Positive Technologies помогла исправить уязвимости в отечественной системе управления сайтами NetCat CMS
До исправления уязвимостей злоумышленники могли изменять информацию на порталах или проникать во внутреннюю сеть
Эксперты команды 1 Алексей Соловьев и Ян Чижевский выявили множественные уязвимости в NetCat CMS. компании-разработчика, на этой системе управления сайтами работает более 15 тысяч порталов. Продукт входит Минцифры. Вендор был уведомлен об угрозе в рамках политики ответственного разглашения и . Пользователям необходимо установить или последующие.
Всего было найдено 23 уязвимости ( — ) с оценками от 8,1 до 9,1 балла по шкале CVSS 3.0, что означает высокий и критически высокий уровни опасности соответственно.
"Мы обнаружили возможность проведения атак с использованием межсайтового скриптинга (XSS) в различных модулях NetCat CMS. Это могло бы позволить злоумышленнику провести XSS-атаку на администратора системы и задействовать легитимный набор функций CMS, чтобы выполнить произвольный код на сервере, получить доступ к исходному коду приложения, базе данных и закрепиться для последующих атак на компанию — владельца системы. Кроме того, нами были найдены уязвимости "Внедрение SQL-кода", в частности
Осенью 2024 года число уязвимых и доступных из глобальной сети инсталляций NetCat CMS, по оценкам специалистов PT Expert Security Center, составляло более 200. Большинство из них расположены в России (92,9 %).
Для обнаружения подобных недостатков безопасности эффективно применение динамических анализаторов кода, например . Для блокировки попыток эксплуатации уязвимостей стоит использовать межсетевые экраны уровня веб-приложений, к примеру (у которого также есть облачная версия — ). Продукты класса network traffic analysis, в частности , определяют внедрение SQL-кода, а межсетевые экраны нового поколения, например , блокируют такие уязвимости.
- Команда Positive Technologies из более чем 60 экспертов в области наступательной безопасности, которые занимаются тестированием на проникновение (в том числе red teaming), анализом защищенности приложений (мобильных и веб-приложений, приложений финансовой отрасли), выполняют проекты по социальной инженерии, проводят аудит беспроводных сетей, банкоматов и POS-терминалов.