Trend Micro устранила серьёзные уязвимости в веб-шлюзе IWSVA

Trend Micro устранила серьёзные уязвимости в веб-шлюзе IWSVA

Trend Micro устранила серьёзные уязвимости в веб-шлюзе IWSVA

Компания Trend Micro на этой неделе разослала клиентам обновление InterScan Web Security Virtual Appliance (IWSVA), которое патчит несколько серьёзных уязвимостей. Потенциальный злоумышленник может использовать часть этих уязвимостей, чтобы удалённо получить контроль над атакуемым устройством.

Проблемы безопасности выявил Вольфганг Эттлингер, австрийский эксперт в области кибербезопасности из компании SEC Consult. Примечательно, что Эттлингер сообщил об уязвимостях Trend Micro ещё летом 2019 года.

Лишь в конце ноября 2020 года разработчики смогли устранить описанные исследователем бреши — с релизом версии IWSVA 6.5 SP2 CP b1919. Несмотря на затянувшийся процесс патчинга, Эттлингер отметил, что Trend Micro подошла к решению проблемы достаточно профессионально.

«В сравнении с другим крупными компаниями, с которыми нам приходилось иметь дело ранее, Trend Micro решила вопрос грамотно», — объяснил специалист.

Напомним, что Trend Micro IWSVA представляет собой веб-шлюз, помогающий организациям защищать системы от современных киберугроз. Одновременно IWSVA может контролировать использование интернета сотрудниками в режиме реального времени.

В общей сложности Эттлингер обнаружил шесть уязвимостей IWSVA, среди которых нашлись: возможность обхода защиты от CSRF, XSS, обход аутентификации и авторизации, возможность внедрить и выполнить команды. Большинство брешей получили высокую степень опасности.

Исследователь также определил три сценария атаки, которые предусматривают эксплуатацию этих дыр. В одном из таких сценариев атакующий сможет удалённо получить root-доступ к атакуемому устройству.

Компания SEC Consult посвятила этим проблемам безопасности отдельный пост, в котором также можно найти технические детали выявленных уязвимостей. Публиковать код эксплойта SEC Consult при этом отказалась.

Тем не менее мы можем ознакомиться с видеороликом, в котором демонстрируется эксплуатация уязвимостей и соответствующая атака:

Минцифры запретит региональным властям ограничивать установку систем связи

Минцифры подготовило законопроект, который запрещает регионам и муниципалитетам вводить собственные ограничения на установку базовых станций и антенно-мачтовых сооружений. По оценке ведомства, такие решения местных властей часто мешают развитию инфраструктуры связи.

Документ появился на портале проектов нормативных актов. Как следует из пояснительной записки, поводом для его разработки стало массовое появление региональных нормативных актов, устанавливающих ограничения на размещение объектов связи, включая базовые станции и антенно-мачтовые сооружения.

Такие нормы уже приняты в Ленинградской, Московской, Пензенской и Тюменской областях, а также в Пермском крае.

«Указанные ограничения создают препятствия для размещения новых сооружений связи, а в ряде случаев являются основанием для демонтажа уже функционирующих объектов связи, что может повлечь прекращение оказания услуг подвижной радиотелефонной связи на соответствующих территориях», — говорится в документе.

Эксперты, опрошенные «Российской газетой», назвали такие ограничения одним из наиболее серьёзных препятствий для развития отрасли связи. По их словам, в плотной жилой застройке соблюдение подобных требований может сделать установку новых объектов инфраструктуры практически невозможной, что неизбежно снижает качество связи. Инициатива Минцифры должна унифицировать требования к размещению таких объектов.

«Вместо разъяснительной работы и взаимодействия с гражданами местные администрации вводили жёсткие ограничения на размещение базовых станций. В результате соблюдение этих ограничений затрудняло или делало невозможным развитие сетей связи с обеспечением качественного покрытия и при разумном уровне инвестиций», — считает аналитик Алексей Бойко.

«Ограничения, которые вводятся на уровне муниципальных образований и субъектов РФ, могут стать серьёзным барьером на пути развития телеком-инфраструктуры в стране как основы предоставления качественных услуг связи для удовлетворения потребностей граждан, бизнеса и государства и не позволят достичь целей, которые установлены в программных документах, в том числе в Стратегии развития отрасли связи РФ до 2035 года», — прокомментировали изданию свою законодательную инициативу в Минцифры.

RSS: Новости на портале Anti-Malware.ru