Juniper устранила в Junos OS связку дыр, приводящую к выполнению кода

Juniper устранила в Junos OS связку дыр, приводящую к выполнению кода

Juniper устранила в Junos OS связку дыр, приводящую к выполнению кода

Американский производитель телекоммуникационного оборудования Juniper Networks выпустил внеплановое обновление, устраняющее четыре уязвимости в компоненте J-Web системы Junos OS. Эти бреши можно использовать в связке для удалённого выполнения кода.

По шкале CVSS баги получили общий балл — 9,8 (критический статус), они затрагивают все версии Junos OS на SRX и EX.

«Если неаутентифицированный атакующий свяжет вместе выявленные уязвимости, он сможет удалённо выполнить код на затронутых устройствах», — пишет Juniper Networks в официальном уведомлении.

Напомним, интерфейс J-Web позволяет пользователям настраивать, управлять и мониторить девайсы на Junos OS. Идентификаторы и короткие описания пропатченных проблем приводим ниже:

  • CVE-2023-36844 и CVE-2023-36845 — две бреши модификации внешних переменных PHP. Условный злоумышленник может контролировать ряд важных переменных среды.
  • CVE-2023-36846 и CVE-2023-36847 — отсутствие аутентификации в Junos OS на EX и SRX. Атакующий может воздействовать на целостность файловой системы.

Для эксплуатации достаточно отправить специально подготовленный запрос, который модифицирует определённые PHP-переменные среды и поможет загрузить произвольные файлы.

Пользователям рекомендуют как можно скорее установить вышедшие патчи. Есть и альтернативный метод защиты: отключить J-Web или выдать ограниченный доступ только доверенным хостам.

В Магнитогорске арестовали руководителя центра Э за черный пробив

Ленинский районный суд Магнитогорска арестовал ранее задержанного начальника межрайонного отделения по противодействию экстремизму Центра по противодействию экстремизму (ЦПЭ) ГУ МВД России по Челябинской области — подполковника полиции Илью Афонасенко.

О задержании Афонасенко сообщило территориальное подразделение Следственного комитета. Ему предъявлено обвинение по ч. 3 ст. 286 УК РФ (превышение должностных полномочий).

«По версии следствия, в период с марта по апрель 2025 года подозреваемый, являясь должностным лицом и действуя из корыстной заинтересованности, выраженной в получении денежных средств, на систематической основе незаконно получал доступ к интегрированному банку данных МВД. Там он собирал персональные данные на физическое лицо и впоследствии передавал их своему знакомому», — сообщили в Следственном комитете.

Преступление было выявлено в результате совместной работы УФСБ по Челябинской области и ОЧР СБ регионального ГУ МВД России. По месту жительства и службы подозреваемого проведены обыски. По ходатайству следствия Ленинский районный суд Магнитогорска избрал ему меру пресечения в виде заключения под стражу.

В марте 2025 года за аналогичные преступления был осужден на 6,5 года лишения свободы бывший начальник ОМВД по Басманному району Москвы Сергей Андреев. Помимо превышения должностных полномочий, ему также вменили разглашение сведений, составляющих банковскую и налоговую тайну.

RSS: Новости на портале Anti-Malware.ru