В Kyocera Device Manager устранили опасный баг обхода пути

В Kyocera Device Manager устранили опасный баг обхода пути

В Kyocera Device Manager устранили опасный баг обхода пути

В продукте Kyocera Device Manager, предназначенном для управления принтерами, нашли уязвимость, которую можно использовать для перехвата учётных данных Active Directory.

Подробно о баге рассказали специалисты компании Trustwave. В частности, исследователи пишут:

«Выявленная брешь позволяет условному атакующему направить попытки аутентификации к собственным ресурсам — например, вредоносной SMB-шаре. В этом случае злоумышленникам удастся перехватить хешированные учётные данные Active Directory».

«Для успешной эксплуатации функция ограничения исходящего NTLM-трафика должна быть отключена».

Уязвимость получила идентификатор CVE-2023-50916, а представители Kyocera недавно опубликовали соответствующее предупреждение. Разработчики отметили, что CVE-2023-50916 представляет собой баг класса path traversal, допускающий изменение локального пути, указывающего на расположение резервной копии БД.

Из-за этого недочёта веб-приложение будет пытаться аутентифицироваться по вредоносному UNC-пути и откроет несанкционированный доступ к аккаунтам клиента. С выходом версии Kyocera Device Manager под номером 3.1.1213.0 брешь устранили.

Параллельно QNAP выпустила свои патчи, закрывающие несколько опасных дыр в QTS и QuTS hero, QuMagie, Netatalk и Video Station:

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

В AppStore вновь появилось приложение Сбербанка

В магазине приложений Apple появилось мобильное приложение «Финансы Онлайн» — обновлённый вариант онлайн-банка Сбера. В кредитной организации советуют установить его как можно быстрее, напоминая, что предыдущая версия продержалась в App Store всего 11 часов.

О запуске приложения для iPhone и iPad сообщили в самом банке. Для входа можно использовать данные из ранее установленных версий.

В новом приложении появилась расширенная функциональность. В Сбере выделяют несколько ключевых улучшений:

  • Обновлённая работа системы бесконтактных платежей Вжух: добавлена возможность использовать Bluetooth при отсутствии интернета, улучшена совместимость с терминалами Сбербанка.
  • Полностью переработан раздел «Платежи», теперь он стал более структурированным.
  • Приложение интегрировано с нейросетью GigaChat.
  • Появилось больше возможностей для настройки интерфейса.

«В прошлый раз приложение банка для iPhone продержалось в магазине всего 11 часов, поэтому важно установить обновление как можно раньше, пока оно доступно. Используйте только ссылки из официальных каналов Сбера», — предупредили в банке. Там также отметили, что в офисах готовы помочь установить приложение тем, кто не успеет скачать его самостоятельно.

Тем временем «партизанской» тактикой Сбера активно пользуются и злоумышленники. Вместе с легитимными приложениями в официальные магазины проникали и зловреды, маскирующиеся под сервисы банков, попавших под санкции, включая Сбер, Т-Банк и другие.

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

RSS: Новости на портале Anti-Malware.ru