Потребителите на корпоративния софтуер за прехвърляне на файлове CrushFTP са призовани да го актуализират до най-новата му версия след откриването на недостатък в сигурността, който е обект на целенасочена експлоатация в дивата природа.
„Версиите на CrushFTP v11 под 11.1 имат уязвимост, при която потребителите могат да избягат от своя VFS и да изтеглят системни файлове“, се казва в съобщение на CrushFTP, публикувано в петък. „Това е поправено във версия 11.1.0.“
При това клиентите, които експлоатират своите инстанции на CrushFTP в рамките на ограничена среда DMZ (демилитаризирана зона), са защитени от атаките.
Симон Гарелу от Airbus CERT има заслуга за откриването и съобщаването на дефекта. Все още не му е присвоен идентификатор CVE.
Компанията за киберсигурност CrowdStrike в публикация, споделена в Reddit, заяви, че е наблюдавала експлойт за дефекта, който се използва в дивата природа по „целенасочен начин“.
Твърди се, че тези прониквания са били насочени главно към американски структури, като се предполага, че дейността по събиране на разузнавателна информация е политически мотивирана.
„Потребителите на CrushFTP трябва да продължат да следят уебсайта на доставчика за най-актуални инструкции и да приоритизират кръпките“, заявиха от CrowdStrike.
Когато беше потърсен за коментар, основателят и президент на CrushFTP Бен Спинк заяви пред The Hacker News, че е запознат с доклада на CrowdStrike за активна експлоатация на дефекта, но отбеляза, че компанията не е чула нищо от своите клиенти досега.
Спинк също така подчерта, че нито CrushFTP, нито Airbus са оповестили допълнителни технически подробности за проблема. The Hacker News се свърза с CrowdStrike за допълнителни коментари и ще актуализираме историята, ако получим отговор.
„Поправихме уязвимостта в рамките на няколко часа, след като бяхме уведомени за нея, и след това работихме по изяждането и потвърждаването на поправката, преди да изпратим имейли до всички в списъка за уведомяване за спешни актуализации“, каза Спинк.
„10.7.1 поправя всички версии на v10, а 11.1 поправя всички версии на v11. Никой не трябва все още да работи с версия v9. Клиентите, които са платили за разширена поддръжка, могат да се свържат с нас за оправена версия v9.“
АБОНИРАЙТЕ СЕ ЗА НАШИЯ Е-БЮЛЕТИН И ПОЛУЧАВАЙТЕ НОВИНИ И СЪВЕТИ НА ТЕМА КИБЕРСИГУРНОСТ.
© 2022 Фондация “Киберсигурност за Всеки” с ЕИК 206932045. Всички права запазени. Политики за поверителност.
ж.к. Гео Милев бл. 117, вх.А
София 1113, България
support[@]e-security.bg
Фондация “Киберсигурност за Всеки” с ЕИК 206932045 е ЮЛНЦ в обществена полза, регистрирано в ЕС, работещо в съответствие с мисията и целите си.
Моля, имайте предвид, че всички споменати продукти и/или имена на компании са търговски марки ™ или ® на съответните им притежатели. Уебсайтът/фондацията няма никаква свързаност и/или одобрение за/от тях – тези търговски марки се използват само за образователни цели като примери. Настоящият уебсайт е онлайн информационна платформа, управлявана от доброволна фондация в обществена полза. Благодарим ви, че сте тук и за всякакви допълнителни въпроси, не се колебайте да се свържете с нас.
Мисията на Фондация “Киберсигурност за Всеки” е да допринесе за подобряване на киберсигурността, информационна сигурност и защита на системите и да повиши културата на обществото и организациите по тези и свързани с тях теми. Ние насърчаване безопасността и поверителността на потребителите, като повишаваме осведомеността, информираме за най-добрите и нови практики и помагаме на хора и организации да преодолеят съвременните предизвикателства за сигурността на мрежата и опазването на техните дигиталните активи.
На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.
Моля, проверете електронната си поща за да потвърдите.
