Nokia NetAct

Основная статья: EAM-cистема

2023: Исправление пяти уязвимостей

Компания Nokia исправила пять уязвимостей в системе Nokia NetAct, обнаруженных экспертами Positive Technologies Владимиром Разовым и Александром Устиновым. Об этом компания PT сообщила 19 апреля 2023 года. Это ПО используют более 500 провайдеров связи для мониторинга и управления телекоммуникационными сетями, базовыми станциями и другими системами. По данным РБК, на долю Nokia в России приходится примерно 20–25% от всего установленного оборудования. На мировом рынке Nokia занимает долю 9%. Производитель был уведомлен об угрозе в рамках политики ответственного разглашения и исправил уязвимости в последней версии ПО.

Используя обнаруженные уязвимости (выполняя XXE-инъекцию или подделку запроса на стороне сервера (SSRF)), злоумышленник потенциально мог достаточно далеко продвинуться в инфраструктуре провайдера и нанести значительный урон, вплоть до вывода из строя некоторых компонентов. Однако сложно сказать, могло ли это отразиться непосредственно на клиентах провайдера, — отметили эксперты Positive Technologies, нашедшие уязвимости.

Наиболее серьезными были две XXE-уязвимости (CVE-2023-26057 (BDU:2023-01307) и CVE-2023-26058 (BDU:2023-01306)), получившие одинаковую оценку в 5,8 баллов по шкале CVSS v3. Они позволяли атакующим, имеющим авторизованный доступ в приложение, импортировать XML-файлы на страницах веб-интерфейса Nokia NetAct, при этом парсер некорректно обрабатывал внешние сущности, которые есть в этом XML-файле. С помощью внешних сущностей можно считывать данные с файловой системы, а также отправлять запросы от имени компьютера, на котором установлен NetAct. Проблемы были связаны с отсутствием проверки входных данных и неправильной конфигурацией парсеров XML.

Три другие уязвимости получили оценку 5,0. Используя их, злоумышленники могли применять межсайтовое выполнение сценария (XSS), эксплуатируя недостаточную проверку ввода определенных данных в интерфейсе NetAct (CVE-2023-26061 (BDU:2023-01303)) или возможность загрузки ZIP-файла с определенными параметрами без проверки его содержимого (CVE-2023-26059 (BDU:2023-01305)). Еще одна уязвимость, CVE-2023-26060 (BDU:2023-01304), позволяла преступникам осуществлять внедрение шаблонных выражений (Cross-Site Template Injection, CSTI).

Уязвимости были выявлены в NetAct 20 и NetAct 22. Пользователям рекомендуется установить исправленную версию системы — NetAct 22 FP2211 или более новую.

Для обнаружения или блокировки атак, эксплуатирующих описанные уязвимости, компании могут использовать межсетевой экран уровня веб-приложений, продукты для защиты конечных точек (EDR, XDR) и системы анализа сетевого трафика (NTA).