Кілька недоліків, знайшов Trend Micro електронний Linux основі шифрування шлюз

Computer Security News

Ядро безпеки експерти виявили кілька недоліки безпеки в Trend Micro Linux основі шлюз шифрування електронної пошти. Деякі слабкі місця, були оцінені як критична і важких і отриманих CVE ідентифікаційні номери CVE-2018-6219 через CVE-2018-6230.

На думку дослідників безпеки найбільш серйозні уразливості інфікувати локальний або віддалений хакер з доступу до цільової системи для виконання довільного команд з привілеями адміністратора.

“Шифрування для адресу E-Mail-шлюзу є Linux основі програмного забезпечення рішення, надаючи можливість виконувати шифрування та дешифрування електронної пошти на корпоративних шлюз, незалежно від того, поштовий клієнт і платформи, з якої він походить. Шифрування та дешифрування електронної пошти на стороні клієнта TMEEG знаходиться під контролем за політику менеджер, що дає змогу адміністратору настроювати політики на основі різних параметрів, таких як відправника та адреси електронної пошти одержувача,” Core безпеки Експерти кажуть.

“Декілька вразливостей були знайдені в Trend Micro електронної пошти шифрування шлюз веб-консолі, що дозволило б віддаленого неперевірені зловмиснику отримати виконання команди як корінь”.

Найбільш критичний недолік безпеки є CVE-2018-6223, що стосується відсутні аутентифікації для реєстрації побутової техніки.

Система адміністратори можуть настроїти Віртуальний пристрій під керуванням шлюз шифрування електронної пошти в процесі розгортання після розгортання через реєстрації кінцевої точки.

Експерти знайшли, що хакери можуть отримати доступ до кінцевої точки без аутентифікації, щоб настроїти облікові дані адміністратора і внести інші зміни до конфігурації.

“Кінцева точка реєстрації надаються системним адміністраторам налаштувати Віртуальний пристрій після розгортання. Однак, цієї кінцевої точки залишається доступним без автентифікації навіть після того, як пристрій настроєний, який дозволить зловмисникам встановити параметри конфігурації, такі як ім’я користувача адміністратора та пароль.” Безпека аналіз читає.

Крім того, дослідники виявили два високого рівня небезпеки перехресних міжсайтових сценаріїв (XSS) недоліки, довільний файл записування питання, які можуть призвести до виконання команди, впевнений, розташування файлів довільного журналу провідних виконання команди та оновлення програмного забезпечення unvalidated.

Інші експерти зареєстрували вразливостей є ін’єкції SQL і XML зовнішні сутності (XXE).

Уражені пакетів, Trend Micro електронної пошти шифрування шлюз 5.5 (побудувати 1111.00) і раніше, Trend Micro звернувся до десяти уразливостей з версія 5.5 будувати 1129.

Беручи до уваги звіт timeline, схоже, що Trend Micro провів більше півроку видавати патчі безпеки.

Trend Micro повідомив, що у зв’язку з труднощами реалізації виправити, середнього рівня небезпеки CSRF питання і низьким тяжкості SQL-ін’єкції уразливості були не улагоджені ще.


Leave a Reply

Your email address will not be published. Required fields are marked *