Компания Positive Technologies помогла устранить уязвимость в ПО для мониторинга, визуализации и контроля состояния IT-инфраструктуры
Эксперт отдела безопасности промышленных систем управления Positive Technologies Александр Мелких выявил уязвимость в программном обеспечении PRTG Network Monitor разработки немецкой компании Paessler. Данное ПО широко применяется во множестве компаний различных отраслей в качестве вспомогательного элемента, осуществляющего контроль за состоянием устройств в сети. На текущий момент более 16 тысяч серверов с данным ПО, в том числе в США, Бразилии, Германии и России, доступны из сети Интернет.
Уязвимость CVE-2019-19119 заключается в использовании хешированного пароля в качестве аутентифицирующего фактора в некоторых обработчиках API, что позволяло получить доступ к функциональности ПО PRTG Network Monitor.
Как показывает практика, данное ПО часто устанавливается на пограничных узлах, например между доверенной и недоверенной сетями. Получив доступ к ПО, злоумышленник может извлечь подробную информацию об узлах сети и их конфигурации. Это дает ему широкие возможности для развития атаки.
Также было выявлено, что используемая функция вычисления хеша пароля не является криптостойкой и ее нельзя назвать односторонним криптографическим алгоритмом вычисления хеш-функции. При этом реализованный механизм подвержен коллизиям, что позволяет найти исходный пароль или коллизию для его хеша, зная значение хеша и криптографической соли (эти значения хранятся в публичной ветви реестра ОС).
Стоит отметить, что эксперты Positive Technologies уже находили уязвимости в веб-интерфейсе данного ПО в 2018 году (CVE-2018-19203, CVE-2018-19204, CVE-2018-19410, CVE-2018-19411). Этим уязвимостям была присвоена высокая и критическая степени риска.
«Нельзя отрицать, что для бесперебойной работы современной IT-инфраструктуры сложно обходиться без программного обеспечения для ее мониторинга и контроля. Однако при оценке возможных киберугроз для предприятия вспомогательное ПО нельзя списывать со счетов: его также необходимо исследовать на наличие возможных уязвимостей, особенно если оно используется для обеспечения штатного функционирования основного направления компании, например АСУ ТП. Помимо уязвимостей в ПО PRTG Monitor во время работ по анализу защищенности АСУ ТП на проектах встречалось и другое подобное ПО WhatsUP Gold, в котором наши специалисты также находили уязвимости », — говорит руководитель отдела безопасности промышленных систем управления Positive Technologies Владимир Назаров.
Вендор в короткие сроки устранил уязвимость и уведомил своих пользователей о необходимости установки новой версии программного обеспечения, отправив соответствующие инструкции.
О компании
Positive Technologies — один из лидеров европейского рынка систем анализа защищенности и соответствия стандартам, а также защиты веб-приложений. Организации во многих странах мира используют решения Positive Technologies для оценки уровня безопасности своих сетей и приложений, для выполнения требований регулирующих организаций и блокирования атак в режиме реального времени. Благодаря многолетним исследованиям специалисты Positive Technologies заслужили репутацию экспертов международного уровня в вопросах защиты SCADA- и ERP-систем, крупнейших банков и телеком-операторов.
