Недавно Cisco предупредила клиентов о критической уязвимости обхода аутентификации, затрагивающей несколько VPN-маршрутизаторов с истекшим сроком эксплуатации. Кроме того, код эксплойта доступен всем желающим.

Бреши в защите присвоен идентификатор CVE-2023-20025 . Она была обнаружена в веб-интерфейсе управления маршрутизаторами Cisco Small Business моделей RV016, RV042, RV042G и RV082 ИБ-специалистом Хоу Люяном из Qihoo 360 Netlab.
 

VMware настоятельно рекомендует установить исправления для Workspace ONE Access и продуктов VMware, включающих компоненты VMware Identity Manager.

На этой неделе поставщик решений для виртуализации и облачных вычислений VMware сообщил о восеми уязвимостях в пяти своих продуктах и призвал пользователей Workspace ONE Access и всех остальных продуктов, включающих компоненты VMware Identity Manager, немедленно установить исправления.

Уязвимость также затрагивает широко используемые дистрибутивы Linux, такие как Red Hat, SUSE Linux и Ubuntu.

Разработчики пакета программ Samba выпустили обновление безопасности, устраняющее большое количество уязвимостей. Их успешная эксплуатация позволяет удаленным злоумышленникам выполнить произвольный код с наивысшими привилегиями на уязвимых системах.

Самой опасной проблемой является CVE-2021-44142 , которая затрагивает все версии Samba до 4.13.17. Уязвимость чтения/записи кучи за пределами памяти содержится в модуле VFS vfs_fruit, который обеспечивает совместимость с клиентами Apple SMB. Эксплуатация проблемы позволяет удаленным злоумышленникам выполнить произвольный код от имени суперпользователя.

Уязвимость с рейтингом опасности 9,9 балла из максимальных 10 по шкале CVSS была обнаружена исследователем в области кибербезопасности Оранжем Цаем (Orange Tsai) из DEVCORE. По данным Координационного центра CERT (CERT/CC), уязвимость также затрагивает широко используемые дистрибутивы Linux, такие как Red Hat, SUSE Linux и Ubuntu.

Хотя адаптированный под UniFi-устройства PoC-эксплоит был опубликован еще в декабре, атаки с ним начались только в конце января.

Киберпреступники используют кастомизированную версию публично доступного эксплоита для нашумевшей уязвимости Log4Shell, чтобы атаковать сетевые установки Ubiquiti с установленным программным обеспечением UniFi.
 
Как сообщают специалисты ИБ-компании Morphisec, первые атаки начались 20 января 2022 года. Злоумышленники использовали PoC-эксплоит, ранее опубликованный на GitHub.

Разработанный компанией Sprocket Security PoC-эксплоит позволяет эксплуатировать уязвимость Log4Shell в утилите Log4j на UniFi-устройствах Ubiquiti.

ПО UniFi может устанавливаться на Linux- и Windows-серверах и позволяет сетевым администраторам управлять беспроводным и сетевым оборудованием Ubiquiti из одного централизованного web-приложения. Это приложение написано с использованием Java и использует утилиту Log4j для поддержки функции журналирования. Приложение присутствует в списке продуктов, затрагиваемых уязвимостью Log4Shell, и получило исправление 10 декабря 2021 года – на следующий день после того, как о Log4Shell стало известно широкой общественности.

Компания Qualys выявила уявзвимость (CVE-2021-4034) в системном компоненте Polkit (бывший PolicyKit), используемом в дистрибутивах для организации выполнения непривилегированными пользователями действий, требующих повышенных прав доступа. Уязвимость позволяет непривилегированному локальному пользователю повысить свои привилегии до пользователя root и получить полный контроль за системой. Проблема получила кодовое имя PwnKit и примечательная подготовкой рабочего эксплоита, работающего в конфигурации по умолчанию в большинстве дистрибутивов Linux.

Проблема присутствует во входящей в состав PolKit утилите pkexec, поставляемой с флагом SUID root и предназначенной для запуска команд с привилегиями другого пользователя в соответствии с заданными правилами PolKit. Из-за некорректной обработки передаваемых в pkexec аргументов командной строки непривилегированный пользователь мог обойти аутентификацию и добиться запуска своего когда с правами root, независимо от установленных правил доступа. Для атаки не важно какие настройки и ограничения в PolKit заданы, достаточно чтобы для исполняемого файла с утилитой pkexec был выставлен признак SUID root.

