OpenSSL устранил две распиаренные уязвимости, но всё не так страшно

Олеся Афанасьева 02 Ноября 2022 - 16:18

...

OpenSSL устранил две распиаренные уязвимости, но всё не так страшно

Обновления OpenSSL касаются уязвимостей в криптографической библиотеке с открытым исходным кодом. Дыры могли привести к DoS-атаке и удаленному выполнению кода. Вторжение грозило семи тысячам хостов по всему миру.

Патчи анонсировали заранее, релиз состоялся накануне.

Уязвимости CVE-2022-3602 и CVE-2022-3786 связаны с переполнением буфера, злоумышленники могли использовать их во время проверки сертификата X.509, подставив специально созданный адрес электронной почты.

“В TLS-клиенте это могло привести к подключению вредоносного сервера”, — говорится в сообщении OpenSSL для CVE-2022-3786. — На TLS-сервере вредонос мог подключиться в момент запроса аутентификации клиента”.

3.0.7 также устранили баги предыдущих версий библиотек — с 3.0.0 по 3.0.6. Отмечается, что популярные версии OpenSSL 1.x в порядке и не имеют уязвимостей.

По данным Censys на 30 октября 2022 года, около 7 тыс. хостов использовали уязвимую версию OpenSSL. Большинство из них находятся в США, Германии, Японии, Китае, Чехии, Великобритании, Франции, России, Канаде и Нидерландах.

О новых сигнатурах, обнаруживающих атаки, связанные с переполнением буфера в OpenSSL, заявила сегодня компания UserGate.

“Центр мониторинга и реагирования UserGate добавил в “Систему обнаружения вторжений” (СОВ) UserGate две новые сигнатуры, позволяющие детектировать атаки с использованием уязвимостей CVE-2022-3602 и CVE-2022-3786”, — говорится на сайте организации.

Уязвимость заключается в переполнении буфера в tls-полях id-ce-subjectAltName и id-ce-nameConstraints при использовании кодировки Punycode. Это может привести к удаленному выполнению кода. Злоумышленник выполняет tls-запрос с аутентификацией по специально созданному сертификату, что приведет к переполнению буфера.

Отмечается, что продукты компании UserGate не подвержены этой уязвимости. А со списком базовых инструментов с пометкой о подверженности уязвимостям в протоколе OpenSSL можно ознакомиться на GitHub.

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Татьяна Никитина 23 Мая 2025 - 14:14

Ботнет Трояны Домашние пользователи

Операторы трояна DanaBot иногда по ошибке заражали собственные компьютеры

В Лос-Анджелесе оглашены обвинения, выдвинутые по делу о создании и распространении Windows-трояна DanaBot. Среди 16 ответчиков числятся Александр Степанов (JimmBee) и Артем Калинкин (Onix) из Новосибирска.

Обоим россиянам, которые пока не пойманы, инкриминируются преступный сговор, а также получение несанкционированного доступа к компьютерам с целью кражи информации и совершения мошеннических действий.

Всех фигурантов удалось выявить благодаря конфискации C2-серверов и хранилищ данных, украденных DanaBot. Их изучение показало, что многофункциональный зловред воровал также учетки своих разработчиков и операторов: первые заражали собственные машины с целю тестирования, вторые — по ошибке.

Троян DanaBot известен ИБ-сообществу с 2018 года. Созданный на его основе ботнет предоставлялся в пользование по модели MaaS (Malware-as-a-Service, вредонос как услуга); ФБР удалось выявить не менее 40 аффилиатов криминального сервиса.

Согласно материалам дела, клиенты MaaS суммарно заразили свыше 300 тыс. компьютеров, совокупный ущерб жертв превысил $50 миллионов. В ESET за шесть лет наблюдений обнаружили более C2-серверов DanaBot; наибольшее количество заражений зафиксировано в Польше.

Агенты ФБР также раздобыли свидетельства использования трояна для шпионажа. Вторая версия зловреда регистрировала все действия жертв на компьютерах и применялась в атаках на дипломатов, силовиков и военных США, Великобритании, Германии, Белоруссии и России.

Центры управления DanaBot v2 были нейтрализованы в ходе очередного этапа операции Endgame. Службе криминальных расследований Минобороны США (Defense Criminal Investigative Service, DCIS) удалось установить контроль над десятками виртуальных серверов; в настоящее время проводятся работы по оповещению жертв заражения и оказанию помощи в дезинфекции.

Кроме ФБР и DCIS, в расследовании криминальной деятельности, связанной с DanaBot, принимали участие спецподразделения полиции Германии, Нидерландов и Австралии. Экспертную поддержку силовикам оказали ESET, Crowdstrike, Intel 471, Proofpoint, ZScaler и Team CYMRU.

Новые карательные меры в рамках Operation Endgame были приняты в период с 19 по 22 мая. По данным Европола, правоохране удалось обезвредить около 300 вредоносных серверов и 650 доменов, а также получить 20 ордеров на арест подозреваемых.

Трансграничная операция имела целью разгром инфраструктуры следующих зловредов: