Әлки муниципаль районы

2023 елның 23 июне, җомга

Россиянең ФСТЭК белгечләре тарафыннан килеп туган хәл шартларында мәгълүмат иминлегенә янаулар турында мәгълүматны анализлау чит ил хакерлык төркемнәре тарафыннан Россия Федерациясенең мәгълүмат инфраструктурасына компьютер һөҗүмнәрен гамәлгә ашырганда программа тәэминаты куркынычсызлыгы актив файдаланылуын күрсәтте.

Куркынычларны эксплуатацияләү белән бәйле мәгълүмати куркынычсызлык куркынычларын тормышка ашыруны булдырмас өчен, мин түбәндәге зәгыйфьлекләрне ничек бетерү турында күрсәтмәләрегезне сорыйм:

Linux операцион системасы ядросының IPv6 rpl.с. протоколын гамәлгә ашыруның куркынычлыгы (BDU:2023-02580, CVSS 3.0 буенча куркыныч дәрәҗәсе югары), net/ipv6/rpl модулендә ipv6 rpl segdata_pos() функциясендә пакет башлыгының күләмен дөрес исәпләмәү белән бәйле. Куркынычлыкны эксплуатацияләү ерактан эшләүче бозучыга хезмәт күрсәтүдән баш тартуга китерергә мөмкин.

Бу куркынычны куллану мөмкинлеген булдырмас өчен, 2022 елның 28 октябрендә Россия FSTEC тарафыннан расланган программа тәэминаты, программа тәэминаты өчен куркынычсызлык яңартуларын сынау методикасы, шулай ук 2022 елның 28 октябрендә Россия FSTEC тарафыннан расланган программа тәэминаты, программа тәэминаты һәм җиһазларның критик дәрәҗәсен бәяләү методикасы (fstec.ru/tekhnicheskayazashchita-informatsii/dokumenty/ 1 14-spetsialnye-normativnye-dokumenty).нигезендә программа тәэминаты яңартуы тәкъдим ителә.

Программа тәэминатын яңартуны урнаштыру мөмкин булмаган очракта түбәндәге компенсация чараларын күрергә кирәк:

IPv6 rpl протоколын куллануны булдырмаска; кулланучы өстенлекләрен минимальләштерергә; кулланучыларның кулланылмаган аккаунтларын бетерергә (алып ташларга).

Google Chrome браузерында көчсезлек (BDU: 2023-02623, CVSS 3.0 авырлык дәрәҗәсе критик) бушаганнан соң хәтер куллану белән бәйле. Кыркынычлыкны куллану ерактагы һөҗүмчегә үзенчәлекле код эшләргә мөмкинлек бирә.

Күрсәтелгән куркынычсызлыкны эксплуатацияләү мөмкинлеген булдырмау максатыннан программа тәэминатын яңартуны Россия Федераль куркынычсызлык хезмәте тарафыннан 2022 елның 28 октябрендә расланган программа, программа аппарат чаралары куркынычсызлыгы яңартуларын сынау методикасына, шулай ук Россия Федераль куркынычсызлык хезмәте тарафыннан расланган 2022 елның 28 октябрендә расланган программа, программа-аппарат чараларының критик дәрәҗәсен бәяләү методикасына ярашлы рәвештә билгеләргә киңәш ителә. (fstec.ru/tekhnicheskaya-zashchitainformatsii/dokumenty/ 1 14 spetsialnye-normativnye-dokumenty)

Программаны яңарту урнаштырылмаса, түбәндәге компенсацион чаралар күрелергә тиеш:

веб-ресурсларга керү контроле функциясе белән анти-вирус саклау коралларын кулланыгыз; рөхсәт ителгән челтәр ресурсларын һәм тоташуны көйләп, Интернетка контроль керү мөмкинлеген кертү; операцион системада мөмкин булган минималь өстенлекләр булган кулланучы исеменнән веб-браузер җибәрү; альтернатив веб-браузерларны куллану; интрузияне ачыклау һәм профилактикалау системаларын куллану.

З.Cisco small business series Switches коммутаторлары веб-интерфейсының куркынычлыгы (BDU:2023-02662, CVSS 3.0 буенча куркыныч дәрәҗәсе критик), буферны стек нигезендә тутыру мөмкинлеге белән бәйле. Зәгыйфьлекне эксплуатацияләү ерактан эшләүче бозучыга теләсә нинди кодны башкарырга мөмкинлек бирә ала.

идарә итү веб-интерфейсын челтәрнең аерым сегментына бүлеп, аңа челтәр арасы экранлаштыру чаралары белән керүне чикләү; идарә итү веб-интерфейсына гомуми кулланыштагы челтәрләрдән керүне булдырмау; кушымталар дәрәҗәсендәге челтәр арасы экраннарын куллану; керүләрне ачыклау һәм булдырмау системаларын куллану.