Опытным путём в коммутаторе D-Link DGS-3000-10TC (Hardware Version: A2) обнаружена критическая ошибка, позволяющая инициировать отказ в обслуживании через отправку специально оформленного сетевого пакета. После обработки подобных пакетов коммутатор впадает в состояние со 100% нагрузкой на CPU, устранить которое может только перезагрузка.

На сообщение о проблеме служба поддержки D-Link ответила "Добрый день, после очередной проверки разработчики считают, что в DGS-3000-10TC нет проблемы. Проблема была из-за поломанного пакета, который отправлял DGS-3000-20L и после фикса с новой прошивкой проблем не наблюдается." Иными словами подтверждено, что коммутатор DGS-3000-20L (и другие из этой серии) ломает пакет от клиента PPP-over-Ethernet Discovery (pppoed), и данная проблема устранена в прошивке.

В подсистеме eBPF, позволяющей запускать обработчики для трассировки, анализа работы подсистем и управления трафиком, выполняемые внутри ядра Linux в специальной виртуальной машине с JIT, выявлена уязвимость (CVE-2021-29154), позволяющая локальному пользователю добиться выполнения своего кода на уровне ядра. Проблема проявляется вплоть до выпуска 5.11.12 (включительно) и ещё не исправлена в дистрибутивах (Debian, Ubuntu, RHEL, Fedora, SUSE, Arch). Исправление доступно в виде патча.

Опасная ситуация с VMware vCenter Server (управление виртуальной инфраструктурой). Только вышло оповещение, что надо обновиться, т.к. есть брешь, как сразу же был выпущен эксплоит. Большинство не успело обновиться и идут сообщения с массовым сканированием на незакрытую дыру.
 

Исследователи безопасности из компании Qualys выявили критическую уязвимость (CVE-2021-3156) в утилите sudo, предназначенной для организации выполнения команд от имени других пользователей. Уязвимость позволяет получить доступ с правами root без прохождения аутентификации и без наличия необходимых полномочий. Проблема может быть эксплуатирована любым пользователем, независимо от присутствия в системных группах и наличия записи в файле /etc/sudoers. Для атаки не требуется ввод пароля пользователя, т.е. уязвимость может применяться посторонним для повышения привилегий в системе после компрометации уязвимости в непривилегированном процессе (в том числе запускаемом под пользователем "nobody").

Исследователи продемонстрировали рабочие эксплоиты для получения полных привилегий root в Ubuntu 20.04, Debian 10 и Fedora 33. Не исключается возможность эксплуатации уязвимости и в других операционных системах и дистрибутивах, но проверка исследователями ограничилась Ubuntu, Debian и Fedora. Проблеме подвержены все версии sudo с 1.8.2 по 1.8.31p2 и с 1.9.0 по 1.9.5p1 в конфигурации по умолчанию. Исправление предложено в выпуске sudo 1.9.5p2.

Уязвимость затрагивает версии Windows 10 1903 и 1909.

Исследователи кибербезопасности из компании ZecOps обнаружили новую критическую уязвимость ( CVE-2020-1206 ) в сетевом протоколе передачи данных Microsoft Server Message Block (SMB). Ее эксплуатация позволяет злоумышленникам удаленно получить из памяти ядра конфиденциальные данные, а в сочетании с ранее обнаруженной «червеобразной» уязвимостью SMBGhost в Windows 10 ( CVE-2020-0796 ) проблема может быть использована для удаленного выполнения кода.

Проблема, получившая название SMBleed, затрагивает версии Windows 10 1903 и 1909. По словам экспертов, она связана с тем, что функция распаковки («Srv2DecompressData») в SMB-протоколе способна обрабатывать специально сформированные запросы сообщений (например, SMB2 WRITE), отправленные на целевой сервер SMBv3. Таким образом злоумышленник может читать данные в памяти ядра и вносить изменения в функцию сжатия.