Уязвимость в Cisco ASA грозит нарушением связи с удаленными сотрудниками

Уязвимость в Cisco ASA грозит нарушением связи с удаленными сотрудниками

Уязвимость в Cisco ASA грозит нарушением связи с удаленными сотрудниками

Эксперт Positive Technologies Никита Абрамов выявил в межсетевых экранах Cisco ASA уязвимость, позволяющую вызвать на устройстве состояние отказа в обслуживании (DoS). Степень опасности проблемы оценена в 8,6 балла CVSS; во избежание дестабилизации доступа к внутренней сети организациям рекомендуется установить обновление.

По словам автора находки, уязвимость CVE-2021-34704 связана с ошибкой переполнения буфера. Согласно бюллетеню Cisco, такая вероятность возникла из-за неадекватной проверки входных данных при парсинге HTTPS-запросов.

Эксплойт проводится удаленно и не требует аутентификации. В случае успеха система экстренно завершит работу, затем последует перезагрузка.

«Нарушение работы Cisco ASA и Cisco FTD в первую очередь лишает компанию межсетевого экрана и средств удаленного доступа (VPN), — поясняет Абрамов. — При успешной атаке удаленные сотрудники или партнеры не смогут попасть во внутреннюю сеть организации, доступ извне будет ограничен. При этом неработоспособность МСЭ снизит защищенность компании. Все это в совокупности может негативно повлиять на процессы компании, вплоть до нарушения связности между подразделениями, и сделает ее уязвимой для целевых атак».

Уязвимости подвержен софт Cisco линеек ASA и FTD (Firepower Threat Defense) — в последнем случае лишь при некорректной настройке AnyConnect или WebVPN. Соответствующие патчи вышли в конце прошлого месяца.

Надежность защитных решений вендора в PT проверяют с завидной регулярностью. Так, в прошлом году эксперты обнаружили в ASA опасные уязвимости CVE-2020-3187, CVE-2020-3259 и CVE-2020-3452, в этом — CVE-2021-1445 и CVE-2021-1504, затронувшие сотни тысяч устройств, а также дыру в FDM On-Box, грозящую захватом контроля над межсетевым экраном.

Windows 11 проверит ваш возраст сама и расскажет его приложениям

Microsoft решила превратить проверку возраста из надоедливой анкеты в системную функцию Windows 11. Новые API позволят зарегистрированным приложениям узнавать возрастную категорию пользователя и получать статус её подтверждения, но без доступа к точной дате рождения.

Система разделит владельцев компьютеров на пять групп: до 10 лет, 10-12, 13-15, 16-17 и 18+.

Отдельный сигнал покажет, подтверждены ли эти сведения независимым провайдером идентификации, не прошли проверку или пользователь вообще отказался участвовать.

Получить данные сможет не каждая программа, случайно поселившаяся на компьютере. Microsoft намерена проверять личность запрашивающего приложения, а разработчику придётся зарегистрироваться на платформе Digital Safety.

Возрастные сигналы предлагается использовать для ограничения взрослого контента, управления покупками, социальных функций и родительского контроля.


Зачем всё это? Сейчас каждому сервису приходится самостоятельно выяснять, взрослый ли перед ним человек: просить дату рождения, банковскую карту, документ или хотя бы поставить честнейшую галочку «Мне есть 18». Microsoft хочет оставить конфиденциальные сведения у системного посредника, а приложениям выдавать лишь необходимый минимум.

Правда, полностью закрытым вопрос пока не выглядит. Компания не объяснила, какими именно способами будет определять и подтверждать возраст владельца учётной записи. Кроме того, решение о блокировке контента всё равно останется за разработчиками приложений.

API уже появились в предварительной документации для Windows 11 24H2, но пока не работают: запросы возвращают неопределённый возраст и статус недоступности. Запустить функцию Microsoft планирует в одном из обновлений до конца 2026 года.

RSS: Новости на портале Anti-Malware.ru