В УСПД СЕ805М устранили три опасных уязвимости

В УСПД СЕ805М устранили три опасных уязвимости

В УСПД СЕ805М устранили три опасных уязвимости

Эксперт Positive Technologies обнаружил три уязвимости в УСПД СЕ805М производства компании «Энергомера»; одна из проблем была признана критической. Обновление с патчами для встроенного софта уже доступно и предоставляется по запросу.

УСПД СЕ805М предназначено для использования на энергообъектах ЖКХ и розничного рынка. Устройство осуществляет сбор данных с умных счетчиков электроэнергии и передает их на верхний уровень автоматизированной системы коммерческого учета электроэнергии (АСКУЭ); с помощью УСПД также можно удаленно управлять нагрузкой.

Найденные уязвимости характеризуются следующим образом:

  • BDU:2023-04841 (9,8 балла CVSS) — возможность несанкционированного изменения настроек на уровне SUPERVISOR (причина — вшитые в код учетки и использование хеша вместо пароля для аутентификации);
  • BDU:2023-04842 (8,1 балла) — возможность нарушения целостности базы данных и отказа в обслуживании (DoS) через SQL-инъекцию;
  • BDU:2023-04843 (8,8 балла) — возможность инъекции команд, выполняемых при запуске автообновления прикладной программы.

«К одному такому устройству могут быть подключены сотни счетчиков, — комментирует Антон Бояркин, автор опасных находок и сотрудник отдела PT по безопасности промышленных систем управления. — Используя уязвимый УСПД как шлюз, атакующий мог не только получить к ним доступ и нарушить работу системы учета на этом участке, но и отключить подачу электроэнергии. Устройство широко применяется в составе систем АСКУЭ электросетевыми компаниями и представлено у нас на полигоне Standoff 365».

По данным экспертов, большинство потенциально уязвимых устройств находятся в России и Азербайджане (51 и 28% соответственно). В небольшом количестве они также присутствуют в Белоруссии (2%), Германии (2%) и Казахстане (1%).

Пользователям советуют (PDF) обновить встроенный софт до сборки 4.13. Для надежности можно также ограничить или запретить доступ к порту, который используется для удаленной настройки УСПД.

VK Tech запускает отдельное ИИ-направление для корпоративных клиентов

VK Tech выделяет отдельное направление, связанное с искусственным интеллектом для корпоративных заказчиков. Компания собирается развивать решения для внедрения ИИ в защищённой инфраструктуре организаций — от вычислительных мощностей и хранения данных до прикладных сервисов.

Как следует из сообщения компании, среди ключевых задач нового направления — создание корпоративной ИИ-платформы, а также усиление ИИ-функциональности в существующих продуктах VK Tech. Для этого планируется использовать и собственные разработки VK, включая языковую модель Diona.

Руководить ИИ-направлением будет Роман Стятюгин, который ранее возглавлял команду аналитических сервисов VK Predict.

В VK Tech отмечают, что корпоративный рынок ИИ постепенно уходит от стадии экспериментов. Если раньше компании чаще тестировали отдельные инструменты или точечные сценарии, то теперь всё чаще рассматривают ИИ как полноценную технологию для перестройки бизнес-процессов и повышения эффективности.

При этом один из главных вопросов для корпоративного сегмента — безопасность. Именно поэтому, как считают в компании, растёт спрос на внедрение ИИ не в публичной среде, а внутри защищённого контура организаций, где можно контролировать данные и доступ к ним.

По сути, VK Tech делает ставку на то, что бизнесу нужны не разрозненные ИИ-сервисы, а более цельная инфраструктура, которую можно встроить в существующие процессы компании и использовать в более предсказуемом режиме.

RSS: Новости на портале Anti-Malware.ru