Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Уязвимость в межсетевых экранах Zyxel, позволяющая выполнить код без аутентификации"	+/–
Сообщение от opennews (?), 13-Май-22, 13:42
В устройствах Zyxel серий ATP, VPN и USG FLEX, предназначенных для организации работы  межсетевых экранов, IDS и VPN на предприятиях, выявлена критическая уязвимость (CVE-2022-30525), позволяющая внешнему атакующему без аутентификации выполнить код на устройстве с правами пользователя nobody. Для совершения атаки злоумышленник должен иметь возможность отправки на устройство запросов по протоколу HTTP/HTTPS. Компания Zyxel устранила уязвимость в обновлении прошивки ZLD 5.30. По данным сервиса Shodan в настоящее время в глобальной сети зафиксировано 16213 потенциально уязвимых устройств, принимающих запросы по HTTP/HTTPS... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=57183
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от Stanislavvv (?), 13-Май-22, 13:42	+3 +/–
Помнится, лет 12 назад примерно так же получал шелл в первом кинетике. Похоже, с тех пор ничего не изменилось...
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #5

2. Сообщение от КО (?), 13-Май-22, 13:43	–2 +/–
Обычно такие компании пугалки рассказывают и втюхивают новое оборудование, подпинывая клиента. Как и некоторые антивирусные.
Ответить | Правка | Наверх | Cообщить модератору

3. Сообщение от Аноним (3), 13-Май-22, 13:50	+/–
Странно что кто-то считает что это не норма.
Ответить | Правка | Наверх | Cообщить модератору

4. Сообщение от Аноним (3), 13-Май-22, 13:54	+1 +/–
Так же надеюсь тут все понимают что если бы код был написан на расте, то на существование дырени это никак бы не сказалось. Потому что производитель целенаправленно хотел чтобы в устройстве была такая «фича».
Ответить | Правка | Наверх | Cообщить модератору

5. Сообщение от Анонус (?), 13-Май-22, 14:02	+2 +/–
Сейчас вроде Кинетики делает отдельная команда в России.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #7, #10, #32

6. Сообщение от iPony129412 (?), 13-Май-22, 14:11	+1 +/–
Шо, опять?!
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #12

7. Сообщение от another_one (ok), 13-Май-22, 14:18	+/–
Уже не команда, а вроде как отдельная независимая компания.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

8. Сообщение от vitalif (ok), 13-Май-22, 14:19	–1 +/–
Говорили же вам, сносите штатное гуано сразу, ставьте openwrt
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #9

9. Сообщение от Аноним (9), 13-Май-22, 14:56	+/–
Что-то среди поддерживаемых моделей не нашёл этих ATP, VPN и USG FLEX
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #11

10. Сообщение от Атон (?), 13-Май-22, 15:13	+2 +/–
их и тогда делала отдельная русская команда. компания стартап. просто они договорились что zyxel предоставляет свою логистику и производство, а взамен ставит свой логотип и гребет 95% прибыли от продаж. а компания kinetic разрабатывает железки с ПО для домашнего сегмента рынка, в котором у самого zyxel всегда был "провал".
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #26, #31

11. Сообщение от Аноним (3), 13-Май-22, 15:16	+/–
Там модели поддерживает по одному человеку. Соответственно придется кому-то, например тебе, заняться поддержкой для этих моделей.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9

12. Сообщение от Аноним (3), 13-Май-22, 15:16	+/–
Это норма.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

13. Сообщение от Аноним (13), 13-Май-22, 16:25	+4 +/–
Стоит какой-то древний тплинк на стоковой прошивке, уже лет 15 пашет без единого замечания. Подключил и забыл. А если нет разницы, зачем платить больше?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #14, #16

14. Сообщение от ryoken (ok), 13-Май-22, 16:39	–4 +/–
>>  А если нет разницы, зачем платить больше? Расширение предоставляемых устройством сервисов? Не, не слышал.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #21

16. Сообщение от Аноним (9), 13-Май-22, 17:30	+/–
И что, в ней за 15 лет не нашлось ни одной дырки?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #18

