安全研究人员束缚缺陷以抓住对老化设备的控制
安全研究人员将趋势微型Interscan Web安全虚拟设备（IWSVA）的多个漏洞链接起来，以抓住对Web网关安全产品的控制。beplay体育能用吗
敦促Sysadmins更新到最新版本，其中包括针对低严重性的缓解。跨站脚本（XSS）缺陷和高风险跨站点伪造（（CSRF）保护旁路。
两个进一步的身份验证旁路缺陷，命令执行漏洞和未经身份验证指挥注射最新版本中也修复了错误。
攻击链
沃尔夫冈·埃特林格（Wolfgang Ettlinger），然后是SEC咨询脆弱性实验室（他离开公司），发掘了六个漏洞并制作了三个有力的攻击链。
攻击者可以滥用CSRF和命令执行漏洞，“接管该设备作为根”。安全咨询由SEC咨询脆弱性实验室（12月17日）发行。
通过访问HTTP代理端口，他们还可以利用身份验证旁路和命令执行漏洞，“以无用用户/管理员交互作用将设备接管该设备” - 如下视频所示：
SEC咨询脆弱性实验室负责人约翰内斯·格里尔（Johannes Greil）告诉每日swbeplay2018官网ig“具有网络访问管理接口的攻击者可以利用登录命令注入漏洞（取决于配置），并在设备上执行任意OS命令作为用户“ ISCAN”并可能提高特权。”
他补充说，漏洞“单独或链在一起相对容易利用”。“例如，我们的利用脚本只有很少的Python代码行，但是手动开发也很简单。”
但是，这样做是取决于访问脆弱的机器，无论是身体上还是远程机器。
有限的影响
本地IWSVA产品已有十多年历史了。
“在全球范围内，很难为使用IWSVA的客户数量提供数字，这主要是由于COVID-19大流行的影响，” Trend Micro的英国和爱尔兰技术总监Bharat Mistry告诉每日swbeplay2018官网ig。
但是，用户数量正在减少 - 现在在英国低于100 - 因为AS-A-Service模型提供的“价值和操作简单性”已促成了从IWSVA到其基于云的继任者的“巨大过渡”，趋势微网络安全beplay体育能用吗（TMW）。
“多次迭代”
SEC Consull Consult Micro咨询了其调查结果2019年8月的趋势。
格雷尔说：“由于“难以再现安全漏洞的困难”和“验证补丁的多次迭代，他们花了一年多的时间来解决问题”。
但是，他补充说：“与过去遇到的其他较大的公司相比，在整个过程中，趋势微psirt在整个过程中都非常专业地处理了此案。”
Mistry说，IWSVA的老年复杂补救措施涉及“一些详细的“引擎盖下”变化，这意味着工程团队必须在建筑层面上重新审视该产品”。
立即补丁
趋势微观发布了安全公告12月15日，SP2版本中存在缺陷，并指示用户更新为6.5 SP2 CP B1919。
SEC咨询漏洞实验室还建议客户“遵守安全最佳实践，例如网络细分，限制对管理面板的访问或在向CSRF缓解网络冲浪时未登录的管理员的访问”。beplay体育能用吗
它还建议“对这种和类似的趋势微产品进行彻底的安全审查”，因为“这些产品中可能存在进一步的关键问题”。
你可能还喜欢F5警告Big-IP中的“关键” XSS缺陷
