Cisco устранила критические уязвимости в Expressway и TelePresence VCS

Cisco устранила критические уязвимости в Expressway и TelePresence VCS

Cisco устранила критические уязвимости в Expressway и TelePresence VCS

Компания Cisco Systems выпустила бесплатное обновление безопасности для серверов Expressway и TelePresence VCS. Пользователям софта рекомендуется перейти на сборку 14.0.5, чтобы избавиться от двух уязвимостей, позволяющих хозяйничать в системе на правах суперпользователя.

Причиной появления проблем, получивших по 9 баллов CVSS, является неадекватная проверка пользовательского ввода. Эксплойт в обоих случаях осуществляется дистанционно, но требует аутентификации (прав доступа к приложению на чтение и запись).

Уязвимость CVE-2022-20754, привязанную к API кластерной базы данных, в Cisco определили как выход за пределы рабочего каталога. В результате отработки эксплойта автор атаки получает возможность повысить привилегии до root и перезаписать любой файл в целевой системе.

Уязвимость CVE-2022-20755 кроется в веб-интерфейсе для администрирования; ее отнесли к классу «инъекция команд». Успешная атака в этом случае позволяет выполнить в системе сторонний код с привилегиями root.

Наличие проблем подтверждено для всех прежних выпусков Expressway и TelePresence VCS. Патчи включены в состав сборки 14.0.5; аналогов в других ветках, судя по всему, не предвидится. Данных о публикации эксплойтов или злонамеренном использовании новых дыр у Cisco нет.

Замаскированное приложение ВТБ залетело в американский топ App Store

В американском App Store обнаружили цифрового оборотня. В топ самых скачиваемых бесплатных приложений для iPhone неожиданно ворвалась программа «Сириус», которая маскируется под таймер для работы по методу Pomodoro. Вот только пользователи быстро заподозрили, что за фасадом приложения для повышения продуктивности скрывается совсем другой сервис — клиент ВТБ.

На момент обнаружения «Сириус» занимал третье место среди бесплатных приложений в американском App Store, уступая только популярным ИИ-чат-ботам и отдельным хитам вроде сервисов, связанных с шоу Love Island.

Сам по себе такой успех уже выглядел странно: приложение доступно только на русском языке и вряд ли могло органически набрать миллионы загрузок среди американских пользователей.

 

Официально «Сириус» позиционируется как помощник для управления задачами. В описании говорится о классическом Pomodoro-таймере, аналитике продуктивности, отчётах с фотографиями и голосовыми заметками, а также умных рекомендациях для повышения эффективности.

Однако активность в Telegram и анализ приложения указывают на другое назначение. По данным профильных изданий, «Сириус» может являться замаскированным клиентом российского банка ВТБ.

После введения западных санкций ВТБ лишился возможности официально распространять свои приложения через App Store. Поэтому банк уже не первый раз использует альтернативные схемы публикации мобильных клиентов под видом совершенно других сервисов. Ранее аналогичные приложения появлялись под названиями, никак не связанными с банковской сферой, а затем исчезали после обнаружения модераторами Apple.

RSS: Новости на портале Anti-Malware.ru