Разделы сайта Все
#security
У ніч з 13 на 14 січня хакери здійснили глобальну атаку на сайти Кабінету міністрів та окремих міністерств. Також тимчасово недоступний сайт держпослуг "Дія".

Джерело: урядові сайти, Facebook-сторінка Міносвіти

Деталі: У Міносвіти повідомили, що у зв’язку з глобальною атакою у ніч з 13 на 14 січня 2022 року офіційний сайт міністерства тимчасово не працює.

У відомстві закликали користуватися іншими вебресурсами, зокрема офіційними сторінками міністерств у соцмережах.

Повідомляється, що наразі тривають роботи з усунення несправності, а також працює кіберполіція.
В accel-ppp обнаружилась уязвимость на переполнение буффера с помощью пакета, прилетающего в порты radauth/radacct/CoA

До обновления советуют фильтровать трафик на этих портах, если вдруг еще нету этого.

На сколько я понимаю: в акселе нельзя указать интерфейс и src откуда должны приходить пакеты от радиуса.
Т.е. кто угодно может сформировать специальный пакет и, представивишись еще одним радиусом, сделать buffer overflow

CVE пока нету, но обещают.

Патч есть на гитхабе

This patch fixes buffer overflow if radius packet contains invalid atribute length
and attrubute type from the following list: ipv4addr, ipv6addr or ifid

Reported-by: Chloe Ong
Reported-by: Eugene Lim spaceraccoon@users.noreply.github.com
Signed-off-by: Sergey V. Lobanov sergey@lobanov.in

Представлен выпуск инструментария Nzyme 1.2.0, предназначенного для мониторинга эфира беспроводных сетей с целью выявления вредоносной активности, развёртывания подставных точек доступа, неавторизированных подключений и совершения типовых атак. Код проекта написан на языке Java и распространяется под лицензией SSPL (Server Side Public License), которая основана AGPLv3, но не является открытой из-за наличия дискриминирующих требований в отношении использования продукта в облачных сервисах.

Захват трафика осуществляется через перевод беспроводного адаптера в режим мониторинга за транзитными сетевыми кадрами. Возможна передача перехваченных сетевых кадров в систему Graylog для длительного хранения на случай, если данные потребуются для разбора инцидентов и вредоносных действий. Например, программа позволяет выявить появление несанкционированных точек доступа, а в случае выявления попытки компрометации беспроводной сети покажет, кто стал целью атаки и какие пользователи были скомпрометированы.

Система может генерировать несколько типов предупреждений, а также поддерживает различные способы определения аномальной активности, включая проверку компонентов сети по fingerprint-идентификаторам и создание ловушек. Поддерживается генерация предупреждений при нарушении структуры сети (например, появления ранее не известного BSSID), изменении связанных с безопасностью параметров сети (например, изменение режимов шифрования), выявления присутствия типовых устройств для проведения атак (например, WiFi Pineapple), фиксации обращения к ловушке или определения аномального изменения поведения (например, при появлении отдельных кадров с нетипичным слабым уровнем сигнала или нарушением пороговых значений интенсивности поступления пакетов).
Опубликованы корректирующие выпуски пакета Samba 4.15.2, 4.14.10 и 4.13.14 с устранением 8 уязвимостей, большинство из которых могут привести к полной компрометации домена Active Directory. Примечательно, что одну из проблем исправляли с 2016 года, а пять - с 2020 года, тем не менее одно исправление привело к невозможности запустить winbindd при наличии настройки "allow trusted domains = no" (разработчики намерены оперативно опубликовать ещё одно обновление с исправлением). Выпуск обновлений пакетов в дистрибутивах можно проследить на страницах: Debian, Ubuntu, RHEL, SUSE, Fedora, Arch, FreeBSD.
Проблема получила оценку в 9,8 балла по шкале CVSS и затрагивает версии PAN-OS от 8.1. до 8.1.17.

В межсетевых экранах Palo Alto Networks, использующих GlobalProtect VPN, была обнаружена уязвимость, которая может быть проэксплуатирована неавторизованным злоумышленником для выполнения произвольного кода на уязвимых устройствах с привилегиями суперпользователя.

Проблема (CVE-2021-3064) получила оценку в 9,8 балла по шкале CVSS и затрагивает версии PAN-OS от 8.1. до 8.1.17.

«Цепочка уязвимостей состоит из метода обхода проверок, сделанных внешним web-сервером, и переполнения буфера на основе стека. Использование цепочки уязвимостей было доказано и позволяет удаленно выполнять код как на физических, так и на виртуальных межсетевых экранах», — пояснили эксперты из ИБ-фирмы Randori, обнаружившие уязвимость.
Самая опасная проблема позволяет удаленному неавторизованному злоумышленнику читать или записывать произвольные файлы.

Компания Cisco Systems исправила ряд критических и опасных уязвимостей сетевом оборудовании Cisco Nexus 9000 Series. Самая опасная проблема ( CVE-2021-1577 ) получила оценку в 9,1 балла из максимальных 10 по шкале CVSS. Ее эксплуатация может позволить удаленному неавторизованному злоумышленнику читать или записывать произвольные файлы в интерфейс протокола приложения, используемом в коммутаторах серии Cisco 9000 для управления программно-определяемыми сетевыми данными.

Критическая уязвимость затрагивает контроллеры Cisco Application Policy Infrastructure Controller (APIC) и Cisco Cloud Application Policy Infrastructure Controller (Cloud APIC). APIC — основной архитектурный компонент инфраструктуры Cisco, ориентированной на приложения, которые работает на узле Cisco Nexus 9000 Series.

