Днес SonicWall предупреди клиентите си спешно да поправят множество критични уязвимости, които засягат софтуерните пакети за управление на защитни стени Global Management System (GMS) и за мрежови отчети Analytics на компанията.

Американската компания за киберсигурност отстрани днес общо 15 пропуски в сигурността, включително такива, които могат да позволят на  заплахи да получат достъп до уязвими локални системи, работещи с GMS 9.3.2-SP1 или по-ранни версии и Analytics 2.5.0.4-R7 или по-ранни версии, след като заобиколят удостоверяването.

„Този набор от уязвимости, за които бе разкрита отговорност, включва четири (4) уязвимости с оценка CRITICAL по CVSSv3, които позволяват на нападателя да заобиколи удостоверяването и потенциално могат да доведат до разкриване на чувствителна информация пред неупълномощени лица“, заявиха от SonicWall.

„SonicWall PSIRT настоятелно препоръчва на организациите, които използват GMS/Analytics On-Prem версията, описана по-долу, незабавно да преминат към съответната поправена версия.“

Списъкът с критични уязвимости, които администраторите трябва да закърпят незабавно, като надградят до GMS 9.3.3 и Analytics 2.5.2, включва:

  • CVE-2023-34124: Заобикаляне на удостоверяването на уеб услугата
  • CVE-2023-34133: множество проблеми с неавтентифицирано SQL инжектиране и заобикаляне на филтъра за сигурност
  • CVE-2023-34134: Четене на хеш парола чрез уеб услуга
  • CVE-2023-34137: Заобикаляне на CAS удостоверяването

 

Те могат да бъдат използвани дистанционно от неаутентифицирани заплахи при атаки с ниска сложност, които не изискват взаимодействие с потребителя.

Успешното използване позволява неоторизиран достъп до данни, които обикновено са недостъпни за нападателя, според публикувана в сряда консултация по сигурността.

Такива данни могат да включват информация, принадлежаща на други потребители, или всякакви данни в обсега на компрометираното приложение. След компрометирането им нападателите могат да манипулират или изтриват тези данни, което води до „постоянни промени“ в съдържанието или функционалността на хакнатото приложение.

PSIRT на SonicWall не разполага с информация за публични съобщения за доказателство за концептуален (PoC) код за експлойт или за активна експлоатация на тази уязвимост в дивата природа, преди бъговете да бъдат разкрити и поправени.

Устройствата на компанията в миналото са били обект на атаки с цел получаване на откуп (напр. HelloKitty, FiveHands) и кибершпионаж.

Например през март SonicWall PSIRT и Mandiant разкриха, че заподозрени китайски хакери са инсталирали потребителски зловреден софтуер на непоправени устройства SonicWall Secure Mobile Access (SMA), за да получат дългосрочна устойчивост за кампании за кибершпионаж.

Продуктите на SonicWall се използват от над 500 000 бизнес клиенти в 215 страни и територии по света, включително правителствени агенции и някои от най-големите компании в света.

Източник: По материали от Интернет

Подобни публикации

12 февруари 2025

Deepfake, изкуствен интелект, регулации - опред...

Снощи, 11.02.2025 г., зала ‚Йоханесбург‘ на Полиграфическия комбина...
12 февруари 2025

Несправедливата реалност на киберинцидентите

Неотдавна мой чудесен колега се контузи доста тежко по време на зим...
12 февруари 2025

SAP пуска 21 кръпки за сигурност

Производителят на корпоративен софтуер SAP обяви във вторник пускан...
12 февруари 2025

Intel поправи 374 уязвимости през 2024 г.

През календарната 2024 г. Intel е поправила общо 374 уязвимости в с...
11 февруари 2025

Ключови фигури от Phobos и 8Base са арестувани ...

Координирана международна акция на правоприлагащите органи миналата...
11 февруари 2025

Поведенчески анализ в киберсигурността: Кой има...

Тъй като разходите за нарушаване на сигурността на данните продължа...
Бъдете социални
Още по темата
12/02/2025

Несправедливата реалност на...

Неотдавна мой чудесен колега се контузи...
11/02/2025

Поведенчески анализ в кибер...

Тъй като разходите за нарушаване на...
11/02/2025

Над 12 000 защитни стени Ke...

Над дванадесет хиляди екземпляра на защитната...
Последно добавени
12/02/2025

Deepfake, изкуствен интелек...

Снощи, 11.02.2025 г., зала ‚Йоханесбург‘ на...
12/02/2025

Несправедливата реалност на...

Неотдавна мой чудесен колега се контузи...
12/02/2025

SAP пуска 21 кръпки за сигу...

Производителят на корпоративен софтуер SAP обяви...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!