Нулевые дни в продуктах Barracuda и Fortinet: CISA вводит экстренную директиву по кибербезопасности

Американское агентство по кибербезопасности и защите инфраструктуры (CISA) обязало все федеральные гражданские ведомства принять новые меры по ограничению доступа к сетевому оборудованию, подверженному воздействию интернета. Директива выдана на фоне всплеска атак на неизвестные ранее уязвимости в широко используемых устройствах безопасности и сетевых аппаратах.

Согласно новому приказу CISA, федеральные агентства теперь должны в течение 14 дней реагировать на любые сообщения от CISA о неправильно настроенном или общедоступном сетевом оборудовании. Директива распространяется на любые сетевые устройства — такие как межсетевые экраны, маршрутизаторы и балансировщики нагрузки — которые позволяют удаленную аутентификацию или администрирование.

Приказ требует от федеральных департаментов ограничить доступ таким образом, чтобы только авторизованные пользователи локальной или внутренней сети агентства могли достигать интерфейсов управления этих устройств.

Данное требование последовало за рядом недавних инцидентов, в ходе которых злоумышленники эксплуатировали уязвимости нулевого дня в популярных сетевых продуктах для проведения атак с вымогательским программным обеспечением и кибершпионажем на пострадавшие организации.

Так, эксперты компании Mandiant недавно раскрыли , что по крайней мере с октября 2022 года китайские кибершпионы эксплуатировали уязвимость нулевого дня во многих шлюзах безопасности электронной почты (ESG), продаваемых калифорнийской компанией Barracuda Networks, чтобы похищать конфиденциальные электронные письма из организаций, использующих эти устройства.

Примерно в то же время исследователи Lexfo обнаружили , что уязвимости нулевого активно эксплуатируют в широком спектре VPN-решений, производимых компанией Fortinet.

Эти инциденты показывают, насколько важно для организаций всех уровней и сфер деятельности обеспечивать надежную защиту своего сетевого оборудования от кибератак, поэтому новое требование CISA выглядит вполне оправданно и логично.