В Microsoft Defender для Интернета вещей нашли две критические бреши

В Microsoft Defender для Интернета вещей нашли две критические бреши

В Microsoft Defender для Интернета вещей нашли две критические бреши

Исследователи из компании SentinelOne рассказали о критических уязвимостях, которые им удалось выявить в Microsoft Defender для Интернета вещей (Microsoft Defender for IoT). К счастью, разработчики уже давно подготовили патч.

Изначально Microsoft Defender для Интернета вещей создавался с функциональными возможностями обнаружения киберугроз в сети и реагирования на них (NDR). Система поддерживает различные IoT- и OT-устройства, а также может разворачиваться как в облаке, так и локально (on-premises).

Две критические уязвимости, обнаруженные специалистами SentinelOne, получили идентификаторы CVE-2021-42311 и CVE-2021-42313 и 10 баллов по шкале CVSS. Обе бреши представляют собой возможность SQL-инъекции, с помощью которой удалённый злоумышленник может добиться выполнения кода (без необходимости аутентифицироваться).

Согласно отчёту SentinelLabs, уязвимость CVE-2021-42313 вызвана отсутствием очистки параметра UUID. Как отметили исследователи, баг позволил им «внедрить, обновить и выполнить SQL-команды».

SentinelLabs опубликовала демонстрационный эксплойт (proof-of-concept, PoC), с помощью которого можно извлечь идентификатор активного пользователя из базы данных. В случае успешной эксплуатации можно получить полный контроль над целевым аккаунтом.

Другая дыра — CVE-2021-42311 — существует из-за расшаривания токена API, который используется для верификации, между установками Microsoft Defender для Интернета вещей. Microsoft уже подготовила все необходимые патчи, которые нужно просто установить.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Атаки с помощью дипфейков становятся массовыми

В России всё шире распространяется мошенническая схема, в которой злоумышленники используют сгенерированные нейросетями видео с изображением родственников или знакомых потенциальной жертвы. С помощью таких роликов аферисты обращаются за материальной помощью.

О росте числа подобных случаев говорится в материалах МВД, оказавшихся в распоряжении РИА Новости.

Для создания видео преступники применяют фотографии людей из ближайшего окружения жертвы — родственников, коллег, соседей. По данным МВД, современные технологии позволяют достаточно точно воспроизводить мимику и эмоции, что делает подделку убедительной.

Как правило, в таких роликах мошенники просят занять деньги, ссылаясь на сложные жизненные обстоятельства. Аналогичные видео рассылаются и другим людям, которые попали в поле зрения преступников.

«Что мошенники могут сделать с вашей фотографией? Например, оживить её... Если однажды ваш родственник или знакомый пришлёт видео с просьбой занять деньги, позвоните ему и уточните цель перевода. Вероятно, его аккаунт скомпрометирован», — предупреждают в МВД.

Весной этого года эксперты прогнозировали, что с атаками с применением дипфейков рискует столкнуться каждый второй россиянин. Однако массовое появление видеодипфейков с возможностью ведения разговора в реальном времени ожидается лишь в следующем году.

По состоянию на конец мая в интернете существовало около 50 тыс. сервисов для генерации дипфейков. Для создания подделки достаточно одной фотографии. Большинство ресурсов платные, однако стоимость подписки редко превышает 6 долларов в месяц.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru