Специалисты Центра анализа и расследования кибератак (ЦАРКА) обнаружили критическую уязвимость в системе документооборота Documentolog. Уязвимость позволяет получить доступ к деловой переписке всех организаций, использующих Documentolog, а также повысить привилегии атакующего до уровня администратора контроллера домена, передает Today.kz.

"Из интересных фишек продукта также можно отметить полный доступ администраторов компании-разработчика к документам заказчиков, а также возможность просмотра документов "соседних" по облачному сервису организаций", – отметили в ЦАРКА.

Отсутствие процедур обеспечения безопасности и сертификатов о прохождении аудита системы не помешало разработчикам продукта стать самой популярной системой документооборота и захватить казахстанский рынок.

"Продукт используется практически во всех нацкомпаниях и тем самым подвергает риску их внутренние документы, обеспечивающие основу экономики страны. В списке пользователей системы – "Самрук-Казына", "Самрук Энерго", "Казатомпром", Холдинг "Зерде", НИТ, "Правительство для граждан", "КаспийМунайГаз", Холдинг "Байтерек", НАТР, Фонд "Даму", НПП "Атамекен", "Жилстройсбербанк", "Казахстанская ипотечная компания", Фонд "Болашак", Фондовая биржа KASE, "Казконтент", Холдинг "Казагро", Экибастузская ГРЭС, Мойнакская ГЭС, Шардаринская ГЭС, Институт онкологии и радиологии, СПИД-Центр и другие не менее важные организации. Полный список клиентов нам неизвестен, по нашей оценке, в него входят около 200 организаций", – заявили в центре.

В ЦАРКА добавили, что на их памяти это первый инцидент с врачебной, банковской и коммерческой тайнами одновременно.

"Очень надеемся, что до утечки государственных секретов не дошло. Мы уже направили соответствующий запрос в Совет безопасности РК с просьбой разобраться с ситуацией, а также принять все необходимые меры для предотвращения утечки данных или мер компенсации, если это уже произошло. Со своей стороны, ЦАРКА рекомендует всем клиентам Documentolog провести все предусмотренные на случаи взлома процедуры – смена паролей, аудит внутреннего периметра, резервное копирование данных и предупреждение всех партнеров о возможном инциденте. Также просим проверить наличие процедур и требований безопасности к поставщикам программного обеспечения согласно требованиям международного стандарта ISO 27001", – заключили в ЦАРКА.

Ссылка на источник: http://today.kz/news/kazahstan/2018-08-08/768734-najdena-kriticheskaya-uyazvimost-v-sisteme-dokumentooborota-v-kazahstane---tsarka/