Срочно патчим FortiOS, Windows SmartScreen, MS Exchange, VPN-серверы Ivanti

Срочно патчим FortiOS, Windows SmartScreen, MS Exchange, VPN-серверы Ivanti

Срочно патчим FortiOS, Windows SmartScreen, MS Exchange, VPN-серверы Ivanti

Эксперты Positive Technologies составили список наиболее опасных уязвимостей по итогам февраля. Все восемь активно использовались злоумышленниками; вендоры (Fortinet, Microsoft, Ivanti) уже выпустили патчи, их следует как можно скорее установить.

1.   CVE-2024-21762 (9,8 балла CVSS) — возможность удаленного выполнения кода, выявленная в FortiOS и FortiProxy. Эксплойт не требует аутентификации и осуществляется с помощью специально созданных HTTP-запросов.

По данным Shadowserver, в настоящее время (по состоянию на 4 февраля) FortiOS SSL VPN работает более чем на 400 тыс. устройств. В России таких узлов свыше 2800. При отсутствии возможности обновить софт в кратчайшие сроки Fortinet советует временно отключить SSL VPN, это снизит риски.

2.   CVE-2024-21351 (7,6 балла) — обход ограничений Windows SmartScreen, актуальный для ОС версий 10 и 11. Уязвимость используется для доставки вредоносных программ; злоумышленнику нужно лишь убедить пользователя открыть присланный файл.

3.   CVE-2024-21412 (8,1 балла) — обход ограничений безопасности для файлов ярлыков веб-страниц (Internet Shortcut). Эксплойт позволяет скрытно доставить в систему зловреда — без срабатывания правил MoTW и вывода соответствующих предупреждений Microsoft Defender.

4.   CVE-2024-21413 (9,8 балла) — возможность удаленного выполнения кода в Microsoft Outlook. Эксплойт позволяет обойти защиту Protected View путем добавления символа «!» во вредоносную ссылку, вставленную в письмо.

5.   CVE-2024-21410 (9,8 балла) — возможность повышения привилегий в Microsoft Exchange. Уязвимость позволяет через атаку NTLM relay перехватить аутентификационные данные и использовать их для получения несанкционированного доступа к серверу.

6.   CVE-2024-21893 (8,2 балла) — возможность подмены запроса на стороне сервера (SSRF), выявленная в SAML-компоненте Ivanti Connect Secure (ICS), Ivanti Policy Secure и Ivanti Neurons for ZTA. Эксплойт возможен, когда на устройстве отсутствует аутентификация либо установлена устаревшая версия xmltooling, и позволяет получить несанкционированный доступ к ряду ресурсов.

7.   CVE-2023-46805 (8,2 балла) — обход аутентификации в ICS (версии 9 и 22) и Ivanti Policy Secure.

8.   CVE-2024-21887 (9,1 балла) — возможность инъекции команд в ICS (версии 9 и 22) и Ivanti Policy Secure. Эксплойт требует наличия прав администратора и может быть произведен удаленно.

При использовании в связке две последние уязвимости позволяют удаленно и без аутентификации выполнить на хосте любой код, а также получить доступ к внутренней сети организации и запустить туда зловреда — например, шифровальщика. По данным Shadowserver (на 4 марта), в интернете сейчас активны порядка 18,4 тыс. экземпляров Ivanti Connect Secure.

Пенсионеры смогут подтверждать право на скидки в магазинах через MAX

Процедура получения льгот, вводимых российским ретейлом для людей преклонного возраста, скоро упростится. Таким покупателям достаточно будет зайти в MAX и предъявить на кассе QR-код, сгенерированный на основе цифрового ID.

Сервис подтверждения статуса пенсионера через MAX уже запущен в пилотном режиме компанией X5.

В настоящее время нововведение доступно лишь москвичам — посетителям ряда «Перекрестков» и «Пятерочек», освоившим самообслуживание. В следующем месяце планируется распространить его на все торговые точки этих сетей.

«Каждый месяц в наши магазины приходят около 20 млн покупателей пенсионного возраста, — отметил Александр Костин, управляющий директор Х5 Tech. — Мы последовательно развиваем цифровые сервисы, которые делают покупки для клиентов любого возраста быстрее и удобнее, а процессы в магазинах — более эффективными».

Воспользоваться новой функцией несложно. На кассе самообслуживания нужно отсканировать товар, открыть раздел «Скидки пенсионерам и другие», выбрать из списка «Скидка пенсионерам» и поднести к считывателю смартфон с QR-кодом в профиле MAX (в мессенджере на такие случаи предусмотрена опция «Показать ID»).

Возможность использования MAX для подтверждения возраста в России закреплена законом. Создаваемый в мессенджере цифровой ID разрешено применять с этой целью наравне с бумажными документами, и ретейлеры уже начали осваивать это новшество при продаже товаров 18+.

RSS: Новости на портале Anti-Malware.ru