Новые уязвимости в межсетевых экранах Zyxel составляют угрозу для бизнеса

Новые уязвимости в межсетевых экранах Zyxel составляют угрозу для бизнеса

Новые уязвимости в межсетевых экранах Zyxel составляют угрозу для бизнеса

Компания Zyxel выпустила обновления прошивки для межсетевых экранов, чтобы пользователи могли устранить две уязвимости. Одна из них позволяет локально повысить привилегии до root, однако в атаках ее можно использовать лишь при наличии возможности удаленного исполнения кода.

Согласно бюллетеню вендора, уязвимость повышения привилегий, получившая идентификатор CVE-2022-30526, была выявлена в CLI-интерфейсе некоторых файрволов. С ее помощью пользователь с минимальными правами в системе может перезаписать файл crontab, используемый планировщиком Cron, и выполнить некоторые системные команды на уровне root.

Проблему обнаружил исследователь из Rapid7; по его словам, находка бесполезна, если ее не связать с RCE-уязвимостью вроде CVE-2022-30525, эксплойт которой позволяет получить шелл-доступ к системе. К счастью, Zyxel закрыла эту лазейку еще в конце апреля, и многие пользователи, по данным ИБ-компании, уже применили патч.

Вторая, менее опасная уязвимость (CVE-2022-2030) возникла из-за неадекватной санации URL в интерфейсе стандарта GLI и классифицируется как выход за пределы рабочего каталога, возможный после аутентификации. Как выяснил The Daily Swig, подробности по уговору с Zyxel будут опубликованы в середине следующего месяца.

Патчи предназначены для серийных файрволов USG Flex, ATP, VPN и комплексов USG/ZyWall. Пользователям рекомендуется обновить прошивки для оптимизации защиты.

Главреда телеграм-канала Сапа Медиа задержали по делу о сливе данных

Следственный комитет сообщил о задержании главного редактора телеграм-канала «Сапа Медиа» Алины Джикаевой и оперативного дежурного дежурной части УМВД России по Махачкале. Им вменяют превышение должностных полномочий, получение взятки и дачу взятки (п. «е» ч. 3 ст. 286 УК РФ, п. «в» ч. 5 ст. 290 УК РФ, п.п. «а», «б» ч. 4 ст. 291 УК РФ).

По версии следствия, Джикаева получала от сотрудника МВД оперативную и иную закрытую информацию, в том числе персональные данные граждан.

О задержании сообщила пресс-служба Следственного комитета. У фигурантов прошли обыски и другие следственные действия. Для проведения дальнейших мероприятий их доставляют в Москву.

«По данным следствия, не позднее июля 2020 года Джикаева, находясь в Москве, в соответствии с достигнутой договорённостью с оперативным дежурным ДЧ УМВД России по Махачкале получала сведения о происшествиях и оперативной обстановке на территории Дагестана и Республики Северная Осетия — Алания, содержащие персональные данные граждан», — говорится в сообщении ведомства.

Как утверждает следствие, полученные сведения затем публиковались в открытых источниках. Общая сумма взяток, по предварительной версии, составила около 250 тыс. рублей.

«Разглашение закрытой информации могло способствовать уничтожению следов преступлений, препятствовало раскрытию и расследованию уголовных дел. Кроме того, были нарушены законные интересы граждан, чьи персональные данные были распространены», — заявили в пресс-центре МВД, который также занимается оперативным сопровождением этого дела.

Как сообщает РБК, помимо Джикаевой, были увезены ещё несколько сотрудников «Сапы». Однако официального подтверждения этой информации пока нет.

RSS: Новости на портале Anti-Malware.ru