Luka w OPW Systemy Zarządzania Paliwem SiteSentinel
Źródło: https://www.cisa.gov/news-events/ics-advisories/icsa-24-268-01
Skuteczne wykorzystanie luki, która otrzymała oznaczenie CVE-2024-8310 może pozwolić osobie atakującej na ominięcie uwierzytelniania i uzyskanie pełnych uprawnień administracyjnych do serwera. Produkt, którego dotyczy problem, może umożliwić osobie atakującej ominięcie uwierzytelniania na serwerze i uzyskanie pełnych uprawnień administratora. Lukę CVE-2024-8310 oceniono na 9,8 CVSS v3.1; ciąg wektorowy CVSS to (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Wynik CVSS v4 został również obliczony dla CVE-2024-8310 Obliczono wynik bazowy 9,3; ciąg wektorowy CVSS to (CVSS4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N).
Krytyczne luki w zautomatyzowanych wskaźnikach zbiorników zagrażają infrastrukturze krytycznej
Badacze ostrzegają, iż wiele krytycznych luk w zabezpieczeniach systemów automatycznego wskaźnika poziomu paliwa (ATG), niektóre niezałatane, zagraża obiektom infrastruktury krytycznej zakłóceniami i uszkodzeniami fizycznymi. ATG to systemy czujników, które monitorują i zarządzają zbiornikami paliwa, aby zapewnić, iż poziom napełnienia nie jest zbyt niski lub zbyt wysoki. Stacje benzynowe są największym i najbardziej oczywistym przypadkiem użycia, ale drugim co do wielkości przypadkiem użycia ATG są krytyczne obiekty, które wymagają dużych zapasowych generatorów – często można je zobaczyć w obiektach takich jak szpitale, instalacje wojskowe i lotniska. Niepokojące jest to, iż większość nowo odkrytych luk w zabezpieczeniach pozwala atakującemu na pełną kontrolę nad ATG jako administrator. Według Umbelino, 11 błędów w sześciu systemach ATG od pięciu różnych dostawców może zatem otworzyć drzwi do szeregu złośliwych działań.
Nowa wersja złośliwego systemu Octo Android podszywa się pod NordVPN, Google Chrome
Nowa wersja złośliwego systemu Octo Android, o nazwie “Octo2”, rozprzestrzenia się w Europie pod przykrywką NordVPN, Google Chrome i aplikacji o nazwie Europe Enterprise. Nowy wariant, analizowany przez ThreatFabric, charakteryzuje się lepszą stabilnością operacyjną, bardziej zaawansowanymi mechanizmami antyanalizy i wykrywania oraz systemem algorytmu generowania domen (DGA) dla odpornej komunikacji dowodzenia i kontroli (C2). Ostatecznie jego pojawienie się na wolności potwierdza, iż projekt żyje i ewoluuje pomimo zawirowań, przez które przeszedł w ostatnim czasie. Octo to trojan bankowy dla systemu Android, który wyewoluował z ExoCompact (2019-2021), który sam był oparty na trojanie ExoBot, który został uruchomiony w 2016 roku, a jego kod źródłowy wyciekł do sieci latem 2018 roku. ThreatFabric odkrył pierwszą wersję Octo w kwietniu 2022 r. w fałszywych aplikacjach w Google Play. Octo v1 obsługiwało między innymi keyloggery, nawigację na urządzeniu, przechwytywanie wiadomości SMS i powiadomień push, blokowanie ekranu urządzenia, wyciszanie dźwięku, dowolne uruchamianie aplikacji i używanie zainfekowanych urządzeń do dystrybucji SMS-ów.
NIS2 – nowe wyzwania i obowiązki. Jak skutecznie się przygotować?
Regulacje, które wprowadza dyrektywa NIS2, wiążą się z nowymi wymogami i zmianami dla wielu branż. Będą to istotne wyzwania z zakresu cyberbezpieczeństwa. Wobec tego, z pomocą jakich rozwiązań lepiej chronić firmy i ich pracowników? O tym w rozmowie z CyberDefence24.pl mówi Łukasz Czernik, prezes firmy Proget. Łukasz Czernik, prezes Proget: Najbardziej dotkliwe zmiany czekają te podmioty, które dotychczas nie podjęły żadnych działań w kontekście cyberzagrożeń. W mojej opinii, nasz kraj znajduje się w o tyle komfortowej sytuacji, iż postępująca cyfryzacja połączona z wymogami RODO, wyrobiły w nas już pewne nawyki oraz nauczyły standardów, przecierając szlaki dla szerszego zacieśniania bezpieczeństwa w ramach NIS2. W związku z tym, dodanie całej administracji publicznej do listy sektorów kluczowych, w kontekście dyrektywy NIS2, będzie oznaczało kontynuowanie podjętych dotychczas działań. Z tą jednak różnicą, iż będą one obligatoryjne dla każdej jednostki, a odpowiedzialność za niedopatrzenia będzie egzekwowana w usystematyzowany sposób.
