05:41

Citrix устранила уязвимость в системе управления корпоративной мобильностью XenMobile, обнаруженную Positive Technologies

Эксперт Positive Technologies Андрей Медов обнаружил уязвимость в системе управления корпоративными мобильными устройствами Citrix XenMobile . При переходе по специально сформированному адресу злоумышленник мог читать произвольные файлы, находящиеся за пределами корневой директории веб-сервера, в том числе файлы конфигурации и ключи шифрования конфиденциальных данных. Для эксплуатации уязвимости не требуется авторизация. Уязвимость с идентификатором CVE-2020-8209 была выявлена в компоненте Citrix XenMobile Server. Она относится к классу Path Traversal (выход за пределы каталога) и связана с недостаточной проверкой входных данных. «Эксплуатация данной уязвимости позволяет получить информацию, которая может быть полезна при преодолении периметра, так как в конфигурационном файле зачастую хранится доменная учетная запись для подключения к LDAP [1] — рассказывает эксперт Positive Technologies Андрей Медов. — Удаленный злоумышленник может использовать полученные данные для аутентификации на других внешних ресурсах компании: в корпоративной почте, VPN, веб-приложениях. Кроме того, прочитав конфигурационный файл, атакующий может получить доступ к важным данным, например к паролю от базы данных (по умолчанию — от локальной PostgreSQL, в некоторых случаях — от удаленной SQL Server). Однако, учитывая, что база данных находится внутри корпоративного периметра и снаружи к ней не подключиться, этот вектор может быть использован разве что в сложных атаках, например при помощи сообщника внутри компании». Уязвимости подвержены Citrix XenMobile с версии 10.8 по 10.12. Компания Citrix выпустила новую версию продукта, в которой данная ошибка исправлена, и рекомендует установить ее как можно скорее. [1] LDAP-серверы используются в основном для централизованного хранения учетных записей.

• 17:00 5 разлоков токенов, за которыми стоит следить на следующей неделе
• 14:57 Майкл ван де Попп: Биткоину грозит сценарий Flash Crash
• 14:28 Криптовалюты растут после заявления «главного злодея»
• 13:05 Эксперт усомнился в успехе биткоин-политики MicroStrategy
• 12:35 4-летние циклы фондового рынка и биткоина: неожиданная синхронизация
• 11:32 Суд Нидерландов оставил создателя криптомиксера Tornado Cash под стражей
• 10:21 В Узбекистане токенизировали права на прибыль от продажи деревьев
• 09:44 Завьялов Илья Николаевич про Aerodrome. Рыночный взгляд (Ч.1).

И еще 5