Эта облачная платформа безопасности сама находит нулевые дни
вычисления techradar.com Новости

Эта облачная платформа безопасности сама находит нулевые дни

12 апреля 2023 г.

Облачная платформа безопасности Oxeye обнаружила серьезную уязвимость нулевого дня в системе управления секретами полностью автономно — без ручного ввода или вмешательства.

По данным компании, ее облачная платформа безопасности приложений обнаружила уязвимость нулевого дня в HashiCorp Vault Project, популярной системе управления секретами и шифрованием на основе удостоверений, используемой для контроля доступа к ключам шифрования API, паролям, и сертификаты.

Недостаток заключался в уязвимости SQL-инъекции, которая могла позволить злоумышленникам использовать возможности удаленного выполнения кода (RCE). Теперь он отслеживается как CVE-2023-0620. С тех пор ошибка была устранена, и был выпущен патч.

Выпущенные исправления

Компания Oxeye заявила, что ее платформа Application Security Platform определила нулевой день как часть стандартного сканирования развертывания и пришла к выводу, что злоумышленники могли использовать ее для доступа к конфиденциальным данным, использования их и даже запуска вредоносных приложений на цели конечные точки.

«Учитывая тенденцию к микросервисам в современной разработке программного обеспечения, подобные атаки на основе конфигурации представляют собой серьезную угрозу и, как ожидается, станут более распространенными.

Подробнее

> Microsoft, Google и Apple нулевых дней представляли огромную угрозу безопасности в 2022 году

> Это лучшие решения для кражи личных данных прямо сейчас

"Поскольку централизованный характер конфигураций делает их единой точкой истины, они являются выгодной целью для злоумышленников. Таким образом, организациям следует уделять первоочередное внимание безопасности файлов конфигурации и других централизованных компонентов в современных приложениях", - заключают исследователи. .

После того, как компания HashiCorp сообщила об уязвимости, компания выпустила исправления 1.13.1, 1.12.5 и 1.11.9.

"Важность ограничения доступа к критически важным инструментам и реализации Адекватная проверка входных данных для предотвращения атак путем внедрения кода SQL подчеркивается этой уязвимостью в проекте HashiCorp’s Vault», — сказал Рон Видер, технический директор и соучредитель Oxeye. «Для защиты вашей среды быстрое применение исправлений и обеспечение актуальности политик безопасности позволит избежать успешных атак».

Оригинал

Recent Post

Categories

PREVIOUS ARTICLE
NEXT ARTICLE