QNAP устранила критический баг, позволяющий внедрить вредоносный код

QNAP устранила критический баг, позволяющий внедрить вредоносный код

QNAP устранила критический баг, позволяющий внедрить вредоносный код

QNAP призывает установить обновления прошивок QTS и QuTS, устраняющие критическую уязвимость. Согласно описанию, эта брешь позволяет атакующим удалённо внедрить вредоносный код на устройствах QNAP NAS.

Баг получил идентификатор CVE-2022-27596 и 9,8 балла по шкале CVSS (критический уровень опасности). Среди затронутых версий операционной системы — QTS 5.0.1 и QuTS hero h5.0.1.

«Если злоумышленники используют эту уязвимость в атаке, она позволит им внедрить вредоносный код», — гласит официальное уведомление.

На сайте NIST указано, что CVE-2022-27596 представляет собой классическую проблему SQL-инъекции. Как правило, такие дыры позволяют атакующему отправить устройству специально созданные пакеты и модифицировать легитимные SQL-запросы.

QNAP также выпустила JSON-файл, описывающий подробности проблемы, включая степень её опасности. Эксплуатация уязвимости не требует взаимодействия с пользователем или особых прав на затронутом устройстве.

В компании уточнили, что обновиться нужно до следующих версий QTS и QuTS hero:

  • QTS 5.0.1.2234 билд 20221201 и более поздние версии
  • QuTS hero h5.0.1.2248 билд 20221215 и более поздние версии

Партийный наблюдатель попытался заразить систему ДЭГ, заявила Памфилова

Представитель одной из российских парламентских партий якобы попытался внедрить вредоносную программу в систему наблюдения за дистанционным электронным голосованием в Москве. Об этом заявила председатель ЦИК Элла Памфилова.

По её словам, человек сознательно ввёл зловред в систему и пытался остановить её работу. Как передаёт ТАСС, нарушителем оказался наблюдатель за московским ДЭГ и представитель системной партии.

Название партии и имя предполагаемого автора цифровой диверсии Памфилова раскрывать не стала. Известно лишь, что он представлял одну из партий, официально участвующих в российской политической системе.

Технические подробности инцидента также не приводятся. Не сообщается, какую именно вредоносную программу пытались запустить, каким способом её внесли в систему, сработала ли защита автоматически и повлияла ли попытка на доступность ДЭГ. Публичной информации о возбуждении дела или других мерах в отношении наблюдателя на момент заявления также не было.

Инцидент произошёл во время трёхдневного голосования на выборах депутатов Госдумы девятого созыва и других совмещённых кампаний, завершившегося 20 сентября.

По данным ЦИК, избирательная инфраструктура в этот период подвергалась масштабным кибератакам, в том числе более чем тысяче волн DDoS-воздействия. Отдельной целью становилась система дистанционного электронного голосования.

Само собой, без имени, партийной принадлежности и технического разбора инцидента общественности пока предлагают поверить чиновникам на слово.

RSS: Новости на портале Anti-Malware.ru