Positive Technologies
  • О компании
  • Новости
  • Positive Technologies помогла исправить уязвимости в отечественной системе управления сайтами NetCat CMS
Новости

Positive Technologies помогла исправить уязвимости в отечественной системе управления сайтами NetCat CMS

До исправления уязвимостей злоумышленники могли изменять информацию на порталах или проникать во внутреннюю сеть

Эксперты команды PT SWARM1 Алексей Соловьев и Ян Чижевский выявили множественные уязвимости в NetCat CMS. По данным компании-разработчика, на этой системе управления сайтами работает более 15 тысяч порталов. Продукт входит в реестр программного обеспечения Минцифры. Вендор был уведомлен об угрозе в рамках политики ответственного разглашения и выпустил обновление ПО. Пользователям необходимо установить версию 7.0 или последующие.

Всего было найдено 23 уязвимости (BDU:2024-06382 — BDU:2024-06404) с оценками от 8,1 до 9,1 балла по шкале CVSS 3.0, что означает высокий и критически высокий уровни опасности соответственно.

«Мы обнаружили возможность проведения атак с использованием межсайтового скриптинга (XSS) в различных модулях NetCat CMS. Это могло бы позволить злоумышленнику провести XSS-атаку на администратора системы и задействовать легитимный набор функций CMS, чтобы выполнить произвольный код на сервере, получить доступ к исходному коду приложения, базе данных и закрепиться для последующих атак на компанию — владельца системы. Кроме того, нами были найдены уязвимости «Внедрение SQL-кода», в частности BDU:...

Алексей Соловьев
Алексей СоловьевРуководитель группы экспертизы отдела анализа защищенности веб-приложений, Positive Technologies

Осенью 2024 года число уязвимых и доступных из глобальной сети инсталляций NetCat CMS, по оценкам специалистов PT Expert Security Center, составляло более 200. Большинство из них расположены в России (92,9 %).

Для обнаружения подобных недостатков безопасности эффективно применение динамических анализаторов кода, например PT BlackBox. Для блокировки попыток эксплуатации уязвимостей стоит использовать межсетевые экраны уровня веб-приложений, к примеру PT Application Firewall (у которого также есть облачная версия — PT Cloud Application Firewall). Продукты класса network traffic analysis, в частности PT Network Attack Discovery, определяют внедрение SQL-кода, а межсетевые экраны нового поколения, например PT NGFW, блокируют такие уязвимости.

  1. Команда Positive Technologies из более чем 60 экспертов в области наступательной безопасности, которые занимаются тестированием на проникновение (в том числе red teaming), анализом защищенности приложений (мобильных и веб-приложений, приложений финансовой отрасли), выполняют проекты по социальной инженерии, проводят аудит беспроводных сетей, банкоматов и POS-терминалов.

Может быть интересно