В Microsoft Defender для Интернета вещей нашли две критические бреши

В Microsoft Defender для Интернета вещей нашли две критические бреши

В Microsoft Defender для Интернета вещей нашли две критические бреши

Исследователи из компании SentinelOne рассказали о критических уязвимостях, которые им удалось выявить в Microsoft Defender для Интернета вещей (Microsoft Defender for IoT). К счастью, разработчики уже давно подготовили патч.

Изначально Microsoft Defender для Интернета вещей создавался с функциональными возможностями обнаружения киберугроз в сети и реагирования на них (NDR). Система поддерживает различные IoT- и OT-устройства, а также может разворачиваться как в облаке, так и локально (on-premises).

Две критические уязвимости, обнаруженные специалистами SentinelOne, получили идентификаторы CVE-2021-42311 и CVE-2021-42313 и 10 баллов по шкале CVSS. Обе бреши представляют собой возможность SQL-инъекции, с помощью которой удалённый злоумышленник может добиться выполнения кода (без необходимости аутентифицироваться).

Согласно отчёту SentinelLabs, уязвимость CVE-2021-42313 вызвана отсутствием очистки параметра UUID. Как отметили исследователи, баг позволил им «внедрить, обновить и выполнить SQL-команды».

SentinelLabs опубликовала демонстрационный эксплойт (proof-of-concept, PoC), с помощью которого можно извлечь идентификатор активного пользователя из базы данных. В случае успешной эксплуатации можно получить полный контроль над целевым аккаунтом.

Другая дыра — CVE-2021-42311 — существует из-за расшаривания токена API, который используется для верификации, между установками Microsoft Defender для Интернета вещей. Microsoft уже подготовила все необходимые патчи, которые нужно просто установить.

Криптовалюту в России хотят превратить в полноценное имущество

Криптовалюта в России может выйти из серой зоны и получить полноценный правовой статус имущества. По словам начальника управления развития цифровых активов спецдепозитария «Инфинитум» Виктора Бурчика, новый законопроект о регулировании криптовалют меняет сам подход к таким активам.

Об этом Бурчик рассказал «Газете.Ru». Если раньше цифровая валюта во многом существовала сама по себе — без внятного юридического оформления и понятных механизмов защиты, — то теперь ей хотят придать официальный статус и встроить в регулируемый контур.

Главная идея в том, что цифровые права россиян будут фиксироваться у цифрового депозитария. По сути, это новый участник рынка, который будет работать по аналогии с классическими депозитариями, где учитываются и хранятся права на ценные бумаги.

Для обычных владельцев крипты это означает довольно заметные перемены. Если активы будут официально учтены, то на них можно будет рассчитывать не только как на набор записей в блокчейне, но и как на имущество с юридической защитой. А значит, такие активы смогут учитывать при разделе имущества, включать в конкурсную массу при банкротстве и даже обращать на них взыскание.

Отдельно Бурчик выделил тему наследования. До сих пор это был один из самых болезненных вопросов на крипторынке: если владелец терял доступ к приватным ключам или не оставлял понятного способа их передать, наследники фактически оставались ни с чем. Подтвердить права на такие активы было крайне сложно.

Если же криптоактивы окажутся в регулируемом контуре и будут зафиксированы надлежащим образом, ситуация изменится. Наследники смогут вступать в права через обычные нотариальные процедуры, без юридических загадок и попыток восстановить доступ к кошельку буквально на ощупь.

При этом у новой схемы есть и обратная сторона. Как отметил эксперт, владельцам цифровых активов, скорее всего, придётся пожертвовать частью привычной анонимности и автономии. Зато взамен они получат то, чего крипторынку в России долго не хватало: понятную защиту собственности, снижение операционных рисков и возможность работать через более привычную финансовую инфраструктуру.

RSS: Новости на портале Anti-Malware.ru