BDU:2024-03305: Уязвимость программного обеспечение для управления сетью SAN Brocade SANnav, связанная с наличием недокументированного пользователя "sannav", позволяющая нарушителю повысить свои привилегии
Детали уязвимости BDU:2024-03305
Описание
Уязвимость программного обеспечение для управления сетью SAN Brocade SANnav связана с наличием недокументированного пользователя "sannav". Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии
Что делать с BDU:2024-03305
Высокая уязвимость (CVSS 8.4) должна быть устранена в приоритетном порядке. Срок по п. 38 приказа ФСТЭК № 117 — не более 7 календарных дней. Проверьте список затронутого ПО ниже и запланируйте обновление.
Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.
Оценка критичности (CVSS)
AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAV:L/AC:L/Au:N/C:C/I:C/A:CCVE — международный идентификатор
CWE-798 — захардкоженные учётные данные: пароль, ключ или токен жёстко прописан в исходном коде. Ошибка проявляется в конфигурациях по умолчанию, скриптах развёртывания и клиентских приложениях, где значение одинаково во всех копиях. Злоумышленник, получивший код или его сборку, входит в систему под заданной учётной записью.
Как атакуют и что делать ▾
Сценарий атаки
Пароль БД или API-ключ захардкожен в коде. При утечке репозитория (GitHub, дамп) атакующий получает доступ.
Последствия
Полный доступ к внешним сервисам, БД, облачным ресурсам.
Рекомендации
Храните секреты в переменных окружения или vault (HashiCorp Vault, AWS SSM). Сканируйте код на secrets.
Тактики и техники
Уязвимое ПО (1)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| Brocade Inc. | Brocade SANnav | до 2.2.0 | Не указана |
Рекомендации по устранению
Использование рекомендаций: https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/23285
SLA ФСТЭК №117
7 дней
по базовой оценке CVSS 8.4
Уточните SLA под вашу среду
Базовый балл 8.4 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.
Пересчитать CVSS с учётом средыThreat Intelligence
SSVC: Отслеживать (повышенный)
Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.
Вероятность эксплуатации в 30 дней (FIRST EPSS)
Информация
Обнаружена
2024-04-25
Опубликована
2024-04-26
Обновлена
2024-07-15
Эксплойт
Данные уточняются
Исправление
Уязвимость устранена
Статус
Подтверждена производителем
Управляйте уязвимостями, а не таблицами
Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.
- Уязвимости → активы → ответственные — цепочка за минуту
- PDF-отчёт для ФСТЭК — за один клик
Связанные уязвимости
Уязвимость программного обеспечение для управления сетью SAN Brocade SANnav, связанная с раскрытием информации через рег
Уязвимость программного обеспечение для управления сетью SAN Brocade SANnav, связанная с раскрытием системных данных неа
Уязвимость программного обеспечение для управления сетью SAN Brocade SANnav, связанная с раскрытием системных данных неа
Уязвимость демона dockerd программного обеспечение для управления сетью SAN Brocade SANnav, позволяющая нарушителю повыс
Уязвимость реализации протокола TLS программного обеспечение для управления сетью SAN Brocade SANnav, позволяющая наруши
Что добавляет КиберОснова к данным БДУ ФСТЭК
CVSS v4.0 + калькулятор
Единственный бесплатный калькулятор CVSS v4.0 на русском языке
SLA по приказу №117
Расчёт срока устранения: 24 ч для критических, 7 дней для высоких
EPSS + CISA KEV
Оценка вероятности эксплуатации и статус активных атак
Полнотекстовый поиск
По названию, CVE, CWE, описанию — русский и английский
Связанные уязвимости
Автоматический подбор по затронутому ПО
Мобильная версия
Адаптивный интерфейс для работы с телефона и планшета
Автоматизируйте управление уязвимостями
КиберОснова SGRC: импорт БДУ ФСТЭК, CVSS и привязка к активам в одном интерфейсе.
