Обнаружены критические недостатки в программном обеспечении ConnectWise ScreenConnect - исправлено сейчас

[Teacher]

Компания ConnectWise выпустила обновления программного обеспечения для устранения двух недостатков безопасности в своем программном обеспечении ScreenConnect remote desktop и access, включая критическую ошибку, которая может привести к удаленному выполнению кода в затронутых системах.

Ниже перечислены уязвимости, у которых в настоящее время отсутствуют идентификаторы CVE -

• Обход аутентификации с использованием альтернативного пути или канала (оценка CVSS: 10.0)
• Неправильное ограничение пути к закрытому каталогу, известное как "обход пути" (оценка CVSS: 8.4)

Компания сочла серьезность проблем критической, сославшись на то, что они "могут позволить выполнять удаленный код или напрямую влиять на конфиденциальные данные или критически важные системы".

Обе уязвимости затрагивают ScreenConnect версий 23.9.7 и более ранних, исправления доступны в версии 23.9.8. О недостатках было сообщено компании 13 февраля 2024 года.

Хотя нет никаких доказательств того, что недостатки использовались повсеместно, пользователям, использующим автономные или локальные версии, рекомендуется как можно скорее обновиться до последней версии.

"ConnectWise также предоставит обновленные версии выпусков с 22.4 по 23.9.7 для устранения критической проблемы, но настоятельно рекомендует партнерам обновиться до ScreenConnect версии 23.9.8", - говорится в сообщении ConnectWise.