17. Сообщение от YetAnotherOnanym (ok), 13-Май-22, 17:39	+/–
> при выполнение в системе команд при помощи вызова os.system Ну да, вместо вызова утилиты подгрузить либу и дёрнуть функцию - это ж надо доки на API читать, это слишком сложно.
Ответить | Правка | Наверх | Cообщить модератору

18. Сообщение от YetAnotherOnanym (ok), 13-Май-22, 17:40	+5 +/–
Написано же - ни единой замеченной владельцем.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

21. Сообщение от Аноним (21), 13-Май-22, 18:22	+4 +/–
Уязвимость as Service
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

22. Сообщение от Аноним (22), 13-Май-22, 19:13	+1 +/–
>при помощи вызова os.system >Проблема вызвана отсутствием должной чистки параметров запроса Проблема вызвана тем, что дёргать system вообще должно быть запрещено, а не было, ибо макаки любят сортировать строки через system("sort") и пинговать через system("ping") устанавливать пакеты через system("pip").
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #24

24. Сообщение от Аноним (24), 13-Май-22, 23:17	+1 +/–
Ну конечно ты еще скажи что у них это случайно получилось. Спойлер: Уязвимость появилась не случайно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #29

25. Сообщение от Аноним (25), 13-Май-22, 23:44	–2 +/–
Интересно, уже все кулхацкеры в комментариях к новости отметились? Или ещё остались, кто не успел показать свой "глубочайший уровень"? PS. "Каждый мнит себя стратегом, видя бой со стороны" (с) Шота Руставели
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #27

26. Сообщение от Аноним (26), 14-Май-22, 00:06	+/–
Конпания называется NDM Systems.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10

27. Сообщение от Аноним (27), 14-Май-22, 07:53	+/–
А ты ведь реально считаешь что самый умный это ты. Но спешу тебя огорчить это не так.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25 Ответы: #30, #34

28. Сообщение от Аноним (27), 14-Май-22, 07:54	+1 +/–
Кстати Хуавей за что-то похожее забанили в США. А тут это всего лишь проходной баг.
Ответить | Правка | Наверх | Cообщить модератору

29. Сообщение от Адмирал Майкл Роджерс (?), 14-Май-22, 10:05	+/–
Считаю необходимым заверить Вас, сэр, что все подобные уязвимости появляются в результате стечения обстоятельств, в котором существенную роль играет фактор случайности.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24

30. Сообщение от Аноним (25), 14-Май-22, 14:45	+/–
Видимо, кому-то из кулхацкеров не понравилось, что их пересчитывают.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

31. Сообщение от Анонус (?), 14-Май-22, 16:02	+/–
> их и тогда делала отдельная русская команда. компания стартап. > просто они договорились что zyxel предоставляет свою логистику и производство, а взамен > ставит свой логотип и гребет 95% прибыли от продаж. а компания > kinetic разрабатывает железки с ПО для домашнего сегмента рынка, в котором > у самого zyxel всегда был "провал". О, спасибо. Таких подробностей не знал. Думал просто местный филиал разросся и получил независимость.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10

32. Сообщение от Zed (??), 14-Май-22, 16:26	+/–
С ними не оч понятно. Штабквартира явно не в рф, да и недавно писали что програмеров из рф они вывозят.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #35

33. Сообщение от InuYasha (??), 14-Май-22, 19:48	+/–
Там ведь nobody не входит в sudoers, я надеюсь? )
Ответить | Правка | Наверх | Cообщить модератору

34. Сообщение от anonfhjvxd (?), 14-Май-22, 19:57	+/–
Верно. Самый умный - я
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

35. Сообщение от fastpoke (?), 17-Май-22, 07:26	+/–
Если ты продаешь не только в снг, то максимально логично держать юр лицо не тут, Если ты хочешь работать, во время специального здеца, то так же логично вывозить персонал, чтобы иметь возможность работать дальше.   Так делали и делают многие.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема