Cisco устранила 10-балльную уязвимость в IOS XE

Cisco устранила 10-балльную уязвимость в IOS XE

Cisco устранила 10-балльную уязвимость в IOS XE

Два дня назад компания Cisco Systems выпустила очередные обновления для своих ОС, суммарно устранив 27 уязвимостей. Три новые проблемы IOS XE оценены как критические, одна из них получила 10 баллов из 10 возможных по шкале CVSS.

Согласно бюллетеню, уязвимость CVE-2021-34770 связана с логической ошибкой, возникающей при проверке подлинности пакетов CAPWAP. Эксплойт позволяет удаленно, минуя аутентификацию, выполнить на устройстве любой код с привилегиями администратора или вызвать состояние отказа в обслуживании (DoS).

Наличие проблемы подтверждено для следующих продуктов Cisco:

  • контроллеры беспроводной связи серий 9800 и 9800-CL семейства Catalyst; 
  • свитчи Catalyst серий 9300, 9400 и 9500 со встроенным контроллером Catalyst 9800;
  • точки доступа Catalyst со встроенным контроллером беспроводной связи.

Критическая уязвимость CVE-2021-34727 (9,8 балла по CVSS) связана с процессом vDaemon и классифицируется как переполнение буфера. Она проявляется при обработке трафика и может спровоцировать DoS. Ошибку можно также использовать для удаленного выполнения команд с root-привилегиями и без аутентификации.

Эксплойт актуален для роутеров ISR серий 1000 и 4000, ASR серии 1000 и маршрутизаторов 1000V с включенной опцией SD-WAN (по умолчанию неактивна).

Причиной появления уязвимости CVE-2021-1619 в IOS XE (9,8 балла CVSS) является некорректная реализация механизма AAA (authentication, authorization, accounting — аутентификация, авторизация, учет). Эксплойт осуществляется путем передачи на устройство запросов NETCONF или RESTCONF и позволяет в обход аутентификации изменить конфигурацию устройства или вызвать DoS.

УБК МВД накрыло канал с торговлей персональными данными

Сотрудники Управления по организации борьбы с противоправным использованием информационно-коммуникационных технологий МВД России (УБК МВД) задержали жителя Волгограда по подозрению в незаконном распространении персональных данных.

О задержании фигуранта дела о незаконном обороте охраняемой законом информации сообщила официальный представитель МВД России Ирина Волк.

По данным ведомства, оперативники УБК МВД выявили в одном из мессенджеров сервис, через который можно было заказывать сведения о гражданах России. Источниками информации, как установили правоохранители, выступали базы данных операторов связи, банков, государственных учреждений и коммерческих организаций. Среднемесячный доход владельца сервиса, по оценкам сотрудников подразделения, составлял около 100 тыс. рублей.

По данному факту следователем СУ УМВД России по городу Волгограду возбуждено уголовное дело по признакам преступления, предусмотренного ч. 3 ст. 272.1 Уголовного кодекса РФ — незаконное использование, сбор, передача и хранение информации, содержащей персональные данные, а также создание ресурсов для её незаконного распространения.

 

Владелец и администратор канала, через который распространялись персональные данные, задержан. Ему предъявлено обвинение, судом избрана мера пресечения в виде заключения под стражу. Фигуранту дела грозит лишение свободы на срок до 10 лет.

По данным МВД, только за девять месяцев 2025 года было возбуждено 923 уголовных дела по статье 272.1 УК РФ. При этом эксперты и участники рынка высказывают опасения, что широкие формулировки статьи могут применяться и к относительно малозначительным правонарушениям, тогда как организаторы масштабной торговли персональными данными зачастую находятся за пределами России.

RSS: Новости на портале Anti-Malware.ru