Кіберінцидент у Казначействі США викрив небезпеку вразливості API BeyondTrust, яка дозволила китайському угрупованню APT отримати доступ до системи. Інцидент підкреслює важливість безпеки хмарних технологій та негайного оновлення.
249 
Критична уразливість в операційній системі TrueNAS CORE, розробленій компанією iXsystems, Inc. дозволяє мережевим зловмисникам виконати довільний код без аутентифікації CVE-2024-11944
Дослідники з Computest Sector 7, серед яких Даан Койпер (Daan Koiper), Таїс Алкемаде (Tais Alkemade) та Халед Нассар (Khaled Nassar), виявили уразливість в методі tarfile.extractall, що використовується в TrueNAS CORE. Через недостатню перевірку шляху, вказаного користувачем, зловмисник може здійснити атаку в обхід каталогу. Це дозволяє маніпулювати файлами, включаючи віддалене виконання коду (RCE) з привілеями root; незважаючи на високу оцінку CVSS в 7.5, експлуатація складна через необхідність точних умов.
В той же час, ризик є значним, оскільки дозволяє зловмиснику отримати повний контроль над системою, потенційно ставлячи під загрозу конфіденційність, цілісність та доступність даних. Дана уразливість зачіпає кілька версій TrueNAS CORE, включаючи стандартні конфігурації системи. iXsystems вже випустила патч, що вирішує цю проблему в TrueNAS CORE 13.0-U6.3. Адміністраторам настійно рекомендується негайно оновити свої системи, щоб уникнути можливої експлуатації.
Уразливість була виявлена під час змагань з кібербезпеки Pwn2Own. Цей випадок ще раз підкреслює необхідність своєчасного оновлення системи та дотримання правил мережевої безпеки Уразливість CVE-2024-11944 є викликом для користувачів TrueNAS CORE, яким необхідно швидко реагувати на нові загрози. Уразливість стала однією з найпоширеніших
249 
242 
338