| 0 |
|
На рынке средств кибербезопасности с оборотом 120 млрд долл. японская компания Trend Micro является одним из наиболее авторитетных брендов. Но это, как оказалось, не может служить гарантией безопасности для пользователей её продукции. Подобно многим её конкурентам, Trend Micro создаёт ПО, которое латая чужие дыры в защите, добавляет множество собственных.
Два эксперта информационной безопасности, Роберто Ливерани (Roberto Suggi Liverani) и Стивен Сили (Steven Seeley), за полгода с 29 июля 2016 г. выявили 223 уязвимости разного уровня серьёзности в 11 продуктах Trend Micro. Из этого числа 194 бага могут использоваться для удалённого управления и не требуют для активации каких-либо действий со стороны пользователя.
Одним из самых опасных является дефект, найденный в инструменте, предотвращающем потерю данных (DLP). «Белые хакеры» показали, что посредством дистанционного выполнения неавторизованного кода можно захватить контроль над сервером, и затем рассылать вредоносные «обновления» на все ПК и другие клиентские устройства, подключенные к этому серверу. Для осуществления этой атаки необходимо сначала проникнуть в сеть. Такую возможность обеспечивает уязвимость в другом продукте Trend Micro — InterScan.
Примером фундаментального бага является XSS (unauthenticated stored cross-site scripting), он позволяет выполнять неавторизованные сценарии JavaScript с администраторскими привилегиями. Однажды запущенный на сервере, этот скрипт обеспечивает атакующему контроль над системой, позволяя извлекать из неё любые данные и модифицировать предоставляемые сервисы. По словам Сили это «худший вариант» XSS, одной из самых распространённых уязвимостей Интернета.
На сообщения о новых багах Trend Micro реагировала достаточно оперативно, тем не менее, Сили выразил удивление, что собственный аудит компании упустил многие, достаточно тривиальные проблемы. В одном случае, даже подготовленный патч оказался неэффективен. «Я смог легко обойти его», — отметил он.
Сили и Ливерани планируют в апреле показать свои эксплойты на конференции Hack In The Box в Амстердаме (Нидерланды), и к этому времени они наверняка найдут много новых недоработок.
Другой эксперт в области информационной безопасности, профессор университета Суррея (Великобритания) Алан Вудвард (Alan Woodward), подчеркнул, что это исследование выявляет общую для индустрии тенденцию, а не какую-либо ущербность именно Trend Micro. «Оно демонстрирует лишь насколько сложными стали эти системы, и, как мы все знаем, сложность это враг безопасности», — заявил он.
За несколько прошедших месяцев, Тавис Орманди (Tavis Ormandy) из Google нашёл дыры в защите антивирусных продуктов от Kaspersky и Symantec.
Ready, set, buy! Посібник для початківців - як придбати Copilot для Microsoft 365
| 0 |
|
