Хакеры эксплуатируют в атаках брешь QNAP NAS, пропатченную 3 года назад

Хакеры эксплуатируют в атаках брешь QNAP NAS, пропатченную 3 года назад

Хакеры эксплуатируют в атаках брешь QNAP NAS, пропатченную 3 года назад

Киберпреступники атакуют устройства QNAP NAS, на которых установлены уязвимые версии прошивки. Несмотря на то, что с момента выхода патча прошло три года, в Сети всё ещё можно встретить проблемные девайсы. С помощью старой дыры злоумышленники могут удалённо выполнить код.

Атакующие сканируют интернет, пытаясь провести инъекцию собственной команды в уязвимые прошивки. Об операциях преступников рассказали специалисты 360 Netlab.

Как выяснили исследователи, проблема кроется в CGI-программе — /httpd/cgi-bin/authLogout.cgi, которая задействуется при выходе пользователя из системы.

«Суть уязвимости в том, что QPS_SID, QMS_SID и QMMS_SID не фильтруют специальные символы и вызывают функцию snprintf напрямую, что позволяет выполнить стороннюю команду», — гласит отчёт 360 Netlab.

Удалённый злоумышленник может использовать исполняемый файл authLogout.cgi для аутентификации, поскольку фильтрация спецсимволов не производится. После этого у атакующего открывается возможность вызвать системную функцию и выполнить команду.

Разработчики QNAP устранили уязвимость с выходом прошивки под номером 4.3.3 (релиз состоялся 21 июля 2017 года), однако, как отметили эксперты, многие устройства до сих пор не обновились.

В отчёте 360 Netlab также присутствуют индикаторы компрометации (IoC) и список уязвимых версий прошивки.

Telegram тестирует запрет пересылки в личных чатах

Telegram продолжает экспериментировать с новыми функциями. В бета-версии для iOS 12.5 появились сразу две любопытные возможности: защита контента в личных чатах и автоматические напоминания по датам. Пока обе функции доступны только в бета-версии для iOS, и сроки их появления в стабильной сборке не называются.

На нововведения обратил внимание «Код Дурова». Первая функция касается приватности. В бета-версии можно запретить собеседнику копировать, сохранять и пересылать материалы из личного чата.

Чтобы включить ограничение, нужно открыть профиль контакта, выбрать «Изменить контакт» и активировать пункт «Запретить копирование». Правда, пока функция работает нестабильно, что неудивительно для тестовой версии.

 

Если нововведение дойдёт до релиза, это станет заметным шагом к усилению контроля над личной перепиской. Ранее похожие ограничения уже применялись в секретных чатах и каналах, но теперь речь идёт об обычных приватных диалогах.

Вторая тестируемая возможность — «умные» напоминания. Telegram начал автоматически распознавать в сообщениях временные формулировки вроде «сегодня», «завтра» или конкретные даты, например «1 апреля», и предлагать создать напоминание в один тап.

Интересно, что если напоминание создаётся из группового чата, уведомление всё равно придёт в «Избранное». Это значит, что пользователь получит его даже в том случае, если уведомления от группы отключены или если он позже выйдет из неё.

RSS: Новости на портале Anti-Malware.ru