Анализ сведений об угрозах безопасности информации, проводимый специалистами ФСТЭК России в условиях сложившейся обстановки, показывает, что зарубежными хакерскими группировками при реализации компьютерных атак на информационную инфраструктуру Российской Федерации активно эксплуатируются уязвимости программного обеспечения
Анализ сведений об угрозах безопасности информации, проводимый специалистами ФСТЭК России в условиях сложившейся обстановки, показывает, что зарубежными хакерскими группировками при реализации компьютерных атак на информационную инфраструктуру Российской Федерации активно эксплуатируются уязвимости программного обеспечения.
С целью предотвращения реализации угроз безопасности информации, связанных с эксплуатацией уязвимостей, прошу Ваших указаний на устранения следующих уязвимостей:
1.Уязвимость реализации протокола IPv6 RPL ядра операционной системы Linux (BDU:2023-02580, уровень опасности по CVSS 3.0 высокий), связанная с некорректным вычислением размера заголовка пакета в функции ipv6 rpl segdata_pos() в модуле net/ipv6/rpl.c. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании.
В целях предотвращения возможности эксплуатации указанной уязвимости рекомендуется установить обновление программного обеспечения в соответствии с Методикой тестирования обновлений безопасности программных, программноаппаратных средств, утвержденной ФСТЭК России 28 октября 2022 г., а также Методикой оценки уровня критичности программных, программно-аппаратных средств, утвержденной ФСТЭК России от 28 октября 2022 г. (fstec.ru/tekhnicheskayazashchita-informatsii/dokumenty/ 1 14-spetsialnye-normativnye-dokumenty).
В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры:
исключить использование протокола IPv6 RPL; минимизировать пользовательские привилегии; отключить (удалить) неиспользуемые учётные записи пользователей.
2.Уязвимость браузера Google Chrome (BDU:2023-02623, уровень опасности по CVSS 3.0 критический), связанная с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код.
В целях предотвращения возможности эксплуатации указанной уязвимости рекомендуется установить обновление программного обеспечения в соответствии с Методикой тестирования обновлений безопасности программных, программноаппаратных средств, утвержденной ФСТЭК России 28 октября 2022 г., а также Методикой оценки уровня критичности программных, программно-аппаратных средств, утвержденной ФСТЭК России от 28 октября 2022 г. (fstec.ru/tekhnicheskaya-zashchitainformatsii/dokumenty/ 1 14-spetsialnye-normativnye-dokumenty).
В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры:
применять средства антивирусной защиты с функцией контроля доступа к веб-ресурсам; реализовать контролируемый доступ в сеть Интернет путем регламентации разрешенных сетевых ресурсов и соединений; осуществлять запуск веб-браузера от имени пользователя с минимальными возможными привилегиями в операционной системе; использовать альтернативные веб-браузеры; применять системы обнаружения и предотвращения вторжений.
З. Уязвимость веб-интерфейса коммутаторов Cisco Small Business Series Switches (BDU:2023-02662, уровень опасности по CVSS 3.0 критический), связанная с возможностью переполнения буфера на основе стека. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код.
В целях предотвращения возможности эксплуатации указанной уязвимости рекомендуется установить обновление программного обеспечения в соответствии с Методикой тестирования обновлений безопасности программных, программноаппаратных средств, утвержденной ФСТЭК России 28 октября 2022 г., а также
Методикой оценки уровня критичности программных, программно-аппаратных средств, утвержденной ФСТЭК России от 28 октября 2022 г. (fstec.ru/tekhnicheskaya-zashchitainformatsii/dokumenty/ 1 14-spetsialnye-normativnye-dokumenty).
В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры:
выделить веб-интерфейс управления в отдельный сегмент сети с ограничением доступа к нему средствами межсетевого экранирования; исключить доступ к веб-интерфейсу управления из общедоступных сетей; использовать межсетевые экраны уровня приложений; применять системы обнаружения и предотвращения вторжений.
4.Уязвимость функции ХМЕ ExternalEntityParserCreate библиотеки синтаксического анализатора ХМЕ libexpat (BDU:2023-02688, уровень опасности по CVSS 3.0 высокий), связанная с возможностью использования после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании.
В целях предотвращения возможности эксплуатации указанной уязвимости рекомендуется установить обновление программного обеспечения в соответствии с Методикой тестирования обновлений безопасности программных, программноаппаратных средств, утвержденной ФСТЭК России 28 октября 2022 г., а также Методикой оценки уровня критичности программных, программно-аппаратных средств, утвержденной ФСТЭК России от 28 октября 2022 г. (fstec.ru/tekhnicheskaya-zashchitainformatsii/dokumenty/ 1 14-spetsialnye-normativnye-dokumenty).
В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры:
использовать средства межсетевого экранирования для ограничения удалённого доступа; использовать изолированную программную среду для открытия ХМ№файлов из недоверенных источников.
5.Уязвимости веб-интерфейса коммутаторов Cisco Small Business Series Switches (BDU:2023-02733, 002023-02734, уровень опасности по CVSS 3.0 высокий), связанные с возможностью переполнения буфера на основе стека. Эксплуатация уязвимостей может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании.
В целях предотвращения возможности эксплуатации указанной уязвимости рекомендуется установить обновление программного обеспечения в соответствии с Методикой тестирования обновлений безопасности программных, программноаппаратных средств, утвержденной ФСТЭК России 28 октября 2022 г., а также Методикой оценки уровня критичности программных, программно-аппаратных средств, утвержденной ФСТЭК России от 28 октября 2022 г. (fstec.ru/tekhnicheskaya-zashchitainformatsii/dokumenty/ 1 14-spetsialnye-normativnye-dokumenty).
