UserGate предупреждает о множественных уязвимостях в Sangfor NGAF

UserGate предупреждает о множественных уязвимостях в Sangfor NGAF

UserGate предупреждает о множественных уязвимостях в Sangfor NGAF

В комбайне из NGFW и WAF производства Sangfor Technologies обнаружены пять уязвимостей, в том числе две критические. Китайский вендор в двух случаях выпустил патчи, остальные не смог подтвердить.

Множественные уязвимости в NGAF 8.0.17 обнаружили в середине прошлого месяца исследователи из watchTowr Labs. Центр мониторинга и реагирования UserGate удостоверился в наличии проблем и опубликовал предупреждение.

Выявленные уязвимости позволяют получить доступ к исходному коду продукта и локальным файлам (в режиме read only), добавить собственных пользователей SSO через SQL-инъекцию, а также получить информацию о конфигурации подключенных к устройству доменов, включая логин и пароль.

Причиной появления проблем являются слабый механизм аутентификации и возможность манипулирования ответами сервера Apache. К концу сентября Sangfor в ходе переписки признала наличие двух уязвимостей (возможности доступа к файлам на чтение и инъекции команд) и заявила о выпуске патчей, однако найти их в публичном доступе ни watchTowr, ни UserGate не удалось.

Три уязвимости Sangfor не смогла подтвердить, сославшись на ложноположительные срабатывания. В итоге авторы опасных находок опубликовали PoC-коды. Уязвимостям присвоены идентификаторы с CVE-2023-30802 по CVE-2023-30806.

По данным watchTowr, проблемы NGAF ставят под удар, в числе прочих, более 108 тыс. серверов с экземпляром продукта, приобретенного через маркетплейс AWS.

 

Специалисты Центра мониторинга и реагирования UserGate рекомендуют пользователям Sangfor NGAF принять меры защиты от эксплойта:

  1. Закрыть внешний доступ к сервисам Firewall Report Center и Administrator Login Portal на портах 85 и 4433.
  2. Проверить актуальность подписки на модуль Security updates.
  3. Добавить в блокирующее правило IDPS следующие сигнатуры:
    • Sangfor NGAF Arbitrary file read;
    • Sangfor NGAF Remote code execution in loginout.php;
    • Sangfor NGAF Remote code execution in PHPSESSID;
    • Sangfor NGAF malicious SSO user creation;
    • Sangfor NGAF Content-Length Source Code Dump.
Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

1С объявила о плановом повышении цен в 2025 году

Генеральный директор «Фирмы 1С» Борис Нуралиев на форуме «1С: ERP» анонсировал плановое повышение цен на продукты компании в 2025 году. Оно составить от 10% до 18%.

На основную часть решений стоимость вырастет на 14%, на самую массовую группу лицензий, на рабочие места, на 10%, а на некоторые позиции — на 18%.

Как заявил Борис Нуралиев, на лицензии ПРОФ (для компании до 500 пользователей) цены вырастут с 1 апреля 2025 года, на КОРП (более чем 500 пользователей) — с 1 июля.

«Функциональность продуктов непрерывно развивается. Затраты на разработку, включая рыночные зарплаты программистов и оборудование, растут достаточно заметно. Надо учитывать, что большую часть этого повышения получат наши партнеры-внедренцы (скидка «1С: Франчайзи» составляет 55% от розничной цены). Зарплаты специалистов и другие затраты наших партнеров тоже растут, а мы должны заботиться о рентабельности их работы», — так мотивировал повышение цен глава компании.

Как подчеркнул Борис Нуралиев, цена на продукты «1С» остается существенно ниже зарубежных аналогов. Негативного влияния на рынок от повышения цен он не ждет, так же, как и опрошенные РБК партнеры «1С».

Партнер и гендиректор «1С ПРО Консалтинг» Владимир Бибанов при этом отметил, что стоимость владения продуктов от «1С» существенно ниже, чем у зарубежных аналогов.

Как напоминает РБК, «1С» была среди компаний, которые подписали «Ценовую хартию социально ответственного IT-бизнеса». Данный документ накладывает обязательство повышать цены не более чем на уровень инфляции с поправкой на норму прибыли в 15%.

За время действия этой хартии, как отметил исполнительный директор АРПП «Отечественный софт» Ренат Лашин, пока ни одного ее нарушения не было.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru