Разработчики: | Nokia Corporation |
Дата последнего релиза: | 2023/04/19 |
Отрасли: | Телекоммуникация и связь |
Технологии: | EAM, Network Health Monitoring - Мониторинг сети или управление здоровьем-производительностью ИТ-Инфраструктуры |
Основная статья: EAM-cистема
2023: Исправление пяти уязвимостей
Компания Nokia исправила пять уязвимостей в системе Nokia NetAct, обнаруженных экспертами Positive Technologies Владимиром Разовым и Александром Устиновым. Об этом компания PT сообщила 19 апреля 2023 года. Это ПО используют более 500 провайдеров связи для мониторинга и управления телекоммуникационными сетями, базовыми станциями и другими системами. По данным РБК, на долю Nokia в России приходится примерно 20–25% от всего установленного оборудования. На мировом рынке Nokia занимает долю 9%. Производитель был уведомлен об угрозе в рамках политики ответственного разглашения и исправил уязвимости в последней версии ПО.
![]() | Используя обнаруженные уязвимости (выполняя XXE-инъекцию или подделку запроса на стороне сервера (SSRF)), злоумышленник потенциально мог достаточно далеко продвинуться в инфраструктуре провайдера и нанести значительный урон, вплоть до вывода из строя некоторых компонентов. Однако сложно сказать, могло ли это отразиться непосредственно на клиентах провайдера, — отметили эксперты Positive Technologies, нашедшие уязвимости. | ![]() |
Наиболее серьезными были две XXE-уязвимости (CVE-2023-26057 (BDU:2023-01307) и CVE-2023-26058 (BDU:2023-01306)), получившие одинаковую оценку в 5,8 баллов по шкале CVSS v3. Они позволяли атакующим, имеющим авторизованный доступ в приложение, импортировать XML-файлы на страницах веб-интерфейса Nokia NetAct, при этом парсер некорректно обрабатывал внешние сущности, которые есть в этом XML-файле. С помощью внешних сущностей можно считывать данные с файловой системы, а также отправлять запросы от имени компьютера, на котором установлен NetAct. Проблемы были связаны с отсутствием проверки входных данных и неправильной конфигурацией парсеров XML.Открыта регистрация на конференцию Data Fusion 2025
Три другие уязвимости получили оценку 5,0. Используя их, злоумышленники могли применять межсайтовое выполнение сценария (XSS), эксплуатируя недостаточную проверку ввода определенных данных в интерфейсе NetAct (CVE-2023-26061 (BDU:2023-01303)) или возможность загрузки ZIP-файла с определенными параметрами без проверки его содержимого (CVE-2023-26059 (BDU:2023-01305)). Еще одна уязвимость, CVE-2023-26060 (BDU:2023-01304), позволяла преступникам осуществлять внедрение шаблонных выражений (Cross-Site Template Injection, CSTI).
Уязвимости были выявлены в NetAct 20 и NetAct 22. Пользователям рекомендуется установить исправленную версию системы — NetAct 22 FP2211 или более новую.
Для обнаружения или блокировки атак, эксплуатирующих описанные уязвимости, компании могут использовать межсетевой экран уровня веб-приложений, продукты для защиты конечных точек (EDR, XDR) и системы анализа сетевого трафика (NTA).
Подрядчики-лидеры по количеству проектов












Распределение вендоров по количеству проектов внедрений (систем, проектов) с учётом партнёров





























Распределение систем по количеству проектов, не включая партнерские решения


















Подрядчики-лидеры по количеству проектов
















Данные не найдены