Баги в продуктах Pepperl+Fuchs IO-Link Master грозят появлением бэкдора

Баги в продуктах Pepperl+Fuchs IO-Link Master грозят появлением бэкдора

Баги в продуктах Pepperl+Fuchs IO-Link Master грозят появлением бэкдора

Несколько уязвимостей в промышленных шлюзах производства Pepperl+Fuchs / Comtrol позволяют злоумышленнику получить root-доступ к устройству и открыть бэкдор. Проблемы затрагивают более десятка продуктов линейки IO-Link Master; пользователям настоятельно рекомендуется обновить прошивки.

Уязвимости зарегистрированы (PDF) под идентификаторами CVE-2020-12511, CVE-2020-12512, CVE-2020-12513, CVE-2020-12514, CVE-2018-20679 и CVE-2018-0732. Две последние возникли из-за использования устаревших версий компонентов сторонней разработки — OpenSSL и BusyBox.

Все эти бреши относятся к разным классам: CSRF (подделка межсайтовых запросов), XSS (межсайтовый скриптинг), возможность внедрения команд, разыменование null-указателя, чтение за пределами выделенного в памяти буфера, DoS (отказ в обслуживании). В зависимости от степени опасности проблемы получили от 6,0 до 8,8 балла по шкале CVSS.

Производитель устройств, работающих по протоколу IO-Link, выпустил патчи через несколько месяцев после получения отчета о находках. Заплатки включены в состав трех новых пакетов:

  • загрузчик U-Boot версии 1.36;
  • образ системы версии 1.52;
  • базовый пакет приложения версии 1.6.11.

В том случае, когда затронутый продукт подключен к сети общего пользования, Pepperl+Fuchs советует также принять дополнительные меры защиты:

  • заблокировать на файрволе входящий трафик из недоверенных сетей, в особенности запросы к веб-странице администрирования;
  • усилить пароли пользователя устройств и ужесточить настройки безопасности в таких аккаунтах, если к сети имеют доступ недоверенные пользователи или приложения.

PoC-эксплойты для названных уязвимостей уже стали достоянием общественности.

После январского апдейта Windows 11 компьютеры перестают загружаться

Microsoft разбирается с очередным неприятным сюрпризом после обновлений Windows, уже где-то пятым по счёту. Как сообщают пользователи, после установки январских патчей для Windows 11 некоторые компьютеры просто перестают загружаться и уходят в чёрный экран с ошибкой UNMOUNTABLE_BOOT_VOLUME.

Проблема проявляется после установки накопительного обновления KB5074109, выпущенного в рамках январского Patch Tuesday.

Под удар попали устройства с Windows 11 версии 25H2, а также все редакции Windows 11 24H2. По данным Microsoft, система не может загрузиться и останавливается на этапе старта, показывая чёрный экран с сообщением о критической ошибке и предложением перезагрузить устройство (что, впрочем, ситуацию не спасает).

В компании уточняют, что речь идёт о «ограниченном числе обращений», но для пострадавших пользователей это слабое утешение: система не загружается вовсе и требует ручного восстановления. При этом, как отмечает Microsoft, проблема затрагивает только физические устройства — о сбоях на виртуальных машинах пока не сообщалось.

На проблему обратили внимание и пользователи форума AskWoody. Сейчас Microsoft просит администраторов и обычных юзеров отправлять отчёты через приложение Feedback Hub и подчёркивает, что проверяет, связано ли поведение системы именно с январским обновлением.

«Мы изучаем эту проблему и стараемся установить, вызвана ли она обновлением Windows», — заявили в Microsoft, пообещав обновить документацию по мере прояснения ситуации.

На фоне этой истории компания уже успела выпустить внеплановое обновление (OOB) по другой проблеме — зависанию Microsoft Outlook при работе с PST-файлами, хранящимися в облачных сервисах вроде OneDrive или Dropbox. Этот баг в основном затрагивал корпоративных пользователей.

Напомним, ранее сообщалось и о проблемах в работе Блокнота и Ножниц после установки январских патчей.

RSS: Новости на портале Anti-Malware.ru