В ОС Junos закрыты уязвимости, опасные для корпоративных сетевых устройств

В ОС Junos закрыты уязвимости, опасные для корпоративных сетевых устройств

В ОС Junos закрыты уязвимости, опасные для корпоративных сетевых устройств

Компания Juniper Networks выпустила обновления для ОС Junos, устранив ряд недочетов в реализации интерфейса J-Web. Некоторые из выявленных уязвимостей позволяют добиться исполнения вредоносного кода.

Самой опасной разработчики сочли проблему CVE-2022-22241 (8,1 балла CVSS, по оценке Juniper), вызванную неадекватной проверкой пользовательского ввода. Эксплойт осуществляется удаленно и без аутентификации, путем отправки особого POST-запроса.

Атака потребует создания phar-файла, способного при обработке вызвать ошибку десериализации, которая может привести к исполнению заархивированного скрипта (PHP). Способы загрузки вредоносного архива на устройство могут быть различными — можно, например, выдать его за картинку и задействовать сервис передачи изображений, можно также подставить файл в кеш веб-контента.

Другие устраненные уязвимости (подробно рассмотрены в блоге Octagon Networks):

  • CVE-2022-22242 (6,1 балла CVSS) — возможность XSS-атаки; позволяет без аутентификации выполнить вредоносный скрипт в браузере жертвы в контексте текущей сессии;
  • CVE-2022-22243 (4,3 балла) — возможность инъекции команд в запросы XPath; эксплойт требует аутентификации; в связке с другими уязвимостями грозит раскрытием некоторых данных;
  • CVE-2022-22244 (5,3) — инъекция команд в запросы XPath; эксплойт не требует авторизации и в связке с другими уязвимостями может привести к частичной потере конфиденциальности;
  • CVE-2022-22245 (4,3) — выход за пределы рабочего каталога; эксплойт требует прав доступа и позволяет загрузить на устройство (но не исполнить!) любой файл в обход существующих проверок;
  • CVE-2022-22246 (7,5) — возможность подключения локальных файлов (LFI); эксплойт требует минимальных прав доступа и грозит исполнением недоверенного кода PHP; в связке с другими уязвимостями позволяет обойти аутентификацию и полностью скомпрометировать систему.

Пользователям рекомендуется обновить ОС Junos (список уязвимых и исправленных выпусков приведен в бюллетене Juniper).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Роскомнадзор обсуждает с маркетплейсами проверку сим-карт

Роскомнадзор совместно с маркетплейсами обсуждает возможность внедрения механизмов проверки сим-карт на предмет их использования мигрантами. По мнению ведомства, это может затруднить использование чужих номеров в мошеннических схемах.

Как сообщил источник ТАСС, соответствующая инициатива обсуждалась на совещании в Роскомнадзоре с участием представителей крупных маркетплейсов. Одной из ключевых тем стала проверка сим-карт, которые используются иностранными гражданами.

«Как показывает практика, иностранные граждане при устройстве на работу нередко используют сим-карты, зарегистрированные на других лиц. Нововведение поможет решить, в том числе, проблему мошенничества с использованием чужих номеров», — отметил источник агентства.

На совещании рассматривались возможные варианты реализации такого контроля. В частности, работодателей, нанимающих мигрантов, могут обязать проверять, кому принадлежат номера, указанные в анкетных данных при приёме на работу. В случае нарушений ответственность будет нести работодатель.

Представители маркетплейсов предложили создать единую систему, с помощью которой можно было бы проверять принадлежность телефонных номеров. По их мнению, только такой централизованный подход может обеспечить эффективность механизма.

В свою очередь, представители Роскомнадзора рекомендовали тем отраслям, где доля мигрантов особенно высока, разработать меры контроля в рамках саморегулирования.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru