Технологии

Уязвимости Chrome, антивирусов и серверов. 13 актуальных киберугроз для вашей компании

Главное из отчета об актуальных киберугрозах для бизнеса (Фото: pixabay.com / Pete Linforth)

Риски получения злоумышленниками удаленного доступа и контроля над промышленными системами оказались среди ключевых киберугроз для бизнеса в октябре 2020 года.

Об этом говорится в отчете украинской компании — исследователя киберугроз FS Group, копия которого есть в распоряжении редакции.

НВ Бизнес публикует главное из отчета.

Хакеры активно сканируют сеть на предмет уязвимых серверов Oracle WebLogic

Что известно. Злоумышленники активно сканируют сеть в поиске серверов Oracle WebLogic, содержащих критическую уязвимость CVE-2020−14882. Ее эксплуатация позволяет перехватить контроль над системой без особых усилий и без аутентификации, а также, путем простого GET-запроса HTTP, сломать систему.

Проблема затрагивает версии Oracle WebLogic 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 и 14.1.1.0. По результатам поисковых запросов Spyse было выявлено более 3 тысяч потенциально уязвимых серверов Oracle WebLogic, доступных в сети.

Что делать. Oracle устранила уязвимость в выпуске Critical Patch Update в этом месяце. Эксперты рекомендуют как можно скорее провести установку обновлений для продуктов Oracle WebLogic версий, затронутых проблемой.

В промышленных системах удаленного доступа обнаружены критические уязвимости

Что известно. Специалисты компании OTORIO обнаружили критические уязвимости в популярных промышленных системах удаленного доступа. Их эксплуатация позволяет запретить доступ к производственным цехам, сломать корпоративные сети, подделать данные и похитить конфиденциальную информацию.

Проблемы были обнаружены в SiteManager и GateManager от B&R Automation, а также в mbCONNECT24 от MB Connect Line — популярных инструментах удаленного обслуживания, используемых в автомобильной, энергетической, нефтегазовой и металлургической отраслях для подключения к промышленным объектам с любой точки мира.

Эксплуатация обнаруженных уязвимостей позволяет авторизованному злоумышленнику с доступом к решению через общую лицензию просматривать конфиденциальную информацию о других пользователях, их активах и процессах, даже если они принадлежат к другой организации. Кроме того, хакеры могут вводить пользователей в заблуждение с помощью фальшивых системных сообщений и предупреждений. Злоумышленник может также вызвать перезагрузку как GateManager, так и SiteManager, что в конечном итоге приведет к сбою в производстве.

Уязвимости затрагивают все версии SiteManager до 9.2.620236042, GateManager 4260 и 9250 до 9.0.20262 и GateManager 8250 до 9.2.620236042.

В mymbCONNECT24 и mbCONNECT24 (версии 2.6.1 и ранее) были обнаружены три различные проблемы, позволяющие авторизованному злоумышленнику получить доступ к произвольной информации с помощью SQL-иньекции, украсть данные сеанса с помощью подделки межсайтовых запросов, и выполнить удаленный код с помощью специально сформированной ссылки и использования устаревших и неиспользуемых сторонних библиотек, поставляемых в комплекте с программным обеспечением.

Что делать Эксперты рекомендуют регулярно проверять и устанавливать обновления для данных промышленных систем удаленного доступа.

0-day уязвимость в Chrome

Что известно. 20 октября Google выпустил новую версию браузера Chrome (86.0.4240.111), в которой была исправлена ​​активно эксплуатируемая киберпреступниками zero-day уязвимость. За последний год это уже третья zero-day в Chrome, которой пользуются хакеры.

Уязвимость повреждения памяти (CVE-2020−15999) присутствует в библиотеке рендеринга шрифтов FreeType, которая включена в стандартные дистрибутивы Chrome. Киберпреступники используют баг в библиотеке FreeType для атак на пользователей Chrome, однако эксперты рекомендуют и производителям других приложений, где используется FreeType, выпустить исправление в случае, если хакеры решат переключиться на них.

Что делать. Патч для уязвимости реализован в версии FreeType 2.10.4, вышедшей 20 октября.

7 мобильных браузеров уязвимы к спуфингу адресной строки

Полную версию читайте на nv.ua