Баги в продуктах Pepperl+Fuchs IO-Link Master грозят появлением бэкдора

Баги в продуктах Pepperl+Fuchs IO-Link Master грозят появлением бэкдора

Баги в продуктах Pepperl+Fuchs IO-Link Master грозят появлением бэкдора

Несколько уязвимостей в промышленных шлюзах производства Pepperl+Fuchs / Comtrol позволяют злоумышленнику получить root-доступ к устройству и открыть бэкдор. Проблемы затрагивают более десятка продуктов линейки IO-Link Master; пользователям настоятельно рекомендуется обновить прошивки.

Уязвимости зарегистрированы (PDF) под идентификаторами CVE-2020-12511, CVE-2020-12512, CVE-2020-12513, CVE-2020-12514, CVE-2018-20679 и CVE-2018-0732. Две последние возникли из-за использования устаревших версий компонентов сторонней разработки — OpenSSL и BusyBox.

Все эти бреши относятся к разным классам: CSRF (подделка межсайтовых запросов), XSS (межсайтовый скриптинг), возможность внедрения команд, разыменование null-указателя, чтение за пределами выделенного в памяти буфера, DoS (отказ в обслуживании). В зависимости от степени опасности проблемы получили от 6,0 до 8,8 балла по шкале CVSS.

Производитель устройств, работающих по протоколу IO-Link, выпустил патчи через несколько месяцев после получения отчета о находках. Заплатки включены в состав трех новых пакетов:

  • загрузчик U-Boot версии 1.36;
  • образ системы версии 1.52;
  • базовый пакет приложения версии 1.6.11.

В том случае, когда затронутый продукт подключен к сети общего пользования, Pepperl+Fuchs советует также принять дополнительные меры защиты:

  • заблокировать на файрволе входящий трафик из недоверенных сетей, в особенности запросы к веб-странице администрирования;
  • усилить пароли пользователя устройств и ужесточить настройки безопасности в таких аккаунтах, если к сети имеют доступ недоверенные пользователи или приложения.

PoC-эксплойты для названных уязвимостей уже стали достоянием общественности.

Возбуждено уголовное дело против пенсионерки, разыгравшей схему Долиной

В Туле возбудили уголовное дело в отношении местной пенсионерки, которая попыталась воспользоваться так называемой «схемой Долиной»: продать квартиру под влиянием мошенников, а затем вернуть её через суд. При этом деньги, полученные от покупателя, она возвращать не стала.

Как сообщил телеграм-канал «База», 70-летняя жительница Тулы действительно продала квартиру в 2024 году, находясь под воздействием телефонных аферистов.

Однако после сделки женщина осознала, что стала жертвой мошенников, и не стала переводить им вырученные средства.

За два месяца после продажи она успела потратить около 1,6 млн рублей на личные нужды. При этом затем пенсионерка обратилась в суд с требованием расторгнуть договор купли-продажи и вернуть квартиру.

Покупатель жилья, оставшийся и без недвижимости, и без денег, обратился в правоохранительные органы. По его заявлению было возбуждено уголовное дело по факту мошенничества.

Как сообщают региональные СМИ, покупатель намерен обжаловать судебное решение, по которому квартира осталась у прежней собственницы. Он и его адвокат изучают практику Верховного суда, который ранее признал право собственности на квартиру, проданную Ларисой Долиной, за Полиной Лурье.

На фоне резонанса вокруг подобных дел в Туле появилась и бизнес-инициатива: местная предпринимательница Светлана Овсянникова подала заявку на регистрацию товарного знака «Бабушкина схема Долиной». Под этим названием планируется запуск сервиса по проверке сделок с недвижимостью.

В целом ситуация, получившая название «эффект Долиной», уже привела к тому, что российские суды всё чаще возвращают прежним владельцам квартиры и другую недвижимость, проданную под воздействием телефонных мошенников.

RSS: Новости на портале Anti-Malware.ru