«Уязвимость связана с некорректным контролем доступа. Злоумышленник может воспользоваться этой уязвимостью, используя определенную оконечную точку API для загрузки файла на уязвимое устройство», — сообщили эксперты.
Уязвимости могут затрагивать устройства AsusTEK, Belkin, D-Link, Edimax, Hama, Logitech и Netgear.

Тайваньский производитель чипов Realtek сообщил о четырех уязвимостях в трех SDK своих сопутствующих модулей Wi-Fi, использующихся почти в 200 продуктах от более полусотни поставщиков.

Уязвимости позволяют удаленному неавторизованному атакующему вызывать отказ в обслуживании, выводить из строя устройства и внедрять произвольные команды.

CVE-2021-35392 – переполнение буфера в стеке через UPnP в Wi-Fi Simple Config;

CVE-2021-35393 – переполнения кучи через SSDP в Wi-Fi Simple Config;

CVE-2021-35394 – внедрение команд в инструменте для диагностирования MP Daemon;

CVE-2021-35395 – множественные уязвимости в web-интерфейсе управления.
В сети зафиксирована массовая атака на домашние маршрутизаторы, в прошивках которых используется реализация http-сервера от компании Arcadyan. Для получения управления над устройствами применяется сочетание двух уязвимостей, позволяющих удалённо выполнить произвольный код с правами root. Проблема затрагивает достаточно большой спектр ADSL-маршрутизаторов от компаний Arcadyan, ASUS и Buffalo, а также устройств, поставляемых под брендами Билайн (проблема подтверждена в Smart Box Flash), Deutsche Telekom, Orange, O2, Telus, Verizon, Vodafone и других операторов связи. Отмечается, что проблема присутствует в прошивках Arcadyan уже более 10 лет и за это время успела перекочевать как минимум в 20 моделей устройств от 17 различных производителей.

Первая уязвимость CVE-2021-20090 даёт возможность обратиться к любому скрипту web-интерфейса без прохождения аутентификации. Суть уязвимость в том, что в web-интерфейсе некоторые каталоги, через которые отдаются картинки, CSS-файлы и сценарии JavaScript, доступны без аутентификации. При этом проверка каталогов, для которых разрешён доступ без аутентификации выполняется по начальной маске. Указание в путях символов "../" для перехода в родительский каталог блокируется прошивкой, но использование комбинации "..%2f" пропускается. Таким образом, имеется возможность открытия защищённых страниц при отправке запросов, подобных "http://192.168.1.1/images/..%2findex.htm".
Проблемы позволяют злоумышленнику взломать сервер web-почты организации и получить доступ ко всем сообщениям электронной почты сотрудников.

Уязвимости в корпоративном почтовом клиенте Zimbra могут позволить злоумышленнику получить неограниченный доступ к отправленным и полученным сообщениям электронной почты организации. По словам специалистов из компании SonarSource, эксплуатация проблем позволяет неавторизованному злоумышленнику взломать почтовый сервер организации и получить доступ ко всем сообщениям электронной почты сотрудников.
Специалисты компании Qualys сообщили о новой уязвимости в ОС Linux, которая позволяет получить права суперпользователя на большинстве дистрибутивов, в частности, Ubuntu, Debian и Fedora.

Проблема (CVE-2021-33909), получившая название Sequoia, содержится в файловой системе Linux и представляет собой уязвимость чтения за пределами буфера (out-of-bounds read). По словам экспертов, проблема связана с некорректной обработкой длины имени файла. С ее помощью непривилегированный локальный пользователь может запустить код с правами суперпользователя.

Экспертам удалось успешно проэксплуатировать проблему на системах с установленными дистрибутивами Ubuntu 20.04, Ubuntu 20.10, Ubuntu 21.04, Debian 11 и Fedora 34 Workstation. Отмечается, что и Linux другие дистрибутивы Linux, скорее всего, подвержены данной уязвимости.
Опытным путём в коммутаторе D-Link DGS-3000-10TC (Hardware Version: A2) обнаружена критическая ошибка, позволяющая инициировать отказ в обслуживании через отправку специально оформленного сетевого пакета. После обработки подобных пакетов коммутатор впадает в состояние со 100% нагрузкой на CPU, устранить которое может только перезагрузка.

На сообщение о проблеме служба поддержки D-Link ответила "Добрый день, после очередной проверки разработчики считают, что в DGS-3000-10TC нет проблемы. Проблема была из-за поломанного пакета, который отправлял DGS-3000-20L и после фикса с новой прошивкой проблем не наблюдается." Иными словами подтверждено, что коммутатор DGS-3000-20L (и другие из этой серии) ломает пакет от клиента PPP-over-Ethernet Discovery (pppoed), и данная проблема устранена в прошивке.
Эксплуатация уязвимостей позволяет злоумышленнику взломать IT-сети без вмешательства оператора.

Исследователи кибербезопасности из компании Skylight Cyber опубликовали подробности о 13 уязвимостях в программном обеспечении с открытым исходным кодом Nagios для мониторинга IT-сетей и компьютерных систем. Эксплуатация уязвимостей позволяет злоумышленнику взломать IT-сети без вмешательства оператора.

Самая опасная проблема (CVE-2020-28648) получила оценку в 8,8 балла по шкале CVSS и связана с некорректной проверкой вводимых данных в компоненте Auto-Discovery Nagios XI, который исследователи использовали в качестве отправной точки для запуска цепочки эксплоитов из пяти уязвимостей.