×

Установите патч как можно скорее: системы резервного копирования от ConnectWise подвержены опасной RCE-уязвимости

Установите патч как можно скорее: системы резервного копирования от ConnectWise подвержены опасной RCE-уязвимости

Уязвимость затрагивает ConnectWise Recover v2.9.7 и R1Soft SBM v6.16.3.

Компания ConnectWise исправила критическую уязвимость в ConnectWise Recover и R1Soft Server Backup Manager, которая позволяет злоумышленникам удаленно выполнить произвольный код или получить доступ к конфиденциальным данным пользователя. ConnectWise Recover – это система резервного копирования для малого бизнеса, а R1Soft Server Backup Manager – бэкап-решение, популярное среди поставщиков услуг.

Брешь в защите, получившая идентификатор CVE-2022-36537 , затрагивает ZK – свободный фреймворк для разработки Ajax веб-приложений, реализованный полностью на Java и используемый в ПО ConnectWise. Проблема описана как уязвимость обхода аутентификации, которая возникает из-за неверной нейтрализации особых элементов в выходных данных, используемом нижестоящим компонентом.

Эксперты Huntress опубликовали PoC-видео, демонстрирующее использование уязвимости для:

  1. Обхода аутентификации;

  2. Загрузки скрытого драйвера базы данных JDBC для выполнения произвольного кода;

  3. Использования REST API для запуска команд, которые заставят всех пользовательских агентов заразить вредоносным ПО все конечные точки.

Хорошей новостью является то, что Huntress не известно об активном использовании уязвимости в дикой природе.

Уязвимость затрагивает:

  • Recover v2.9.7 и более ранние версии;

  • R1Soft SBMs v6.16.3 и более ранние версии.

ConnectWise рекомендует пользователям как можно скорее установить патч, так как уязвимость может крайне быстро стать опасным оружием в руках хакеров.

Кибератака на базу данных студентов Индии приведет к массовым взломам индусов

Утечка данных студентов вынуждает повысить кибербезопасность страны.

Новая кампания социальной инженерии отбирает номера у мобильных операторов

Хакеры атакуют телекоммуникационные компании, чтобы завладеть чужим номером.

В России предложили ввести идентификацию геймеров

По мнению законодателей,  идентификация геймеров, позволит запретить несовершеннолетним играть в жестокие игры.