Поделиться
Positive Technologies помогла исправить уязвимости в отечественной системе управления сайтами NetCat CMS
Эксперты команды PT SWARM Алексей Соловьев и Ян Чижевский выявили множественные уязвимости в NetCat CMS. По данным компании-разработчика, на этой системе управления сайтами работает более 15 тыс. порталов. Продукт входит в реестр программного обеспечения Минцифры. Вендор был уведомлен об угрозе в рамках политики ответственного разглашения и выпустил обновление ПО. Пользователям необходимо установить версию 7.0 или последующие.
Всего было найдено 23 уязвимости (BDU:2024-06382 — BDU:2024-06404) с оценками от 8,1 до 9,1 балла по шкале CVSS 3.0, что означает высокий и критически высокий уровни опасности соответственно.
«Мы обнаружили возможность проведения атак с использованием межсайтового скриптинга (XSS) в различных модулях NetCat CMS. Это могло бы позволить злоумышленнику провести XSS-атаку на администратора системы и задействовать легитимный набор функций CMS, чтобы выполнить произвольный код на сервере, получить доступ к исходному коду приложения, базе данных и закрепиться для последующих атак на компанию — владельца системы. Кроме того, нами были найдены уязвимости «Внедрение SQL-кода», в частности BDU:2024-06394. NetCat CMS позволяет пользователям создавать динамические права, поэтому атакующий, имеющий доступ к уязвимому модулю, мог бы повысить свои привилегии и получить полный доступ к базе данных для дальнейшего развития атаки», — сказал Алексей Соловьев, руководитель группы экспертизы отдела анализа защищенности веб-приложений Positive Technologies.
Осенью 2024 г. число уязвимых и доступных из глобальной сети инсталляций NetCat CMS, по оценкам специалистов PT Expert Security Center, составляло более 200. Большинство из них расположены в России (92,9 %).
Для обнаружения подобных недостатков безопасности эффективно применение динамических анализаторов кода, например, PT BlackBox, отмечают в Positive Technologies. Для блокировки попыток эксплуатации уязвимостей стоит использовать межсетевые экраны уровня веб-приложений, к примеру, PT Application Firewall (у которого также есть облачная версия — PT Cloud Application Firewall). Продукты класса network traffic analysis, в частности, PT Network Attack Discovery, определяют внедрение SQL-кода, а межсетевые экраны нового поколения, например, PT NGFW, блокируют такие уязвимости.
Короткая ссылка
