Уязвимости в файрволе FortiWeb грозят взломом корпоративной сети

Уязвимости в файрволе FortiWeb грозят взломом корпоративной сети

Уязвимости в файрволе FortiWeb грозят взломом корпоративной сети

Компания Fortinet выпустила первую новогоднюю порцию патчей для своих продуктов, в том числе для файрвола веб-приложений FortiWeb (Web Application Firewall, WAF). В этом продукте закрыто четыре уязвимости, допускающие удаленный эксплойт; их использование потенциально позволяет получить несанкционированный доступ к корпоративной сети.

Новые бреши в FortiWeb обнаружил эксперт Positive Technologies Андрей Медов. Степень их опасности оценена как умеренная: три уязвимости получили по 6,4 балла по шкале CVSS, одна — 5,3 балла.

Согласно бюллетеням Fortinet, почти все устраненные ошибки открывают возможность для удаленного выполнения вредоносного кода:

  • CVE-2020-29015 — «слепая инъекция» SQL-кода в интерфейсе пользователя; позволяет обойти аутентификацию и выполнить любой SQL-запрос или команду через отправку запроса с аутентификационным заголовком, содержащим вредоносный SQL-оператор;
  • CVE-2020-29016 — переполнение буфера в стеке; позволяет без авторизации перезаписать содержимое стека и потенциально выполнить произвольный код, подав запрос с длинным именем сертификата;
  • CVE-2020-29018 — ошибка интерпретации строки формата; позволяет авторизованному пользователю прочесть содержимое памяти и получить конфиденциальные данные с помощью параметра redir; эксплойт грозит несанкционированным исполнением кода или команды;
  • CVE-2020-29019 — переполнение буфера в стеке; позволяет без авторизации вызвать аварийный отказ httpd-демона посредством подачи запроса со специально сформированным заголовком Cookie.

Наличие проблем подтверждено для FortiWeb веток 6.2 и 6.3. Пользователям сетевого экрана рекомендуется установить обновление 6.2.4 или 6.3.8 соответственно.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Роскомнадзор обсуждает с маркетплейсами проверку сим-карт

Роскомнадзор совместно с маркетплейсами обсуждает возможность внедрения механизмов проверки сим-карт на предмет их использования мигрантами. По мнению ведомства, это может затруднить использование чужих номеров в мошеннических схемах.

Как сообщил источник ТАСС, соответствующая инициатива обсуждалась на совещании в Роскомнадзоре с участием представителей крупных маркетплейсов. Одной из ключевых тем стала проверка сим-карт, которые используются иностранными гражданами.

«Как показывает практика, иностранные граждане при устройстве на работу нередко используют сим-карты, зарегистрированные на других лиц. Нововведение поможет решить, в том числе, проблему мошенничества с использованием чужих номеров», — отметил источник агентства.

На совещании рассматривались возможные варианты реализации такого контроля. В частности, работодателей, нанимающих мигрантов, могут обязать проверять, кому принадлежат номера, указанные в анкетных данных при приёме на работу. В случае нарушений ответственность будет нести работодатель.

Представители маркетплейсов предложили создать единую систему, с помощью которой можно было бы проверять принадлежность телефонных номеров. По их мнению, только такой централизованный подход может обеспечить эффективность механизма.

В свою очередь, представители Роскомнадзора рекомендовали тем отраслям, где доля мигрантов особенно высока, разработать меры контроля в рамках саморегулирования.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru