Прошлогодняя уязвимость в VMware vCenter Server до сих пор не пропатчена

Прошлогодняя уязвимость в VMware vCenter Server до сих пор не пропатчена

Прошлогодняя уязвимость в VMware vCenter Server до сих пор не пропатчена

В VMware все еще колдуют над патчем для опасной дыры в vCenter Server, о которой эксперты CrowdStrike сообщили им в ноябре прошлого года. Два дня назад в список уязвимых версий продукта добавили новейшую — 8.0.

Уязвимость CVE-2021-22048 (8,8 балла CVSS по оценке NVD/NIST, разработчик оценил ее в 7,1 балла) относится к классу «повышение привилегий». Причиной ее появления является некорректная реализация механизма IWA (Integrated Windows Authentication, встроенная аутентификация Windows).

Согласно бюллетеню VMware, эксплойт требует прав доступа к серверу на уровне рядового пользователя. В случае успеха автор атаки сможет повысить привилегии до более полномочной группы.

Уязвимость актуальна для vCenter Server 6.5, 6.7, 7.0, 8.0, а также для Cloud Foundation (vCenter Server) версий 3.х и 4.х. Летом разработчики попытались решить проблему, выпустив vCenter Server 7.0 Update 3f, но через десять дней откатили патч, который оказался неудачным. Более того, при попытке установить обновление слетала веб-служба Secure Token Service (vmware-stsd), отвечающая за генерацию, проверку и обновление токенов SAML в рамках системы единого входа (SSO).

В отсутствие патчей VMware предлагает альтернативный метод защиты — сменить источник идентификации (через настройки SSO). Вместо IWA можно использовать Active Directory с доступом через LDAP или провайдера идентификаторов для службы ADFS (предпочтительнее, но возможно лишь при использовании vSphere 7.0 и выше).

За несколько дней до обновления списка продуктов, подверженных CVE-2021-22048, разработчик опубликовал бюллетень, посвященный новой уязвимости в vCenter Server — CVE-2022-31680. Проблема позволяет при наличии админ-прав на доступ выполнить любой код в системе и актуальна только для версии 6.5 продукта; патч уже доступен.

УБК МВД накрыло канал с торговлей персональными данными

Сотрудники Управления по организации борьбы с противоправным использованием информационно-коммуникационных технологий МВД России (УБК МВД) задержали жителя Волгограда по подозрению в незаконном распространении персональных данных.

О задержании фигуранта дела о незаконном обороте охраняемой законом информации сообщила официальный представитель МВД России Ирина Волк.

По данным ведомства, оперативники УБК МВД выявили в одном из мессенджеров сервис, через который можно было заказывать сведения о гражданах России. Источниками информации, как установили правоохранители, выступали базы данных операторов связи, банков, государственных учреждений и коммерческих организаций. Среднемесячный доход владельца сервиса, по оценкам сотрудников подразделения, составлял около 100 тыс. рублей.

По данному факту следователем СУ УМВД России по городу Волгограду возбуждено уголовное дело по признакам преступления, предусмотренного ч. 3 ст. 272.1 Уголовного кодекса РФ — незаконное использование, сбор, передача и хранение информации, содержащей персональные данные, а также создание ресурсов для её незаконного распространения.

 

Владелец и администратор канала, через который распространялись персональные данные, задержан. Ему предъявлено обвинение, судом избрана мера пресечения в виде заключения под стражу. Фигуранту дела грозит лишение свободы на срок до 10 лет.

По данным МВД, только за девять месяцев 2025 года было возбуждено 923 уголовных дела по статье 272.1 УК РФ. При этом эксперты и участники рынка высказывают опасения, что широкие формулировки статьи могут применяться и к относительно малозначительным правонарушениям, тогда как организаторы масштабной торговли персональными данными зачастую находятся за пределами России.

RSS: Новости на портале Anti-Malware.ru