Битрикс24 требует обновления на местах из-за критических уязвимостей

Битрикс24 требует обновления на местах из-за критических уязвимостей

Битрикс24 требует обновления на местах из-за критических уязвимостей

Первого ноября ФСТЭК России опубликовала информацию о восьми опасных уязвимостях в наборе бизнес-инструментов Битрикс24. Обновления с патчами доступны с конца марта, установленные у заказчиков коробочные версии тулкита следует обновить.

Уязвимости высокой и критической степени опасности обнаружили в марте исследователи из сингапурской компании STAR Labs. Не исключено, что находки связаны с всплеском веб-атак на российские организации, который ГК «Солар» наблюдала в IV квартале 2022 года и I квартале 2023-го.

Эксплойт почти во всех случаях требует аутентификации. Патчи включены в состав обновлений Битрикс24, вышедших с 31 марта по 22 июня.

Информацию о выявленных уязвимостях опубликовали также вендор («1С-Битрикс») и авторы опасных находок:

  • CVE-2023-1713 (8,8 балла CVSS) — возможность повышения привилегий в модуле crm из-за ошибок в механизме импорта данных (удаленное исполнение произвольного кода через загрузку вредоносного файла .htaccess, согласно бюллетеню Star Labs);
  • CVE-2023-1714 (8,8 балла) — возможность RCE при определенных настройках системы и версии PHP < 8.0, выявленная в модуле main (RCE через добавление произвольного контента в существующие PHP-файлы или через десериализацию PHAR, по версии авторов находки);
  • CVE-2023-1715 (9,0 балла) — обход защиты от межсайтового скриптинга, грозящий выполнением произвольного JavaScript в браузере или PHP-кода на сервере, согласно Star Labs;
  • CVE-2023-1716 (9,0 балла) — возможность XSS-атаки, выявленная в редакторе счетов (компонент crm.invoice.edit);
  • CVE-2023-1717 (9,6 балла) — возможность загрязнения прототипа JavaScript в браузере из-за некорректной обработки входных данных модулем main (XSS через порчу прототипа на стороне клиента, согласно бюллетеню Star Labs);
  • CVE-2023-1718 (7,5 балла) — возможность отказа в обслуживании (DoS) при определённых настройках системы, выявленная в модуле main (DoS без аутентификации через манипулирование аргументом tmp_url, по версии Star Labs);
  • CVE-2023-1719 (7.5 балла) — возможность несанкционированного доступа к пользовательским файлам из-за некорректной обработки входных данных модулем intranet (выполнение произвольного JavaScript в браузере или PHP на сервере путем перезаписи неинициализированных переменных, согласно бюллетеню Star Labs);
  • CVE-2023-1720 (9,3 балла) — возможность XSS-атаки, вызванная ошибкой в конфигурации проекта (выполнение JavaScript в браузере или PHP на сервере с помощью специально созданного HTML-файла, согласно Star Labs).

В комментарии для РБК представитель «1С-Битрикс» отметил, что все облачные версии Битрикс24 «давно обновлены и защищены от этих уязвимостей». Данных об использовании какой-либо из них в атаках пока нет. Установленные на оборудовании заказчиков коробочные версии необходимо обновить.

Бизнес-консультант Positive Technologies по вопросам ИБ Алексей Лукацкий, со своей стороны, напомнил, что включение уязвимостей в общедоступную базу данных ИБ-угроз ФСТЭК означает, что проблемы должны быть устранены.

Для критических установлен срок 24 часа, для менее опасных — от семи до 30 дней. Неисполнение грозит разработчикам приостановкой или отзывом сертификата, пользователям — другими мерами воздействия.

Астрал подтвердил целевую кибератаку после недельного сбоя сервисов

ГК «Астрал» впервые подробно прокомментировала масштабный сбой, который уже несколько дней влияет на работу её сервисов. Компания официально признала, что 9 июня подверглась серии целенаправленных хакерских атак.

По словам представителей «Астрала», именно атака стала причиной остановки ряда сервисов.

С первого дня специалисты компании работают над восстановлением инфраструктуры в круглосуточном режиме, а полностью завершить восстановление планируется 16 июня.

В компании также сообщили, что параллельно началось расследование с участием государственных органов в сфере информационной безопасности. По этой причине «Астрал» была ограничена в возможности публично комментировать происходящее.

Один из главных вопросов клиентов — что с данными? Здесь компания пытается успокоить пользователей. По результатам проведённой проверки признаков утечки или компрометации данных не обнаружено. Более того, защитные механизмы после инцидента были дополнительно усилены.

Почему восстановление заняло почти неделю? В «Астрале» объясняют это необходимостью полной проверки каждого сервиса перед возвращением в эксплуатацию. Компания подчёркивает, что не собирается жертвовать безопасностью ради более быстрого запуска.

По состоянию на сегодняшний день большая часть сервисов уже работает в штатном режиме. Последними должны вернуться в строй ОФД и оставшиеся компоненты экосистемы.

Отдельно компания заявила, что взаимодействует с контролирующими органами, чтобы последствия инцидента не отразились на клиентах. Для пользователей также подготовлены официальные письма, подтверждающие, что проблемы возникли на стороне инфраструктуры оператора.

Таким образом, спустя неделю после начала сбоев «Астрал» фактически подтвердил то, о чём многие пользователи и так догадывались: причиной проблем стала не техническая ошибка и не авария, а полноценная кибератака на инфраструктуру компании.

RSS: Новости на портале Anti-Malware.ru