Cisco спешно ищет уязвимости в своем ПО для веб-трансляций

Угроза с открытымкодом Программисты Cisco экстренно проверяют все продукты компаниина наличие уязвимостей, выявленных в пакете Apache Struts, активно используемомв разработках Cisco. На данный момент Cisco изучает потенциальные угрозы в WebExMeetings Server, Data Center Network Manager, Identity Services Engine,нескольких разработках серии Cisco Prime и других продуктах, используемых длявеб-трансляций и видеосервисов. Apache Struts представляет собой открытый MVC-фреймворк,написанный на Java; его часто используют для создания сложных систем, таких каксерверное ПО и корпоративные приложения. http://filearchive.cnews.ru/img/zoom/2017/03/21/cisco_583.jpg"> В продуктах Cisco для веб-трансляций подозревают уязвимости, связанные с Apache Из 100 компаний, входящих в список Fortune 100, более 60используют Struts в том или ином виде. [b]Одной критическойуязвимости хватает[/b] 5 сентября 2017 г. одновременно с выпуском Apache Struts2.5.13 компания Cisco опубликовала бюллетень безопасности, описывающий исправленныеновым релизом уязвимости — CVE-2017-9804 и CVE-2017-9793. Спустя два дня быловыпущено еще одно обновление Struts (2.3.34), которое исправляло уязвимостьCVE-2017-12611. Из всех четырех только CVE-2017-9805 считается критической,в том числе по причине простоты ее эксплуатации. Однако эксплойты существуют идля нее, и для CVE-2017-12611. Несколько фирм, занимающихся вопросамикибербезопасности, отметили, что атаки на уязвимость CVE-2017-9805 ужепроисходят. В ближайшем будущем Cisco планирует выпустить патчи, которыепозволят интегрировать обновления Struts в проприетарные разработки самойCisco. [b]Пока гром не грянет?[/b] «Полный аудит безопасности — процедура, которая должнапроводиться регулярно, а не только по случаю обнаружения каких-либоуязвимостей, — считает [b]Валерий Тюхменев[/b],эксперт по безопасности компании SEC Consult Services. — Это довольно затратнаяпроцедура, но расходы на ликвидацию последствий серьезного взлома, особенно вкорпоративных сетях, оказываются выше на несколько порядков». Ранее в этом году эксперты обнаружили в Apache Strutsуязвимость нулевого дня CVE-2017-5638, которую уже использовали в атаках накорпоративные серверы. Ходят упорные слухи, что катастрофическая утечка данныхиз бюро кредитных историй Equifax оказалась возможна именно благодаря этойуязвимости, хотя эти предположения пока ничем не подтверждены. В текущий аудит безопасности Cisco данная уязвимость невходит.[img]http://filearchive.cnews.ru/img/zoom/2017/03/21/cisco_583.jpg"> В продуктах Cisco для веб-трансляций подозревают уязвимости, связанные с Apache Из 100 компаний, входящих в список Fortune 100, более 60используют Struts в том или ином виде. Одной критическойуязвимости хватает 5 сентября 2017 г. одновременно с выпуском Apache Struts2.5.13 компания Cisco опубликовала бюллетень безопасности, описывающий исправленныеновым релизом уязвимости — CVE-2017-9804 и CVE-2017-9793. Спустя два дня быловыпущено еще одно обновление Struts (2.3.34), которое исправляло уязвимостьCVE-2017-12611. Из всех четырех только CVE-2017-9805 считается критической,в том числе по причине простоты ее эксплуатации. Однако эксплойты существуют идля нее, и для CVE-2017-12611. Несколько фирм, занимающихся вопросамикибербезопасности, отметили, что атаки на уязвимость CVE-2017-9805 ужепроисходят. В ближайшем будущем Cisco планирует выпустить патчи, которыепозволят интегрировать обновления Struts в проприетарные разработки самойCisco. Пока гром не грянет? «Полный аудит безопасности — процедура, которая должнапроводиться регулярно, а не только по случаю обнаружения каких-либоуязвимостей, — считает Валерий Тюхменев,эксперт по безопасности компании SEC Consult Services. — Это довольно затратнаяпроцедура, но расходы на ликвидацию последствий серьезного взлома, особенно вкорпоративных сетях, оказываются выше на несколько порядков». Ранее в этом году эксперты обнаружили в Apache Strutsуязвимость нулевого дня CVE-2017-5638, которую уже использовали в атаках накорпоративные серверы. Ходят упорные слухи, что катастрофическая утечка данныхиз бюро кредитных историй Equifax оказалась возможна именно благодаря этойуязвимости, хотя эти предположения пока ничем не подтверждены. В текущий аудит безопасности Cisco данная уязвимость невходит.