Уязвимость в Lotus Domino, от которой не спасают патчи

26.03.2012

На хакерской конференции BlackHat Europe, прошедшей с 14 по 16 марта, Алексей Синцов, руководитель департамента аудита ИБ Digital Security и эксперт исследовательской лаборатории DSecRG, поделился своим опытом проведения тестов на проникновение и представил результаты недавно проведенного исследованиязащищенности системы Lotus Domino.

В докладе шла речь об отсутствии у многих компаний времени и возможности, а иногда и желания разбираться в существующих уязвимостях с целью их эксплуатации и о том, как это приводит к сильному снижению качества работы.

Было продемонстрировано, как за короткое время можно разобрать приватную уязвимость в Lotus Domino и использовать полученный эксплойт, а также обойти существующий патч и найти критичную уязвимость нулевого дня. Результатом стала атака на сервис Domino Controller (сервис администрирования Lotus Domino), которая позволяет полностью скомпрометировать сервер.

Также были продемонстрированы уязвимые сервисы, которые, казалось бы, не должны быть доступны из сети Интернет. Более того, в ходе исследования сервисы, содержащие данную уязвимость нулевого дня и даже более старые уязвимости, были обнаружены на государственных серверах США (домен .gov), серверах российских ВУЗов и, что любопытно, даже в корпоративной сети самого производителя – IBM.

Поэтому можно утверждать, что угрозы проникновения в любые сети осуществимы без особых усилий – даже правительства и гиганты бизнеса уязвимы к атакам из сети Интернет, например для группировок типа Anonymous или LulzSec.

Опыт DSecRG, исследовательской лаборатории Digital Security, показывает, что и своевременная установка патча, выпущенного производителем, не всегда обеспечивает защиту, так как исправления уязвимостей зачастую некорректны. За 2011 год три критических патча от таких крупнейших производителей, как SAP, IBM и VMware, фактически не исправили или не полностью исправили обнаруженные лабораторией DSecRG уязвимости в их продуктах. Это позволяет потенциальным злоумышленникам по-прежнему эксплуатировать уязвимость, в то время как для всех сканеров и большинства аудиторов, раз патч установлен, проблемы больше нет.

Ознакомиться с докладом Алексея на английском языке можно здесь.