Главная>Новости>Новости «Инфосистемы Джет»>Уязвимость в системах мониторинга Xorux может привести ко взлому корпоративной сети

25.08.2020

Посетителей: 80

Просмотров: 276

Время просмотра: 2.3

ИТ-компания «Инфосистемы Джет» предупреждает об опасной уязвимости (7,5 баллов из 10 по шкале CVSS v2) в системах мониторинга виртуальной инфраструктуры LPAR2RRD и STOR2RRD Virtual Appliance от производителя Xorux. Уязвимость позволяет неавторизованным пользователям проводить удаленное исполнение команд ОС на сервере мониторинга при отправке запросов с главной веб-страницы решения, что может привести к компрометации сервера мониторинга.

 

Уязвимость была обнаружена в Лаборатории практического анализа защищенности компании «Инфосистемы Джет». Проблема (CVE-2020-24032) затрагивает версии LPAR2RRD и STOR2RRD Virtual Appliance с 2.01 по 2.70 и заключается в недостаточной фильтрации данных в параметрах POST-запроса при установке временной зоны. Для эксплуатации уязвимости необходим доступ к функции set timezone через веб-интерфейс продукта. В результате злоумышленники могут получить возможность по внедрению и выполнению команд на сервере решения.


«Уязвимое приложение выполняет внедренные злоумышленником команды в принимающей? их операционной? системе и позволяет в отдельных случаях полностью скомпрометировать систему, а также обойти средства защиты, применяемые в организации для предотвращения несанкционированного доступа во внутреннюю сеть. CVE-2020-24032 может стать отличным плацдармом для дальнейшего развития атаки на внутреннюю сеть. Наконец, нельзя исключать сценарий использования скомпрометированной системы для создания и развития бот-сетей», — предостерегает Всеволод Шамов, специалист Лаборатории практического анализа защищенности компании «Инфосистемы Джет».


До устранения уязвимости производителем специалисты «Инфосистемы Джет» рекомендуют ограничить доступ к сценарию /cgi-bin/tz.pl наложенными средствами либо временно ограничить доступ к веб-панели на сетевом уровне.


LPAR2RRD и STOR2RRD Virtual Appliance — программное обеспечение c открытым исходным кодом для мониторинга серверной инфраструктуры и систем хранения данных от чешской компании Xorux. Согласно информации на сайте производителя, данными решениями пользуются финансовые компании, государственные организации, ИТ- и телеком-компании, предприятия сферы энергетики, а также организации в области здравоохранения.

Уведомления об обновлении новостей – в вашей почте

Титан под контролем: Как видеонаблюдение за выплавкой повышает качество металла

Российская металлургическая компания ПАО «Корпорация ВСМПО-АВИСМА» — лидер по производству титана. Корпорация глубоко интегрирована в мировую аэрокосмическую индустрию и является стратегическим поставщиком для компаний из 50 стран. Слиток титана плавится до 10 часов, и все это время специалист должен неотрывно наблюдать за печью. Чтобы автоматизировать и оптимизировать процессы, было принято решение разработать систему технического зрения.

Шерлоки Холмсы цифрового века

Установление причин инцидента и расследование киберпреступлений. Процедуры реагирования на инциденты: шаги по обнаружению, анализу, регистрации, противодействию и устранению последствий.

Другие новости из этой рубрики

30
03

«Инфосистемы Джет» протестировала российский продукт SafeMobile в собственной лаборатории

В лаборатории компании «Инфосистемы Джет» на базе платформы киберучений Jet CyberCamp смоделированы риски, связанные с доступом к корпоративной информации и ее хранением на мобильных устройствах. В качестве варианта решения для защиты доступа к корпоративным данным специалисты ИТ-компании протестировали российский продукт UEM SafeMobile.

31
03

«Инфосистемы Джет» разработала стратегию развития ИБ для ИНК

«Инфосистемы Джет» провела аудит и определила направления развития информационной безопасности для Иркутской нефтяной компании (ИНК). В результате выполненных работ в компании разработана стратегия развития системы обеспечения ИБ на три года.

03
04

«Инфосистемы Джет» модернизировала центр управления сетями энергетической компании в вологодской области

Специалисты «Инфосистемы Джет» оснастили диспетчерскую центра управления сетями Вологодской областной энергетической компании аудиовизуальным комплексом с видеостеной для работы диспетчеров. Эти решения позволили повысить качество коммуникации сотрудников и ускорить реакцию инженеров на сбои в электроснабжении региона.

Спасибо!
Вы подписались на обновления наших статей
Предложить
авторский материал





    Спасибо!
    Вы подписались на обновления наших статей
    Подписаться
    на тему







      Спасибо!
      Вы подписались на обновления наших статей
      Оформить
      подписку на журнал







        Спасибо!
        Вы подписались на обновления наших статей
        Оформить
        подписку на новости







          Спасибо!
          Вы подписались на обновления наших статей
          Задать вопрос
          редактору








            Оставить заявку

            Мы всегда рады ответить на любые Ваши вопросы

            * Обязательные поля для заполнения

            Спасибо!

            Благодарим за обращение. Ваша заявка принята

            Наш специалист свяжется с Вами в течение рабочего дня