Закрыты 16 уязвимостей в U.motion Builder

Компания Schneider Electric исправила 16 уязвимостей в своем решении U.motion Builder, в том числе критические и опасные бреши. Одна из них получила 10 — высший балл опасности по шкале …

Читайте на остальной »

Компания Schneider Electric исправила 16 уязвимостей в своем решении U.motion Builder, в том числе критические и опасные бреши. Одна из них получила 10 — высший балл опасности по шкале CVSS, еще две — 8,8 балла.

U.motion Builder позволяет пользователям создавать проекты для своих устройств U.motion — системы комплексного управления жилым или производственным пространством. U.motion отвечает за автоматизацию широкого спектра процессов в помещениях, от включения и выключения освещения до контроля энергопотребления и видеонаблюдения. Это решение используется на коммерческих и промышленных объектах по всему миру.

Исправленные бреши затронули все версии U.motion Builder вплоть до 1.3.4. Самая серьезная из них, CVE-2017-7494, связана с ПО Samba и получила название SambaCry — за сходство с багом, который эксплуатировался для распространения WannaCry. Эта уязвимость позволяет злоумышленнику удаленно выполнить код на компьютере жертвы. Воспользовавшись вторым серьезным дефектом CVE-2018-7765, киберпреступник сможет осуществить SQL-инъекцию, а благодаря CVE-2018-7777 — удаленно выполнить произвольный код, отправив на атакуемый сервер специально сконфигурированный запрос.

Другие баги связаны с обходом каталога, раскрытием информации и SQL-инъекциями.

Уязвимости в программном пакете Samba для Linux и Unix-систем уже приводили к успешным атакам киберпреступников. Так, летом 2017 года злоумышленники использовали ошибку CVE-2017-7494 для скрытого майнинга криптовалют — по данным экспертов информационной безопасности, мошенникам удалось тогда «заработать» около 6 тыс. долларов. Полгода спустя к той же уязвимости обратились другие преступники — на этот раз с целью распространения шифровальщика-вымогателя StorageCrypt.

Разработчик Samba постоянно закрывает обнаруженные в своем ПО бреши. За последнее время компания устранила ошибки, которые позволяли перехватывать клиентские соединения, приводили к утечкам данных и падению серверов.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля