Участники Pwn2Own получили $105 тысяч за показ уязвимостей в Sonos One

Участники Pwn2Own получили $105 тысяч за показ уязвимостей в Sonos One

Участники Pwn2Own получили $105 тысяч за показ уязвимостей в Sonos One

На сайте Zero Day Initiative (проект компании Trend Micro) раскрыты детали взлома смарт-колонок Sonos One в ходе декабрьского конкурса Pwn2Own в Торонто. Показанные уязвимости давно устранены, поэтому публикация деталей уже мало кому навредит.

Запись ZDI, посвященная атакам на Sonos One в ходе Pwn2Own, появилась в блоге проекта на прошлой неделе. Там отмечено, что три команды, добившиеся успеха, суммарно получили $105 тыс. из призового фонда.

Эксплойт уязвимостей, выявленных Qrious Secure, STAR Labs и DEVCORE, не требует аутентификации и позволяет добраться до конфиденциальных данных (CVE-2023-27353 и CVE-2023-27354, по 6,5 балла CVSS) либо удаленно выполнить сторонний код на уровне root (CVE-2023-27352 и CVE-2023-27355, по 8,8 балла).

Более подробно:

  • CVE-2023-27353 вызвана отсутствием адекватной проверки пользовательского ввода в msprox (выполняет функции прокси-сервера), что может привести к чтению за границей выделенного буфера;
  • CVE-2023-27354 проявляется как целочисленное переполнение при обработке демоном anacapad ответов сервера на обращение к общему каталогу по SMB2;
  • CVE-2023-27352 возникла из-за отсутствия проверки существования объекта перед выполнением операций над ним и проявляется как use-after-free при обработке команды поиска по каталогу, доступному по SMB;
  • CVE-2023-27355 привязана к парсеру MPEG-TS, который не проверял величину пользовательского ввода перед копированием, в итоге могло возникнуть переполнение буфера в стеке.

Примечательно, что CVE-2023-27353 и CVE-2023-27354 можно использовать в связке с другими уязвимостями для выполнения произвольного кода с высокими привилегиями.

Патчи для пользователей приложения Sonos S1 включены в состав сборки 11.7.1, для S2 — в 15.1. В более новых релизах этих проблем нет.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

ФАС предлагает снять часть защиты с правообладателей

По мнению Федеральной антимонопольной службы (ФАС), частичное снятие действующих мер по защите интересов правообладателей в сфере ПО поможет восстановить конкурентную среду на рынке и сдержать рост цен на отдельные виды программ. Это, в свою очередь, позволит снизить государственные расходы на цифровизацию — только в рамках нацпроекта «Экономика данных» они оцениваются примерно в 1 трлн рублей.

Однако представители ИТ-отрасли инициативу не поддерживают. С подготовленными ФАС поправками к закону о защите конкуренции, принятому ещё в 2006 году, ознакомился «Коммерсантъ».

Ведомство считает, что, пользуясь государственной защитой от недобросовестной конкуренции, правообладатели могут безнаказанно злоупотреблять доминирующим положением и заключать антиконкурентные соглашения. При этом подобные действия не подпадают под антимонопольный контроль. Документ разработан по поручению первого вице-премьера Дмитрия Григоренко.

В ФАС пояснили, что предлагаемые меры направлены на унификацию антимонопольного регулирования вне зависимости от вида товара. Они также затронут нетранзакционные платформы, включая социальные сети, поисковые системы и видеохостинги.

Напомним, что глава ФАС Максим Шаскольский выступал с такой инициативой ещё на Антимонопольном форуме 2024 года. Ещё ранее, в 2023 году, проблему поднимал министр финансов Антон Силуанов, отмечая, что монопольное завышение цен на программное обеспечение создаёт серьёзную нагрузку на бюджет.

Однако отраслевые ассоциации инициативу не поддержали. Против высказались НП «Руссофт», Ассоциация разработчиков программных продуктов (АРПП) «Отечественный софт» и Ассоциация предприятий компьютерных и информационных технологий (АПКИТ), объединяющие более 600 вендоров.

«Реализация данной инициативы окажет максимально негативное влияние на отечественных разработчиков, которые с 2022 года находятся в условиях ускоренного развития своих продуктов и удовлетворения резко возросших потребностей заказчиков. Из-за вмешательства ФАС IT-компании лишатся возможности выбора партнёров по необходимым компетенциям и выстраивания многоуровневых партнёрских каналов. Это поставит под угрозу задачу достижения цифрового суверенитета и технологического лидерства», — заявил исполнительный директор АРПП «Отечественный софт» Ренат Лашин.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru