Aumentar a visibilidade de TI e de negócios valor
FireEye corrigiu uma série de falhas publicamente divulgadas em seu sistema operacional (FEOS) que facilitaram man-in-the-middle ataques e injeção de comandos.
As vulnerabilidades lançadas sobre junho afetado versões NX, EX, machado, FX, e CM do FEOS e foram corrigidas no primeiro boletim de segurança individual para o sistema.
A empresa pediu clientes para aplicar correções.
"FireEye incentiva todos os clientes a atualizar para as versões mais atuais, assim que possível - especialmente clientes que executam versões anteriores à 7.1.0," ele disse em um boletim c [pdf].
As falhas variou em gravidade de baixo para crítico, o mais grave de que permitiu que atacantes remotos não autenticados para injetar comandos shell no FEOS como o usuário root, o boletim observou.
Os atacantes teriam de se comunicar com a interface de gerenciamento FEOS para explorar as vulnerabilidades.
Falhas incluído comando web user interface e injeção de SQL, falhas de direitos de acesso, cross-site scripting e falsificação de solicitação, e serviços internos expostos.
Outros incluíram OpenSSL man-in-the-middle erros CVE-2010-5298; CVE-2014-0198; CVE-2014-0221; CVE-2014-0224 e CVE-2014-3470.
As falhas críticas pareciam ser os primeiros caiu no site Exploit Database como zero-day pelo pesquisador Jean-Marie Bourbon que afirmou ter sido suspenso pelo seu empregador, como resultado da divulgação.
Bourbon disse Forbes deixou cair as vulnerabilidades após FireEye não respondeu a sua divulgação privada de maio - uma prática comum no sector da investigação em segurança.
Ele alegou FireEye contactado seu empregador, em seguida, fornecer serviços de segurança para a empresa, para que a divulgação retirado do Exploit banco de dados e se mudou para limpar registros de que armazenados no cache do Google.
O pesquisador manteve ele não estava sob um acordo de não divulgação, como resultado do contrato FireEye-Sogeti. ®
Nenhum comentário:
Postar um comentário