ПЕРЕЧЕНЬ уязвимостей программного обеспечения, создающих угрозы безопасности информации для информационной инфраструктуры Российской Федерации

ПЕРЕЧЕНЬ

уязвимостей программного обеспечения, создающих угрозы безопасности информации для информационной инфраструктуры Российской Федерации

 

 

1. Уязвимость драйвера JDBC pgjdbc для подключения Java-программ к базе данных PostgreSQL (BDU:2024-01541, уровень опасности по CVSS 3.0 – критический), связанная с непринятием мер по защите структуры SQL-запроса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код путем отправки специально сформированного SQL-запроса.

В случае невозможности установки обновления программного обеспечения рекомендуется принять следующие компенсирующие меры:

1) осуществить использование режима запроса по умолчанию;

2) при настройке свойств соединения не использовать значение параметра preferQueryMode=simple;

3) использовать средства межсетевого экранирования для ограничения возможности удалённого доступа.

2. Уязвимость системы управления контентом Joomla! (BDU:2024-01542, уровень опасности по CVSS 3.0 – высокий), связанная с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код.

В случае невозможности установки обновления программного обеспечения рекомендуется принять следующие компенсирующие меры:

1) использовать антивирусное программное обеспечение для отслеживания средств эксплуатации уязвимости;

2) использовать средства межсетевого экранирования для ограничения возможности удалённого доступа;

3) использовать виртуальные частные сети для организации удаленного доступа.

3. Уязвимость веб-интерфейса управления кластерами Apache Kafka kafka-ui (BDU:2024-01565, уровень опасности по CVSS 3.0 – высокий), связанная
с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код
с помощью специально созданного запроса к конечной точке /api/clusters/local/topics/{topic}/messages.

До выхода обновления программного обеспечения рекомендуется принять следующие компенсирующие меры:

1) закомментировать функцию groovyScriptFilter в файле MessageFilters.java;

2) использовать антивирусное программное обеспечение для отслеживания средств эксплуатации уязвимости;

3) использовать средства межсетевого экранирования для ограничения возможности удалённого доступа;

4) использовать виртуальные частные сети для организации удаленного доступа.

4. Уязвимость реализации протокола внешнего пограничного шлюза (eBGP) операционной системы Cisco NX-OS (BDU:2024-01671, уровень опасности по CVSS 3.0 – высокий), связанная с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании путём отправки специально сформированного eBGP-трафика.

В случае невозможности установки обновления программного обеспечения рекомендуется принять следующие компенсирующие меры:

1) использовать средства межсетевого экранирования для ограничения удалённого доступа;

2) использовать системы обнаружения и предотвращения вторжений для отслеживания возможностей эксплуатации уязвимости.

5. Уязвимость программной платформы Node.js (BDU:2024-01672, уровень опасности по CVSS 3.0 – высокий), связанная с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код с повышенными привилегиями при обработке исключения CAP_NET_BIND_SERVICE.

В целях предотвращения возможности эксплуатации данной уязвимости рекомендуется установить обновление программного обеспечения в соответствии с Методиками.

6. Уязвимость почтового сервера Microsoft Exchange Server (BDU: 2024-01319, уровень опасности по CVSS 3.0 – критический), связанная с утечкой учетных данных NTLM в результате неправомерного доступа к ресурсу. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии.

В случае невозможности установки обновления программного обеспечения рекомендуется настроить расширенную защиту для аутентификации (EPA) для серверов Exchange.

7. Уязвимость функции Internet Shortcut Files Security операционных систем Windows (BDU: 2024-01320, уровень опасности по CVSS 3.0 – высокий), связанная с ошибками в настройках безопасности. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить обход ограничений безопасности путём открытия пользователем специально сформированного файла.

В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры:

1) использовать антивирусное программное обеспечение для отслеживания средств эксплуатации уязвимости и контроля файлов, полученных из недоверенных источников;

2) использовать замкнутую программную среду для работы с файлами, полученными из недоверенных источников;

3) использовать систему обнаружения и предотвращения вторжений для отслеживания попыток эксплуатации уязвимости.

8. Уязвимость модуля HTTP/3 QUIC веб-серверов NGINX Plus, NGINX OSS (BDU: 2024-01321, уровень опасности по CVSS 3.0 – высокий), связанная с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании путём отправки специально сформированных запросов.

В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры:

1) отключить модуль HTTP/3 в конфигурации NGINX;

2) использовать средства межсетевого экранирования для ограничения возможности удалённого доступа;

3) использовать виртуальные частные сети для организации удаленного доступа.

9. Уязвимость почтового клиента Microsoft Outlook (BDU: 2024-01322, уровень опасности по CVSS 3.0 – критический), связанная с ошибками при обработке входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путём открытия пользователем специально сформированного URL-адреса.

В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры:

1) использовать средства межсетевого экранирования для ограничения возможности перехода по вредоносным ссылкам;

2) использовать антивирусное программное обеспечение для отслеживания средств эксплуатации уязвимости;

3) использовать системы обнаружения и предотвращения вторжений для отслеживания попыток эксплуатации уязвимости.

10. Уязвимость файла Quick.cgi операционных систем QTS, QuTS hero, QuTScloud сетевых устройств Qnap (BDU: 2024-01358, уровень опасности по CVSS 3.0 – критический), существующая в связи с непринятием мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнять произвольные команды.

В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры:

1) ограничить доступ к устройствам под управлением операционных систем QTS и QuTS hero из общедоступных сетей;

2) использовать средства межсетевого экранирования для ограничения возможности удаленного доступа;

3) использовать виртуальные частные сети для организации удаленного доступа;

4) использовать системы обнаружения и предотвращения вторжений для отслеживания попыток эксплуатации уязвимости.

