В сетевых устройствах Airspan Mimosa найдены 10-балльные уязвимости

В сетевых устройствах Airspan Mimosa найдены 10-балльные уязвимости

В сетевых устройствах Airspan Mimosa найдены 10-балльные уязвимости

Американская Группа быстрого реагирования на киберинциденты в сфере АСУ ТП (ICS-CERT) опубликовала информацию об уязвимостях, недавно пропатченных в продуктах Mimosa Networks (входит в состав Airspan Networks). Четыре проблемы признаны критическими; три из них получили по 10 баллов из 10 возможных по шкале CVSS.

Системы беспроводного широкополосного доступа производства Mimosa / Airspan широко используются для построения мультисервисных сетей различного масштаба. Эксплуатация уязвимостей, согласно алерту, грозит компрометацией сервера Amazon EC2 и хранилищ S3, кражей конфиденциальных данных и несанкционированным выполнением кода на всех подключенных к облаку устройствах Mimosa.

Выявленные уязвимости актуальны для следующих продуктов:

  • масштабируемых систем управления сетью Mimosa Management Platform (MMP) с прошивками версий ниже 1.0.3;
  • точек доступа Point-to-Point (PTP) C5c и C5x с прошивками версий ниже 2.8.6.1; 
  • решений для многоточечного соединения (PTMP) A5x, C5c, C5x, C6x с прошивками версий ниже 2.5.4.1.

Производитель выпустил обновления, устраняющие семь уязвимостей, в том числе четыре критических:

  • CVE-2022-21196 — неправильный способ авторизации и аутентификации доступа к API (10 баллов CVSS);
  • CVE-2022-21141 — некорректная реализация проверки прав доступа к API-функциям (10 баллов);
  • CVE-2022-21215 — подмена запросов на стороне сервера (SSRF, 10 баллов);
  • CVE-2022-21143 — возможность инъекции команд из-за неадекватной санации пользовательского ввода (9,8 балла).

Остальные проблемы классифицируются как возможность SQL-инъекции (8,6 балла), десериализация недоверенных данных (7,5) и неадекватная защита паролей при хранении (хешируются по MD5, но без соли; 6,5 балла).

Пользователям продуктов Mimosa настоятельно рекомендуется обновить прошивку MMP до версии 1.0.4, PTP-устройств — до 2.90, PTMP — до 2.9.0. Команда ICS-CERT также рекомендует принять обычные меры защиты от эксплойта: ограничить доступ по сети к устройствам и системам управления и заблокировать интернет-доступ; использовать межсетевые экраны, сегментацию сети, а для удаленного доступа — VPN.

Google упростила удаление личных данных и интимных фото из поиска

В интернете всегда найдётся кто-то, кто хочет узнать о вас больше, чем следовало бы. К счастью, у Google есть инструменты, которые помогают убрать лишнее из поисковой выдачи. Компания обновила сервис Results About You, который ищет и помогает удалить из выдачи страницы с вашими персональными данными.

Теперь инструмент умеет находить не только адреса и телефоны, но и номера документов, включая паспорт, водительские права и даже номер социального страхования (для США).

Чтобы система знала, что искать, пользователю нужно заранее добавить часть этих данных в настройках. Для водительских прав требуется полный номер, а для паспорта или SSN — только последние четыре цифры. После этого Google будет периодически сканировать выдачу и присылать уведомления, если найдёт совпадения.

Важно понимать: контент не исчезает из Сети полностью, но перестаёт отображаться в поиске Google, что для большинства пользователей уже существенно снижает риски.

Обновление коснулось и инструмента для удаления интимных изображений, опубликованных без согласия человека. Речь идёт как о реальных фото, так и о дипфейках и других сгенерированных ИИ материалах.

Теперь пожаловаться на такие изображения стало проще: достаточно нажать на три точки рядом с картинкой в поиске, выбрать «Удалить результат» и указать, что это интимное изображение. Google уточнит, настоящее это фото или дипфейк, а затем запустит проверку.

Кроме того, теперь можно добавлять сразу несколько изображений в одну заявку, что особенно актуально в эпоху, когда генеративный ИИ позволяют создавать подобный контент буквально за минуты.

Google также добавила возможность мониторинга: если функция включена, система будет автоматически отслеживать появление новых подобных изображений и предупреждать пользователя.

Поиск по ID уже доступен в Results About You. Обновлённый инструмент для удаления интимного контента начнёт появляться в ближайшие дни и будет постепенно распространяться на разные страны.

RSS: Новости на портале Anti-Malware.ru