Критическая уязвимость в BeyondTrust используется для установки веб-шеллов и кражи данных

Недавно обнаруженная серьёзная уязвимость в продуктах BeyondTrust Remote Support (RS) и Privileged Remote Access (PRA) привлекла внимание специалистов по безопасности. По данным бюллетеня BeyondTrust от марта 2024 года, уязвимость позволяет злоумышленникам выполнять команды операционной системы с правами, которые обычно доступны только доверенным администраторам. Это открывает широкие возможности для компрометации инфраструктуры, включая установку вредоносных инструментов, удалённый контроль и кражу данных.

Особенности уязвимости и её эксплуатация

BeyondTrust RS и PRA — это решения, которые широко применяются для удалённого управления и поддержки, а также для контроля привилегированного доступа в корпоративных сетях. Уязвимость связана с недостаточной проверкой входных данных, что позволяет злоумышленнику внедрять и запускать произвольные команды на целевой системе.

Согласно предупреждению от BeyondTrust и информации, опубликованной в отчёте исследователей безопасности, есть сообщения о попытках эксплуатации уязвимости, включая установку веб-шеллов и создание бэкдоров. Однако официально подтверждённых случаев масштабных атак с кражей данных пока не зафиксировано.

На практике это означает, что атакующий, получивший доступ к уязвимому сервису, может:

• Устанавливать веб-шеллы, которые служат точками постоянного доступа к системе.
• Создавать бэкдоры для скрытого и длительного контроля.
• Экспортировать конфиденциальные данные, включая учетные записи, пароли и другую чувствительную информацию.
• Выполнять произвольные команды, что может привести к дальнейшему распространению внутри сети.

Почему это важно для организаций с внешней атакуемой поверхностью

Для компаний, использующих решения BeyondTrust, эта уязвимость представляет серьёзную угрозу, поскольку продукты обеспечивают доступ к критическим системам и данным. Нарушение безопасности в таких инструментах может привести к масштабным инцидентам, включая утечку данных клиентов, нарушение бизнес-процессов и репутационные потери.

Кроме того, с учётом того, что многие организации активно разворачивают удалённые рабочие места и используют привилегированный доступ для администрирования, уязвимость в подобных решениях увеличивает поверхность атаки и усложняет защиту.

Практические рекомендации для команд безопасности

Для минимизации рисков, связанных с данной уязвимостью, специалисты по информационной безопасности должны:

• Немедленно проверить наличие обновлений от BeyondTrust и оперативно применить патчи, закрывающие уязвимость.
• Ограничить доступ к сервисам Remote Support и Privileged Remote Access, используя фильтрацию IP-адресов и многофакторную аутентификацию.
• Провести аудит текущих сессий и журналов на предмет подозрительной активности, включая установку веб-шеллов и необычные команды.
• Усилить мониторинг внешней атакуемой поверхности, чтобы своевременно выявлять попытки эксплуатации уязвимости.
• Обучить сотрудников основам безопасности при работе с удалённым доступом и повысить осведомлённость о рисках, связанных с привилегированными учетными записями.
• Разработать план реагирования на инциденты, учитывая возможность компрометации систем через подобные уязвимости.

В условиях постоянно растущих угроз, связанных с эксплуатацией уязвимостей в инструментах удалённого доступа, своевременное обнаружение и устранение подобных проблем становится ключевым элементом стратегии кибербезопасности любой организации.

---

Источник: BeyondTrust Security Advisory, март 2024 года. Подробности доступны на официальном сайте BeyondTrust.