В ASoft CRM выявлена опасная уязвимость (патч уже доступен)

В ASoft CRM выявлена опасная уязвимость (патч уже доступен)

В ASoft CRM выявлена опасная уязвимость (патч уже доступен)

Эксперт Positive Technologies обнаружил в CRM-системе ASoft уязвимость, позволяющую получить доступ к конфиденциальной информации на сервере — проектам компании, клиентской базе, списку контрагентов.

Система CRM разработки ASoft (АСофт) применяется в таких сферах, как маркетинг, финансы, образование, логистика. По итогам 2020 года производитель вошел в десятку крупнейших вендоров таких решений на российском рынке.

Выявленная уязвимость классифицируется как выход за пределы рабочего каталога и оценена как очень опасная (7,5 балла по шкале CVSS 3.0). Причиной ее появления является несовершенство механизмов безопасности; эксплойт позволяет обойти ограничения и просматривать файлы в любом местоположении.

«CRM-система — один из самых важных для компании продуктов, так как в ней могут содержаться данные о коммерческой и операционной деятельности предприятия, — комментирует автор опасной находки Ариан Рахими. — Кроме того, в ряде случаев CRM-система (в частности, ASoft CRM) может работать с правами суперпользователя, что позволяет прочитать файл с зашифрованными паролями, расшифровать пароль суперпользователя и получить максимальные привилегии на узле. Злоумышленник в подобной ситуации потенциально смог бы не только прочитать или изменить всю информацию в системе, но и развить атаку в корпоративной сети на другие ключевые элементы инфраструктуры».

Уязвимость была обнаружена в ASoft CRM 2.6; патч включен в состав сборки 27.98, которую всем пользователям рекомендуется установить: подобные ошибки разработчиков провоцируют утечки. Снизить риск эксплуатации поможет использование межсетевого экрана уровня веб-приложений — такого, как PT Application Firewall.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Перед 1 декабря мошенники маскируются под налоговую службу

На фоне массовых рассылок уведомлений и напоминаний об уплате налогов перед 1 декабря активизировались злоумышленники, выдающие себя за сотрудников налоговых органов. Их цель — получить доступ к аккаунтам на Госуслугах и завладеть персональными данными граждан.

Как сообщает телеграм-канал «Лапша-медиа», в своих схемах мошенники используют разные поводы для контакта с жертвами:

  • неуплаченные налоги;
  • налоговые задолженности;
  • непредоставление документов;
  • необходимость подачи декларации.

Связаться с потенциальными жертвами аферисты могут через мессенджеры или электронную почту. Они представляются инспекторами и предлагают записаться на приём в налоговую или лично явиться для «решения проблемы».

Главная цель злоумышленников — получить одноразовые коды для входа на Госуслуги или авторизации в других сервисах, включая онлайн-банки. В некоторых случаях мошенники убеждают перейти по вредоносной ссылке или установить приложение.

Иногда жертвам отправляют ссылку для «заполнения налоговой декларации». На деле она ведёт на фишинговый сайт, куда введённые данные попадают напрямую к злоумышленникам.

В «Лапша-медиа» напоминают: официальные органы, включая налоговую службу, никогда не просят сообщать коды авторизации и не предлагают устанавливать приложения по ссылке. Проверить информацию можно только на Госуслугах, на официальном сайте ФНС или по телефону горячей линии 8-800-222-22-22.

Похожие схемы мошенники использовали весной, когда поводом для обращения служили «налоговые вычеты».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru