В честь десятой годовщины с момента запуска программы Vulnerability Reward Program (VRP), в рамках которой исследователям выплачивается вознаграждение за найденные уязвимости в своих продуктах, Google запустила новую платформу bughunters.google.com. Программа VRP позволила обнаружить в общей сложности 11 055 уязвимостей, 2022 исследователя из 84 стран получили вознаграждения на сумму почти $30 млн.

Новый сайт собирает все VRP (Google, Android, Abuse, Chrome, Play) и предоставляет единую форму коммуникации, которая упрощает исследователям отправку сообщений о проблемах. Портал получил ряд улучшений:

• Больше возможностей для взаимодействия и конкуренции за счет геймификации, таблиц лидеров по странам, наград/значков за определённые ошибки и т. д. Списки лидеров будут составляться для каждой страны.
• Более функциональная и эстетичная рейтинговая таблица для помощи тем, кто использует свои достижения в VRP для того, чтобы найти работу.
• Сильный акцент на обучении: исследователи смогут улучшить свои навыки с помощью контента, доступного Bug Hunter University.
• Оптимизирован процесс публикации отчётов о багах.

Getty Images

«Мы знаем, какую ценность приносит обмен знаниями нашему сообществу. Вот почему мы хотим упростить вам публикацию отчетов об ошибках», — написал в блоге Ян Келлер (Jan Keller) технический менеджер программы VRP компании Google. В блоге также отмечено, что отправка исправлений для программного обеспечения с открытым исходным кодом тоже будет вознаграждаться. Кроме того, предусмотрены вознаграждения за исследовательские работы по безопасности открытого исходного кода и разработку программного обеспечения с открытым исходным кодом.

За последние 12 месяцев Microsoft в рамках программы Bug Bounty выплатила сторонним IT-специалистам по безопасности 13,6 млн долларов США в качестве вознаграждения за обнаруженные уязвимости в своих продуктах и сервисах.

Сообщается, что за год — с начала июля 2020-го по конец июня 2021 года — софтверным гигантом было получено свыше 1250 отчётов от заинтересованных ИБ-экспертов и энтузиастов. Денежное вознаграждение за поиск уязвимостей в программных решениях Microsoft получили более чем 340 исследователей безопасности из 58 стран мира. При этом самая крупная награда составила $200 тыс. за обнаружение серьёзного бага в гипервизоре Hyper-V, а средний размер одной награды достиг $10 тыс.

Впервые программа Bug Bounty была запущена Microsoft летом 2013 года и в настоящий момент охватывает 17 продуктовых направлений редмондской корпорации. Аналогичные программы премирования за информацию об особо опасных «дырах» действуют в Google, Mozilla, «Лаборатории Касперского», «Яндексе», Facebook, Apple и многих других софтверных компаниях. Подробнее о Microsoft Bug Bounty Program и её условиях можно узнать на сайте microsoft.com/msrc/bounty.

Производитель сетевого оборудования SonicWall выпустил срочное предупреждение для своих клиентов, в котором сообщил о риске атаки вирусов-вымогателей. В компании заявили, что они нацелены на сетевое оборудовании, которое уже не поддерживается, но всё ещё используется некоторыми заказчиками. Речь идёт об уязвимости в продуктах Secure Mobile Access (SMA) серии 100 и Secure Remote Access (SRA) с 8-й версией прошивки.

В свете этого специалисты призывает клиентов как можно скорее обновить прошивку своих устройств, разумеется, если таковая доступна. В SonicWall заявили, что оборудование, срок эксплуатации которого истёк, и для которого нет прошивки 9-й версии, может быть потенциально уязвимым. Если нет возможности оперативно заменить или обновить оборудование, SonicWall рекомендует немедленно отключить такие устройства и сбросить пароли доступа, а также задействовать многофакторную аутентификацию, если она поддерживается.

Список устройств и рекомендаций выглядит так:

• SRA 4600/1600 (поддержка завершилась в 2019 г.) — немедленно отключить и сбросить пароли;
• SRA 4200/1200 (поддержка завершилась в 2016 г.) — то же самое;
• SSL-VPN 200/2000/400 (поддержка завершилась в 2013/2014 г.г.) — то же самое;
• SMA 400/200 (ограниченная поддержка) — обновить прошивку минимум до 9.0.0.10 или 10.2.0.7-34, сбросить пароли, включить многофакторную аутентифиацию;
• SMA 210/410/500v (поддерживаются) — обновить прошивку до 9.x или 10.x.

Отметим, что в конце января 2021 года компания сообщила о взломе. Тогда хакеры использовали «уязвимость нулевого дня» в шлюзах Secure Mobile Access (SMA). Через неделю обнаружилась ещё одна брешь, а в апреле FireEye нашла третью. При этом эксперт безопасности CrowdStrike Хизер Смит (Heather Smith) сообщила, что рекомендация SonicWall относится к уязвимости, подробно описанной в июне.

Злоумышленники используют её для проникновения в корпоративные сети и распространения зловредов Darkside, FiveHands и HelloKitty. Клиентам с устаревшим оборудованием, для которого не будет новых версий прошивок, компания бесплатно предоставит до 31 октября 2021 года лицензию на виртуализированную версию SMA 500v, чтобы упростить миграцию со старых устройств.

Руководство облачной платформы Mail.ru Cloud Solutions увеличило оплату за обнаружение уязвимостей. Речь идёт о программе Bug Bounty, где за особо крупный баг можно получить до $40 тыс. Одну такую награду уже выплатили в июле. Как отмечается, вознаграждения выплачиваются еженедельно, а сумма варьируется от $150 до $40 тыс. Это зависит от серьезности проблемы, новизны, возможности и вероятности использования, а также иных факторов. Самые крупные выплаты положены за уязвимости, которые позволяют удалённо выполнять код на сервере.

Помимо этого, в Mail.ru Group запустили бонусную систему для бесплатного поиска багов. Теперь специалисты могут получить до 3 тыс. руб. на исследование информационной безопасности сервисов облачной платформы. Это можно активировать в личном кабинете. При этом сама компания отмечает, что её программа Bug Bounty для Mail.ru Cloud Solutions — самая высокооплачиваемая и доходная в России.

threatpost.com

«Мы заботимся о наших пользователях и стремимся постоянно совершенствовать свои продукты, поэтому хорошо понимаем ценность работы багхантеров. Они помогают нам находить потенциальные слабые места наших продуктов и оперативно устранять уязвимости», — отметил Антон Жаболенко, ведущий инженер по информационной безопасности Mail.ru Cloud Solutions.

Компания Positive Technologies вывела на рынок систему управления уязвимостями нового поколения MaxPatrol VM.

Представленный отечественным разработчиком продукт построен на базе платформы MaxPatrol 10, объединяющей продукты Positive Technologies для мониторинга безопасности корпоративной IT-инфраструктуры. MaxPatrol VM позволяет выстроить полный цикл управления уязвимостями: от сбора информации об IT-активах, выявления и приоритизации уязвимостей по уровню их опасности до контроля их устранения. Система снижает нагрузку на подразделения ИТ и ИБ, автоматизируя большинство рутинных процессов, и повышает эффективность мероприятий по защите.

В основу MaxPatrol VM положена технология управления активами Security Asset Management (SAM). Она позволяет системе с помощью активного и пассивного сбора данных строить в каждый момент времени актуальную и полную модель наблюдаемой инфраструктуры. За счёт понимания IT-среды решение помогает выстроить и автоматизировать управление уязвимостями с учётом значимости компонентов сети для бизнес-процессов, охватить все системы организации, а также учитывать изменения инфраструктуры.

MaxPatrol VM поддерживает интеграцию с другими продуктами Positive Technologies — системой выявления инцидентов в реальном времени MaxPatrol SIEM и системой анализа трафика PT Network Attack Discovery, что позволяет обогатить знания об IT-активах предприятия и добиться полной видимости инфраструктуры. Подробные сведения о новом программном комплексе можно найти на сайте ptsecurity.com/products/mp-vm.

Компания «Алтэкс-Софт» сообщила о выпуске обновлённой версии сканера безопасности RedCheck 2.6.6.

RedCheck представляет собой средство анализа защищённости, предоставляющее детальные сведения об эффективности мер по защите информации в корпоративной сети и её отдельных элементах. Программа определяет уязвимости операционных систем, СУБД, платформ виртуализации и приложений, потенциально опасные настройки, осуществляет оценку соответствия требованиям политик и стандартов, контроль целостности, инвентаризацию оборудования и программного обеспечения, формирует подробные отчёты.

В RedCheck версии 2.6.6 завершён перевод всех компонентов сканера на х64-архитектуру, при этом для устаревших платформ остался доступен x86-агент. Переход на x64-архитектуру позволил увеличить производительность и устойчивость продукта при работе в сетях класса Enterprise. Разработчиками были расширены функции аудита в режиме «Пентест», улучшены инструменты построения отчётов и планировщик заданий, исправлены ошибки и дополнена поддержка (сканирование) ряда новых операционных систем. Особое внимание было уделено отечественным решениям ОС «Альт 8 СП» и Astra Linux Common Edition («Орёл»).

RedCheck внесён в реестр российских программ для электронных вычислительных машин и баз данных. Подробные сведения о продукте можно найти на сайте redcheck.ru.

Статистика, собранная Компьютерной командой экстренной готовности США (US-CERT), говорит о том, что в нынешнем году установлен новый антирекорд по количеству обнаруженных уязвимостей в программном обеспечении (ПО).

На момент подготовки этого материала данные US-CERT говорили о выявлении в 2020 году 17 550 «дыр» разного уровня опасности в программных продуктах. Для сравнения: в прошлом году число обнаруженных уязвимостей составило 17 306.

Сообщается, что в 2020-м выявлены 4177 уязвимостей с высоким уровнем опасности против 4337 в прошлом году. Основную массу составили «дыры» среднего уровня опасности — 10 776, что ниже прошлогоднего значения в 10 956. А вот число малоопасных уязвимостей поднялось с 2013 до 2597.

Нажмите для увеличения

Таким образом, в уходящем году в четвёртый раз подряд поставлен негативный рекорд по количеству новых уязвимостей. Специалисты говорят, что наблюдающаяся картина может объясняться двумя причинами — ухудшающимся качеством программного кода и возросшей активностью «белых» хакеров, которые ищут проблемные места в софте за вознаграждение от разработчиков. 

Основная часть уязвимостей касалась веб-приложений, однако заметен рост и в других сегментах. Например, число обнаруженных дыр в API выросло вдвое, а для Android — втрое. Кроме того, сменились и цели для атак и изучения. Если раньше компании больше беспокоились о проблемах в продуктах, с которыми взаимодействуют их конечные потребители, то теперь внимание уделяется и собственной IT-инфраструктуре, и продуктам, которые используются сотрудниками.

Защита периметра сетевой IT-инфраструктуры большинства отечественных организаций оставляет желать лучшего. Об этом свидетельствует исследование, проведённое компанией Positive Technologies.

Согласно представленным Positive Technologies сведениям, в сетях 84 % российских организаций выявлены бреши высокого уровня риска, причём в 58 % компаний имеется хотя бы один узел с критической уязвимостью, для которой существует общедоступный эксплойт. Более чем в половине предприятий внешние ресурсы содержат уязвимости, связанные с выполнением произвольного кода или повышением привилегий.

Источник: Positive Technologies

Как сообщается в исследовании, в каждой четвертой организации (26 %) на узлах с внешними сетевыми интерфейсами открыт сетевой порт 445/TCP, что подвергает корпоративную IT-инфраструктуру риску заражения шифровальщиком WannaCry. Кроме того, на сетевом периметре большинства компаний были выявлены доступные для подключения веб-сервисы, электронная почта, интерфейсы для удалённого администрирования, файловые службы.

Во всех компаниях выявлены узлы, на которых раскрывается та или иная техническая информация: содержимое конфигурационных файлов, маршруты к сканируемому узлу, версии ОС или поддерживаемые версии протоколов. «Чем больше подобной информации об атакуемой системе удаётся собрать злоумышленнику, тем выше его шанс на успех», — отмечают в Positive Technologies. По мнению экспертов, причина кроется в небезопасной конфигурации служб.

Практически на всех серверных платах установлены контроллеры BMC (base management controller), отслеживающие ряд параметров системы и позволяющие управлять ей без необходимости физического присутствия. Но контроллер BMC сам по себе является компьютером и, следовательно, его программное и аппаратное обеспечение может содержать уязвимости, ставящие под потенциальный удар злоумышленников всю систему. Как оказалось, подобным грешит Emulex Pilot 3, применяемый в ряде продуктов Intel.

Intel S2600CW, одна из плат, подверженных уязвимости. Контроллер BMC Emulex Pilot 3 можно увидеть в правом нижнем углу

Emulex Pilot 3 — комплексное решение, полностью отвечающее стандартам IPMI 2.0 и DCMI. В его основе лежит процессорное 32-битное ядро с архитектурой ARM9, работающее на частоте 400 МГц. Ему помогают сопроцессоры RISC Second Service и 8051, оба работающие на частоте 200 МГц. Для реализации аппаратной функции KVM в составе имеется также 2D-видеоядро с собственным выделенным фрейм-буфером, поддерживающее разрешения до 1920x1200, чего для задач удалённого управления вполне достаточно.

Как оказалось, прошивка Emulex Pilot 3 не лишена уязвимостей, причём таких, что по шкале CVSS им был присвоен рейтинг 9,6 из 10, что означает статус «критических». Уязвимость связана с некорректной реализацией механизмов аутентификации в версиях прошивок Emulex до 1.59, позволяющих обойти сам процесс аутентификации полностью и получить доступ к KVM-консоли сервера. Единственное требование к атакующему — он должен находиться в том же сетевом сегменте, что и уязвимый сервер.

Контроллер BMC Pilot 3 в архитектуре системной платы Intel S1200

Самой серьёзной уязвимости присвоен номер CVE-2020-8708, но существуют и другие, связанные с этими же устройствами — CVE-2020-8707 (8,3 балла по шкале CVSS) и менее опасная CVE-2020-8706 (4,7 балла). Исследователи уверены, что проблема за номером 8708 связана с самой архитектурой Emulex Pilot 3; отмечается даже, что работать с BMC посредством этой уязвимости может быть удобнее, нежели используя официальный Java-клиент.

Компания Intel сообщила что в целом устранила 22 уязвимости. В основном, ей оказались подвержены системные платы серии S2600 для Xeon E5 (LGA2011-3), использующиеся не только в серверах. На текущий момент список плат таков:

• Intel S2600WT;
• Intel S2600CW;
• Intel S2600KP;
• Intel S2600TP;
• Intel S2600WF;
• Intel S2600ST;
• Intel S2600BP;
• Intel S1200SP.

Среди готовых серверных систем Intel под угрозой R1000WT/WF, R2000WT/WF, R1000SP, LSVRP и LR1304SP. Затронуты модули HNS2600KP/TP/BP. Более детальная информация содержится на сайте Intel. Для устранения уязвимостей следует обновить прошивку BMC до версии 1.59.

Пока речь идёт о системах только производства Intel, но прошивка для Pilot 3 создана компанией AMI, так что с аналогичными уязвимостями теоретически могут столкнуться и владельцы систем производителей, отличных от Intel. Сама Intel рекомендует также ознакомиться с новой информацией относительно уязвимостей, могущих встречаться в других её продуктах.

Недавно обнаруженная уязвимость системы безопасности программно-аппаратного обеспечения удалённого доступа на серверах Dell может предоставить хакерам полный доступ к системам, которые используют менеджеры центров обработки данных, позволяя им, например, производить отключение охлаждающих вентиляторов сервера или полное выключение оборудования.

Исследователи безопасности, обнаружившие уязвимость, идентифицировали сотни серверов, к которым благодаря ей открыт доступ через Интернет. «Это опасная уязвимость, — сообщил ресурсу Георгий Кигурадзе, один из двух исследователей Positive Technologies, обнаруживших уязвимость в серверах Dell. — Она позволяет получить полный контроль над работой сервера, включать и выключать серверы, а также изменять параметры его охлаждения».

Речь идёт об обнаружении уязвимости Path Traversal в контроллере удалённого доступа Dell (Integrated Dell Remote Access Controller, iDRAC), которая получила номер CVE-2020-5366. К счастью, есть патч, но, к сожалению, злоумышленники иногда могут воспользоваться уязвимостью быстрее, чем менеджеры ЦОД её устранят, как это произошло в мае с программным обеспечением для управления серверами SaltStack. Если ЦОД не будут достаточно быстро устанавливать новые патчи iDRAC, они могут столкнуться с некоторыми серьезными рисками.

Кигурадзе затрудняется сказать, насколько много систем потенциально уязвимо для хакерской атаки, «iDRAC предлагается в качестве опции почти для всех существующих серверов Dell», — отметил он. Dell рекомендует не подключать iDRAC напрямую к Интернету, но не все организации следуют этому совету. Помимо установки патча, рекомендуется использовать веб-брандмауэры для защиты от этой и других подобных уязвимостей. А лучше всего вынести iDRAC в отдельную административную сеть с доступом только для авторизованных администраторов сервера.

А, пожалуй, наиболее нашумешвой уязвимостью в серверах Dell стала iDRACula (integrated Dell Remote Access Controller unauthorized load access), которая позволяла полностью заменить прошивку iDRAC в старых серверах. Как и любая другая уязвимость в BMC, включая и последнюю CVE-2020-5366, она опасна тем, что позволяет влиять на работу сервера, почти не обнаруживая себя.