и выполнить команду.

Разработчики QNAP устранили уязвимость с выходом прошивки под номером 4.3.3 (релиз состоялся 21 июля 2017 года), однако, как отметили эксперты, многие устройства до сих пор не обновились.

В отчёте 360 Netlab также присутствуют индикаторы компрометации (IoC) и список уязвимых версий прошивки.

Подпишитесь на новости

ИИ без человека предложили остановить из-за биологических угроз

Мощным ИИ-системам, способным действовать без человека, предложили устроить международный стоп-кран. Австралийский специалист по геномике и молекулярной биологии Лотти Тажури считает, что развитие наиболее опасных автономных систем нужно приостановить до появления защитных механизмов.

В интервью РИА Новости учёный объяснил, что особенно обеспокоен биологическими рисками.

По его мнению, передовые модели не должны самостоятельно проектировать или оптимизировать биологические агенты, скрывать свои действия и обходить ограничения.

Тажури предлагает начать с соглашения между государствами, обладающими передовыми ИИ-технологиями. Следующий шаг — международная структура, которая установит обязательные стандарты для мощных систем, прежде всего в биологических исследованиях.

Разработчикам, считает эксперт, следует заранее доказывать, что действия модели можно отслеживать, её работу — прервать, а саму систему — отключить.

Оставлять надзор исключительно компаниям Тажури тоже не предлагает: бизнес конкурирует за рынок, государства — за технологическое лидерство. В такой гонке безопасность рискует остаться пунктом презентации.

При этом учёный не призывает отказаться от ИИ. Напротив, защитные модели могут помогать выявлять опасные закономерности, прогнозировать угрозы и ускорять ответные меры.

RSS: Новости на портале Anti-Malware.ru