13.07.2017  Новости, Сети и телекоммуникации, Финансы, страхование, недвижимость

Эксперт Positive Technologies Георгий Зайцев обнаружил уязвимость в компоненте Application Control, входящем в состав специализированной защиты для встроенных систем Kaspersky Embedded Systems Security версий 1.1 и 1.2. Ошибка была найдена в ходе аудита защищенности банкомата, на котором был установлен этот программный продукт. Эксплуатация данной уязвимости потенциально позволяла злоумышленнику в конечном счете осуществить установку неизвестного ПО на банкомат, а затем ― развить атаку вплоть до снятия всех денег из устройства. «Лаборатория Касперского» оперативно устранила данную уязвимость в актуальных версиях решения. С технической точки зрения эксплуатация данной уязвимости позволяла злоумышленнику загрузить сервис Kaspersky Embedded Systems Security до такого состояния, что он оказывался не в состоянии в отведенное время обрабатывать запросы на проверку запуска файлов. Это, в свою очередь, позволяло атакующему запускать любые приложения не из белого списка. Таким образом злоумышленник получал возможность запускать на банкомате. exe-файлы (например, с флешки или по сети) для повышения своих привилегий в системе, ее заражения или просто для снятия всех имеющихся в устройстве денег. «Принцип белого списка разрешает запуск на устройстве только доверенных программ. Уязвимость в Application Control открывала два пути для обхода этого ограничения и запуска нужного злоумышленнику файла, ― комментирует Георгий Зайцев. ― В первом случае в конец исполняемого ... читать далее.