В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры:
выделить веб-интерфейс управления в отдельный сегмент сети с ограничением доступа к нему средствами межсетевого экранирования; исключить доступ к веб-интерфейсу управления из общедоступных сетей; использовать межсетевые экраны уровня приложений; применять системы обнаружения и предотвращения вторжений.
6.Уязвимость платформы интеграции данных Apache InLong (002023-02791, уровень опасности по CVSS 3.0 высокий), связанная с некорректным контролем идентификаторов ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на целостность и доступность защищаемой информации.
В целях предотвращения возможности эксплуатации указанной уязвимости рекомендуется установить обновление программного обеспечения в соответствии с Методикой тестирования обновлений безопасности программных, программноаппаратных средств, утвержденной ФСТЭК России 28 октября 2022 г., а также Методикой оценки уровня критичности программных, программно-аппаратных средств, утвержденной ФСТЭК России от 28 октября 2022 г. (fstec.ru/tekhnicheskaya-zashchitainformatsii/dokumenty/ 1 14-spetsialnye-normativnye-dokumenty).
В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры:
использовать средства межсетевого экранирования уровня веб-приложений для ограничения возможности удалённого доступа; ограничить доступ из внешних сетей; использовать виртуальные частные сети для организации удаленного доступа.
7.Уязвимость функции iopt иптар iova range() в модуле drivers/iommu/iommufd/io_pagetable.c ядра операционной системы Linux (BDU:2023-02798, уровень опасности по CVSS 3.0 высокий), связанная с использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации.
В целях предотвращения возможности эксплуатации указанной уязвимости рекомендуется установить обновление программного обеспечения в соответствии с Методикой тестирования обновлений безопасности программных, программноаппаратных средств, утвержденной ФСТЭК России 28 октября 2022 г., а также Методикой оценки уровня критичности программных, программно-аппаратных средств, утвержденной ФСТЭК России от 28 октября 2022 г. (fstec.ru/tekhnicheskaya-zashchitainformatsii/dokumenty/ 1 14-spetsialnye-normativnye-dokumenty).
В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры:
отключить драйвер IOMMU параметром загрузки ядра до появления исправления; отключить неиспользуемые учетные записи, а также учетные записи недоверенных пользователей; осуществить принудительную смену паролей пользователей; ограничить доступ к командной строке для недоверенных пользователей; применять антивирусные средства защиты; осуществлять мониторинг действий пользователей.
8.Уязвимость инструмента для анализа сетевых журналов VMware Aria 0perations for Logs (BDU:2023-02905, уровень опасности по CVSS 3.0 высокий), связанная с непринятием мер по нейтрализации специальных элементов, используемых в команде ОС. Эксплуатация уязвимостей может позволить нарушителю, действующему удаленно, выполнить произвольный код с т-оо€привилегиями.
В целях предотвращения возможности эксплуатации указанной уязвимости рекомендуется установить обновление программного обеспечения в соответствии с Методикой тестирования обновлений безопасности программных, программноаппаратных средств, утвержденной ФСТЭК России 28 октября 2022 г., а также Методикой оценки уровня критичности программных, программно-аппаратных средств, утвержденной ФСТЭК России от 28 октября 2022 г. (fstec.ru/tekhnicheskaya-zashchitainformatsii/dokumenty/ 1 14-spetsialnye-normativnye-dokumenty).
В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры:
использовать средства межсетевого экранирования уровня веб-приложений для ограничения доступа; применять системы обнаружения и предотвращения вторжений; использовать виртуальные частные сети для организации удаленного доступа.
9.Уязвимость программной платформы Microsoft .NET (BDU:2023-02907, уровень опасности по CVSS 3.0 высокий), связанная с некорректной обработкой пути поиска к библиотекам DLL. Эксплуатация уязвимостей может позволить нарушителю выполнить произвольный код.
В целях предотвращения возможности эксплуатации указанной уязвимости рекомендуется установить обновление программного обеспечения в соответствии с Методикой тестирования обновлений безопасности программных, программноаппаратных средств, утвержденной ФСТЭК России 28 октября 2022 г., а также Методикой оценки уровня критичности программных, программно-аппаратных средств, утвержденной ФСТЭК России от 28 октября 2022 г. (fstec.ru/tekhnicheskaya-zashchitainformatsii/dokumenty/ 1 14-spetsialnye-normativnye-dokumenty).
В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры:
осуществить минимизацию пользовательских привилегий; отключить (удалить) неиспользуемые учетные записи пользователей; использовать средства антивирусной защиты.
10.Уязвимость функции git conflg_copy_or rename_section in Тесфайла con6g.c программной платформы на базе git для совместной работы над кодом GitLab (BDU:2023-02908, уровень опасности по CVSS 3.0 высокий), связанная с недостаточной нейтрализацией специальных элементов в запросе. Эксплуатация уязвимости может позволить нарушителю, выполнить произвольный код.
В целях предотвращения возможности эксплуатации указанной уязвимости рекомендуется установить обновление программного обеспечения в соответствии с Методикой тестирования обновлений безопасности программных, программноаппаратных средств, утвержденной ФСТЭК России 28 октября 2022 г., а также Методикой оценки уровня критичности программных, программно-аппаратных средств, утвержденной ФСТЭК России от 28 октября 2022 г. (fstec.ru/tekhnicheskaya-zashchitainformatsii/dokumenty/ 1 14-spetsialnye-normativnye-dokumenty).
В случае невозможности установки обновления программного обеспечения необходимо ограничить запуск git submodule deinit, или git con6g --rename-section в git con6g --remove-section недоверенных репозиториев.