Компания SentinelOne на этой неделе раскрыла ряд уязвимостей в Microsoft Azure Defender для IoT, в том числе две критические. Уязвимости, на исправление которых у Microsoft ушло шесть месяцев, позволяли неавторизованным злоумышленникам взламывать устройства и захватывать контроль над сетями критической инфраструктуры, пишет SecurityLab.
Решение безопасности Microsoft Azure Defender для IoT должно выявлять и блокировать подозрительную активность, а также обнаруживать известные уязвимости и управлять инвентаризацией обновлений и оборудования в IoT-системах и АСУ ТП. Энергетические компании и другие пользователи могут развертывать его как локально, так и для устройств, подключенных к Azure.
Раскрытые на этой неделе уязвимости уже все исправлены, и никаких признаков их эксплуатации в хакерских атаках обнаружено не было.
«Успешная атака может привести к полной компрометации сети, поскольку Azure Defender For IoT сконфигурирован таким образом, чтобы TAP (Terminal Access Point) была в сетевом трафике. Доступ к чувствительной информации в сети может привести к ряду сложных сценариев атак, которые будет трудно или даже невозможно обнаружить», - пояснили исследователи SentinelLabs.
Две критические уязвимости в Defender для IoT, CVE-2021-42311 и CVE-2021-42313, позволяют осуществлять SQL-инъекции и получили 10 баллов из 10 по шкале оценивания опасности уязвимостей.
Для эксплуатации CVE-2021-42311 не требуется аутентификация, поскольку нужный для этого «секретный» токен API является общим для всех установок Defender для по всему миру. То же самое касается CVE-2021-42313, которая также позволяет осуществлять SQL-инъекцию без аутентификации, поскольку параметр UUID не проверяется должным образом перед его использованием в SQL-запросе.
Уязвимость CVE-2021-42310, отмеченная как высокоопасная, затрагивает механизм восстановления паролей в Defender для IoT. Злоумышленник может осуществить атаку TOCTOU (time-of-check-time-of-use – время проверки/время использования) для сброса пароля к устройству и получения нового без аутентификации.
Четвертая уязвимость, CVE-2021-42312, также затрагивает механизм восстановления пароля и позволяет выполнить код с помощью внедрения команд.
Уязвимость CVE-2021-37222 присутствует в фреймворке для обработки пакетов RCDCap с открытым исходным кодом.
Руководители OpenAI, Anthropic, Google DeepMind, Microsoft AI и других технологических компаний подписали открытое письмо к Конгрессу США с призывом ввести обязательную проверку заказов на синтетические ДНК и РНК.
Apple заявила, что мессенджер Max был удален из App Store из-за правил соблюдения санкций: в комментарии Русской службе BBC компания уточнила, что соблюдает законы юрисдикций, в которых работает, но не раскрыла, о каких именно санкциях идет речь.
Исследователи Google разработали систему Passive Heart Rate Monitoring, которая позволяет измерять частоту сердечных сокращений и пульс в состоянии покоя с помощью обычной фронтальной камеры смартфона.
Российская индустрия информационной безопасности в ближайшие годы способна дорасти до годового объема в 1 трлн рублей.
На полях Петербургского международного экономического форума заместитель генерального директора «Газпром-Медиа Холдинга» Сергей Косинский, возглавляющий направление цифровых активов, представил аналитический срез ключевых ИБ-вызовов медиаиндустрии.
Заместитель начальника Аналитического центра кибербезопасности ООО «Газинформсервис» Светлана Лагутина выступит с докладом на «Электро-2026».
На Петербургском международном экономическом форуме состоялась профильная сессия Сбера «Цифровой самозванец: новое оружие массового поражения».
В рамках участия в проекте студенты получили практические знания по работе с программными продуктами «Группы Астра», в частности с Astra Linux — российской операционной системой № 1.
Наиболее атакуемыми отраслями остаются телеком, финансовый сектор и государственные организации; мощность отдельных атак выросла на 173%, а атаки свыше 200 Гбит/с участились на 215%.
В Москве на площадке «Группы Астра» состоялось заседание Комитета по информационным технологиям Ассоциации менеджеров, посвященное теме: «Кибербезопасность: защита от атак, которые могут остановить бизнес».
