Разработчики: | Nokia Corporation |
Дата последнего релиза: | 2023/04/19 |
Отрасли: | Телекоммуникация и связь |
Технологии: | EAM, Network Health Monitoring - Мониторинг сети или управление здоровьем-производительностью ИТ-Инфраструктуры |
Основная статья: EAM-cистема
2023: Исправление пяти уязвимостей
Компания Nokia исправила пять уязвимостей в системе Nokia NetAct, обнаруженных экспертами Positive Technologies Владимиром Разовым и Александром Устиновым. Об этом компания PT сообщила 19 апреля 2023 года. Это ПО используют более 500 провайдеров связи для мониторинга и управления телекоммуникационными сетями, базовыми станциями и другими системами. По данным РБК, на долю Nokia в России приходится примерно 20–25% от всего установленного оборудования. На мировом рынке Nokia занимает долю 9%. Производитель был уведомлен об угрозе в рамках политики ответственного разглашения и исправил уязвимости в последней версии ПО.
![]() | Используя обнаруженные уязвимости (выполняя XXE-инъекцию или подделку запроса на стороне сервера (SSRF)), злоумышленник потенциально мог достаточно далеко продвинуться в инфраструктуре провайдера и нанести значительный урон, вплоть до вывода из строя некоторых компонентов. Однако сложно сказать, могло ли это отразиться непосредственно на клиентах провайдера, — отметили эксперты Positive Technologies, нашедшие уязвимости. | ![]() |
Наиболее серьезными были две XXE-уязвимости (CVE-2023-26057 (BDU:2023-01307) и CVE-2023-26058 (BDU:2023-01306)), получившие одинаковую оценку в 5,8 баллов по шкале CVSS v3. Они позволяли атакующим, имеющим авторизованный доступ в приложение, импортировать XML-файлы на страницах веб-интерфейса Nokia NetAct, при этом парсер некорректно обрабатывал внешние сущности, которые есть в этом XML-файле. С помощью внешних сущностей можно считывать данные с файловой системы, а также отправлять запросы от имени компьютера, на котором установлен NetAct. Проблемы были связаны с отсутствием проверки входных данных и неправильной конфигурацией парсеров XML.TAdviser SummIT 28 мая стал самым масштабным за всю историю его проведения. Более 1,5 тыс участников и 50 стендов. ФОТО
Три другие уязвимости получили оценку 5,0. Используя их, злоумышленники могли применять межсайтовое выполнение сценария (XSS), эксплуатируя недостаточную проверку ввода определенных данных в интерфейсе NetAct (CVE-2023-26061 (BDU:2023-01303)) или возможность загрузки ZIP-файла с определенными параметрами без проверки его содержимого (CVE-2023-26059 (BDU:2023-01305)). Еще одна уязвимость, CVE-2023-26060 (BDU:2023-01304), позволяла преступникам осуществлять внедрение шаблонных выражений (Cross-Site Template Injection, CSTI).
Уязвимости были выявлены в NetAct 20 и NetAct 22. Пользователям рекомендуется установить исправленную версию системы — NetAct 22 FP2211 или более новую.
Для обнаружения или блокировки атак, эксплуатирующих описанные уязвимости, компании могут использовать межсетевой экран уровня веб-приложений, продукты для защиты конечных точек (EDR, XDR) и системы анализа сетевого трафика (NTA).
Подрядчики-лидеры по количеству проектов
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
Распределение вендоров по количеству проектов внедрений (систем, проектов) с учётом партнёров
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
Распределение систем по количеству проектов, не включая партнерские решения
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
Подрядчики-лидеры по количеству проектов
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)
![](/skins/ta/img/0.gif)