Сегодня в подборке новостей Jet CSIRT — уязвимости в Linux, в миллионах устройств HP и в источниках бесперебойного питания APC Smart-UPS. ТОП-3 собрал Игорь Фиц, аналитик центра мониторинга и реагирования на инциденты ИБ Jet CSIRT компании «Инфосистемы Джет».
Подробнее читайте под катом.
В Linux обнаружена критичная уязвимость CVE-2022-0847
Исследователь безопасности Макс Келлерман обнаружил ошибку в безопасности Linux, затрагивающую все ядра начиная с версии 5.8, включая Android. Уязвимость, получившая название Dirty Pipe, позволяет перезаписывать данные в файлах, доступных только для чтения, и может привести к повышению привилегий за счет внедрения кода в корневые процессы. Келлерман также опубликовал экспериментальный код эксплойта. В версиях 5.16.11, 5.15.25 и 5.10.102 проблема исправлена.
В миллионах устройств HP обнаружены критичные уязвимости
Исследователи кибербезопасности обнаружили 16 новых уязвимостей высокой степени критичности в прошивке Unified Extensible Firmware Interface (UEFI). Бреши имеют оценки CVSS от 7,5 до 8,8. В число затронутых устройств входят ноутбуки HP, настольные компьютеры, PoS-терминалы и граничные вычислительные узлы. Злоумышленники могут использовать эти уязвимости для привилегированного выполнения кода во встроенном ПО или для внедрения вредоносного кода, позволяющего обходить решения безопасности. Наиболее серьезная уязвимость связана с System Management Mode (SMM) прошивкой. Эксплуатация этой уязвимости позволяет выполнять произвольный код с самыми высокими привилегиями в обход механизмов защиты.
Обнаружены уязвимости нулевого дня в популярных источниках бесперебойного питания APC Smart-UPS
Исследователи из Armis обнаружили три критические уязвимости, которые позволяют злоумышленникам получить контроль над источниками бесперебойного питания. Проблемы обнаружены в системах APC Smart-UPS, которые популярны в самых разных сферах деятельности: здравоохранении, промышленности, ИТ и розничной торговле. Две уязвимости, CVE-2022-22805 и CVE-2022-22806, связаны с особенностями реализации протокола TLS, который подключает устройства Smart-UPS с функцией SmartConnect к облаку управления Schneider Electric. Третья — CVE-2022-0715 — относится к прошивке практически всех устройств APC Smart-UPS. Эта прошивка не имеет криптографической подписи, и ее подлинность невозможно проверить при установке в систему. Специалистам Armis удалось воспользоваться CVE-2022-0715 и создать вредоносную версию прошивки APC, которая была принята устройствами Smart-UPS в качестве официального обновления.
