Пароль не нужен: дыру в TrueConf нашли за вечер
Пароль не нужен: дыру в TrueConf нашли за вечер В корпоративном сервере видеосвязи TrueConf обнаружена уязвимость с оценкой 9,8 из 10: войти можно без пароля. К нам пришёл владелец небольшой производственной компании. Своего ИТ-отдела нет, все совещания с поставщиками и заводом идут через собственный сервер видеосвязи. Его поставил когда-то нанятый подрядчик и с тех пор не трогал. Вопрос был простой: а точно ли всё безопасно? Я проверил версию программы. Она оказалась в диапазоне от 4.5.0.15891 до 5.5.5.10304: именно для него в TrueConf нашли критическую дыру, а пострадать могли и все, кто не обновлялся. Для обхода защиты не нужен ни пароль, ни взлом учётной записи, достаточно знать адрес сервера. Он смотрел в интернет, как и положено серверу видеосвязи. Что это значило в деньгах Сервер видеосвязи — это не только звонки. Там расписания встреч, записи переговоров, списки контактов, часто и доступ в остальную сеть. Захват сервера — это чужой человек на ваших совещаниях с поставщиками, где обсуждаются цены и условия. А ещё прямая дорога к файлам и компьютерам внутри. Владелец прикинул сам: утечка цен к конкуренту стоит ему как минимум одного крупного контракта. Это в десятки раз больше, чем стоит всё, что я сделал в тот день. Что я сделал 1. Обновил программу до исправленной версии: так закрывается сама дыра. 2. Посмотрел журналы и убедился, что чужих входов до обновления не было. 3. Закрыл лишние порты на сервере и вынес управление за пределы открытого интернета. 4. Настроил уведомление владельцу в мессенджер: теперь о новой версии и о подозрительных входах он узнаёт сам, а не от меня. Было: никто не знал, какая версия работает и когда её последний раз смотрели. Стало: владелец видит версию и получает сообщение, если что-то меняется. Всё заняло меньше рабочего дня. Самое неприятное в таких историях то, что взлом не оставляет шума. Вы узнаёте о нём, когда конкурент вдруг предлагает вашему клиенту цену ниже вашей на пару процентов. А когда вы последний раз смотрели, какая версия стоит на вашем сервере видеосвязи? #trueconf #уязвимость #безопасность Полный разбор с деталями кейса → Бесплатный аудит безопасности Сколько стоит взлом Канал в Telegram