4. XME функциясенең куркынычлыгы ExternalEntityParserCreate of XME парсер китапханәсе libexpat (BDU: 2023-02688, CVSS 3.0 авырлык дәрәҗәсе югары), чыгарылганнан соң куллану мөмкинлеге белән бәйле. Зәгыйфьлекне куллану ерактагы һөҗүмчегә хезмәттән баш тартырга мөмкинлек бирергә мөмкин.

читтән торып керүне чикләү өчен челтәр арасы экранлаштыру чараларын куллану; ышанычсыз чыганаклардан файлларның ХМ№ ачу өчен изоляцияләнгән программа мохитен куллану.

5. Cisco Кече Бизнес Сериясе Коммутаторларының веб-интерфейсындагы куркынычлык (BDU: 2023-02733, 002023-02734, CVSS 3.0 Severity Level High) стекка нигезләнгән буфер ташкыны белән бәйле. Куркынычлыкны куллану ерактагы һөҗүмчегә хезмәттән баш тартырга мөмкинлек бирергә мөмкин.

6. Apache InLong мәгълүмат интеграция платформасында көчсезлек (002023-02791, CVSS 3.0 биеклеге буенча авырлык дәрәҗәсе) ресурс идентификаторларын дөрес контрольдә тоту белән бәйле. Куркынычлыкны куллану ерактагы һөҗүмчегә сакланган мәгълүматның бөтенлегенә һәм булуына тәэсир итә ала.

ерактан керү мөмкинлеген чикләү өчен веб-приложениеләр дәрәҗәсендәге челтәр ара экрандаштыру чараларын куллану; тышкы челтәрләрдән керүне чикләү; ерактан керүне оештыру өчен виртуаль шәхси челтәрләрне куллану.

7. Linux ядросының (BDU: 2023-02798, CVSS 3.0 югары авырлык дәрәҗәсе) драйверларда / iommu / iommufd / io_pagetable.c модулында iova диапазонының () iptar iopt функциясенең көчсезлеге. Куркынычлыкны куллану һөҗүм итүчегә конфиденциальлеккә, бөтенлеккә һәм сакланган мәгълүматның булуына тәэсир итә ала.

IOMMU драйверын төзәтмә барлыкка килгәнче ядроны йөкләү параметры белән сүндерергә; кулланылмаган аккаунтларны, шулай ук ышанычсыз кулланучыларның аккаунтларын сүндерергә; кулланучыларның парольләрен мәҗбүри алыштырырга; ышанычсыз кулланучылар өчен командалар сызыгына керүне чикләргә; антивирус саклау чараларын кулланырга; кулланучыларның гамәлләрен мониторинглау.

8. Челтәр журналларын анализлау коралының көчсезлеге VMware Aria 0 бүрәнәләр өчен операцияләр (BDU: 2023-02905, CVSS 3.0 буенча авырлык дәрәҗәсе югары), ОС командасында кулланылган махсус элементларны нейтральләштерү чаралары күрмәү белән бәйле. Зәгыйфьлекләрне куллану ерактагы һөҗүмчегә t-oo € өстенлекләре белән үзбилгеләнгән кодны эшләргә мөмкинлек бирә.

керү чикләү өчен веб-приложениеләр дәрәҗәсен челтәр арасыннан саклау чараларын куллану; керүләрне ачыклау һәм булдырмау системаларын куллану; ерактан керүне оештыру өчен виртуаль шәхси челтәрләрне куллану.

9. Microsoft .NET программа платформасында көчсезлек (BDU: 2023-02907, CVSS 3.0 югары авырлык дәрәҗәсе) DLL эзләү юлын дөрес эшкәртү белән бәйле. Куркынычлыкларны куллану һөҗүм итүчегә үзенчәлекле код эшләргә мөмкинлек бирергә мөмкин.

кулланучы өстенлекләрен минимальләштерү; кулланучыларның кулланылмаган аккаунтларын сүндерергә (алып ташларга); антивирус саклау чараларын кулланырга.

10.Git conflg_copy_or rename_section in функциясенең git базасындагы программа платформасының GitLab коды өстендә бергә эшләү өчен куркынычлыгы (BDU:2023-02908, CVSS 3.0 буенча куркыныч дәрәҗәсе югары), сорауда махсус элементларны җитәрлек нейтральләштермәү белән бәйле. Куркынычлыкны эксплуатацияләү бозучыга ирекле кодны башкарырга мөмкинлек бирә ала.

Программа тәэминатын яңартуны урнаштыру мөмкин булмаган очракта, git submodule deinit, яки git con6g.rename-sectionны git con6g. remove-section ышанычсыз репозиторийларда эшләтеп җибәрүне чикләргә кирәк.

БАРЛЫК ЯҢАЛЫКЛАРНЫ УКУ