11. Уязвимость компонента DNSSEC реализации протокола DNS сервера DNS BIND (BDU: 2024-01359, уровень опасности по CVSS 3.0 – высокий), связанная с алгоритмической сложностью и неограниченным распределением ресурсов при создании зоны DNS. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании.

В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры:

1) отключить проверку DNSSEC;

2) использовать средства межсетевого экранирования для ограничения возможности удалённого доступа.

12. Уязвимость функции refresh materialized view concurrently системы управления базами данных PostgreSQL (BDU:2024-01121, уровень опасности по CVSS 3.0 – высокий), связанная с ошибками управления привилегиями при обработке и проверке параметров командной строки. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнять произвольные SQL-команды.

В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры:

1) произвести минимизацию пользовательских привилегий;

2) отключить (удалить) неиспользуемые учётные записи пользователей;

3) использовать средства межсетевого экранирования уровня веб-приложений для ограничения возможности удалённого доступа;

4) использовать виртуальные частные сети для организации удаленного доступа.

13. Уязвимость службы (демона) fgfmd операционной системы FortiOS (BDU:2024-01122, уровень опасности по CVSS 3.0 – критический), связанная
с использованием неконтролируемых форматных строк при обработке двоичных файлов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код путём отправки специально сформированных запросов.

В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры:

1) для каждого интерфейса удалить доступ fgfm путем настройки интерфейсов в командной строке (CLI) операционной системы следующим образом (например):

"config system interface

          edit "portX"

                    set allowaccess ping https ssh fgfm

          next

end"

на следующее:

"config system interface

          edit "portX"

                    set allowaccess ping https ssh

          next

end";

2) использовать средства межсетевого экранирования уровня веб-приложений для ограничения возможности удалённого доступа;

3) использовать виртуальные частные сети для организации удаленного доступа.

14. Уязвимость компонента защиты от фишинга и вредоносных программ SmartScreen операционных систем Windows (BDU:2024-01289, уровень опасности по CVSS 3.0 – высокий), связанная с ошибками в настройках безопасности. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти ограничения безопасности путем открытия пользователем специально сформированного вредоносного файла.

В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры:

1) использовать антивирусные средства защиты для отслеживания средств эксплуатации уязвимостей;

2) реализовать использование замкнутой программной среды для работы
с файлами, полученными из недоверенных источников.

15. Уязвимость функции eapol_auth_key_handle демона iNet Wireless (BDU:2024-1425, уровень опасности по CVSS 3.0 – высокий), связанная
с ошибками при реализации четырехстороннего рукопожатия. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, подключиться к защищённой Wi-Fi-сети путём отправки специально сформированного сообщения.

В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры:

1) ограничить работу в режиме точки доступа;

2) отключить автоматическое переподключение к сетям Wi-Fi;

3) использовать виртуальные частные сети для организации удаленного доступа.

16. Уязвимость программного средства разграничения доступа SolarWinds Access Rights Manager (ARM) (BDU:2024-1461, уровень опасности по CVSS 3.0 – критический), связанная с возможностью обхода каталога с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код.

В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры:

1) использовать средства межсетевого экранирования уровня веб-приложений для ограничения возможности удалённого доступа;

2) использовать средства обнаружения и предотвращения вторжений;

3) ограничить доступ из внешних сетей;

4) использовать виртуальные частные сети для организации удаленного доступа.

17. Уязвимость модуля расширенной аутентификации VMware Enhanced Authentication Plug-in (EAP) (BDU:2024-1508, уровень опасности по CVSS 3.0 – критический), связанная с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии путём перехвата билетов Active Directory.

В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры:

1) удалить плагин EAP;

2) использовать средства межсетевого экранирования для ограничения возможности удалённого доступа;

3) использовать антивирусные средства для отслеживания средств эксплуатации уязвимости;

4) использовать системы обнаружения и предотвращения вторжений.

18. Уязвимость веб-сервера Atlassian Confluence Server и дата центра Confluence Data Center (BDU:2024-1509, уровень опасности по CVSS 3.0 – высокий), связанная с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код.

В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры:

1) использовать антивирусные средства для отслеживания средств эксплуатации уязвимости;

2) использовать средства обнаружения и предотвращения вторжений для отслеживания попыток эксплуатации уязвимости;

3) использовать средства межсетевого экранирования для ограничения возможности удалённого доступа;

4) ограничить доступ к программному средству из общедоступных сетей;

5) использовать виртуальные частные сети для организации удаленного доступа.

19. Уязвимость программного средства организации удалённого доступа ConnectWise ScreenConnect (BDU:2024-1532, уровень опасности по CVSS 3.0 – высокий), связанная с неверным ограничением имени пути к каталогу
с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код.

20. Уязвимость программного средства организации удалённого доступа ConnectWise ScreenConnect (BDU:2024-1531, уровень опасности по CVSS 3.0 – критический), связанная с обходом процедуры аутентификации посредством использования альтернативного пути или канала. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код.

В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры:

1) использовать системы обнаружения и предотвращения вторжений для отслеживания индикаторов компрометации;

2) использовать средства межсетевого экранирования для ограничения возможности удалённого доступа;

3) использовать виртуальные частные сети для организации удаленного доступа.

21. Уязвимость компонента bitrixsetup.php системы управления веб-проектами 1С-Битрикс (BDU:2024-1501, уровень опасности по CVSS 3.0 – низкий), связанная с отсутствием защиты служебных данных. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ на чтение файлов в операционной системе

В случае невозможности установки обновления программного обеспечения необходимо убедиться, что файл bitrixsetup.php удален из корня сайта после установки.