Эксплойт разбивает кучу: Критическая уязвимость оставляет брандмауэры FortiGate открытыми для атак
Специалисты ИБ-компании Bishop Fox сообщают , что более 300 000 брандмауэров FortiGate подвержены критической уязвимости CVE-2023-27997 (CVSS: 9.8) несмотря на то, что Fortinet месяц назад выпустила обновление, устраняющее этот недостаток.
Чтобы продемонстрировать, что уязвимость можно использовать для удаленного выполнения кода на уязвимых устройствах, Bishop Fox создал эксплойт , который позволяет подключаться к серверу злоумышленника, загружать двоичный файл BusyBox и открывать интерактивную оболочку.
#FortiGate, #CVE-2023-27997, #RCE @SecLabNews
Специалисты ИБ-компании Bishop Fox сообщают , что более 300 000 брандмауэров FortiGate подвержены критической уязвимости CVE-2023-27997 (CVSS: 9.8) несмотря на то, что Fortinet месяц назад выпустила обновление, устраняющее этот недостаток.
Чтобы продемонстрировать, что уязвимость можно использовать для удаленного выполнения кода на уязвимых устройствах, Bishop Fox создал эксплойт , который позволяет подключаться к серверу злоумышленника, загружать двоичный файл BusyBox и открывать интерактивную оболочку.
#FortiGate, #CVE-2023-27997, #RCE @SecLabNews
SecurityLab.ru
Когда обновление игнорируется: отказ от исправления оставляет 300 тысяч брандмауэров FortiGate под угрозой
По словам экспертов, многие из открытых устройств FortiGate не обновлялись в течение 8-ми лет.
От ошибки до катастрофы: преувеличение опасности в мире CVE
🤔 Фёдор Индутный, автор платформы Io.js (форк Node.js) и член технического комитета по разработке Node.js, высказал опасения относительно назначения CVE-идентификаторов для ложных отчетов об уязвимостях, не соответствующих реальной угрозе.
🛠 Присвоение идентификаторов происходит без адекватной проверки, в результате чего проекты сталкиваются с незаслуженной критикой и нагрузкой.
📉 В недавнем случае с библиотекой node-ip ложное присвоение CVE-идентификатора привело к уменьшению её популярности и к увеличению количества обращений к разработчикам, создав дополнительные трудности для команды.
#CVE #NodeJS #Уязвимости @SecLabNews
#CVE #NodeJS #Уязвимости @SecLabNews
Please open Telegram to view this post
VIEW IN TELEGRAM
SecurityLab.ru
Фёдор Индутный: ложные CVE разрушают open-source проекты
Разработчик Node.js раскритиковал систему присвоения CVE-идентификаторов.