Dwie luki w wycofanej konsoli do zarządzania zaporami nie dostaną poprawki

Producent zapór sieciowych ujawnił dwie luki w swojej wycofanej konsoli do centralnego zarządzania urządzeniami. Poprawek nie będzie, bo produkt osiągnął koniec wsparcia. Pierwsza luka pozwala atakującemu bez logowania, który ma sieciowy dostęp do konsoli, czytać jej wewnętrzne pliki i wykradać wrażliwe dane. Druga pozwala osobie z wysokimi uprawnieniami odczytać lub zmienić dane w bazie konsoli przez mało złożony atak SQL injection.

Kogo dotyczy

Dotyczy firm, które nadal zarządzają zaporami tego producenta przez wycofaną konsolę, we wszystkich wersjach objętych ogłoszeniem. Według materiału atakujący często biorą na cel luki w produktach tego producenta, a od początku roku kilka z nich wykorzystano jako zero-day.

Co zrobić

Producent zaleca przejście na swoją nowszą platformę do zarządzania zabezpieczeniami, która zastąpiła wycofaną konsolę. Starsza konsola nie dostanie już żadnej aktualizacji bezpieczeństwa, więc do czasu migracji obie luki pozostaną otwarte.