Уязвимости 1С:Предприятие: CVE, БДУ ФСТЭК и мониторинг
Уязвимости 1С:Предприятие из реестра БДУ ФСТЭК: 76 записей. CVE, CVSS-оценки и сроки устранения по приказу ФСТЭК №117.
Уязвимости 1С:Предприятие из БДУ ФСТЭК
Показаны уязвимости с подтверждённой эксплуатацией (KEV, EPSS ≥ 10%, exploit). Всего в БДУ: 76.
Уязвимость компонента desktop_app/file.ajax.php?action=uploadfile модуля main сервиса для управления бизнесом Битрикс24, позволяющая нарушителю вызвать отказ в обслуживании
Уязвимость модуля «vote» системы управления содержимым сайтов (CMS) 1С-Битрикс: Управление сайтом, связанная с возможностью отправки специально сформированных сетевых пакетов, позволяющая нарушителю з
Уязвимость системы управления содержимым сайта (CMS) 1С-Битрикс, связанная с недостаточной защитой регистрационных данных, позволяющая нарушителю получить доступ к аутентификационным данным от прокси-
Уязвимость системы управления содержимым сайта (CMS) 1С-Битрикс, связанная с недостаточной защитой регистрационных данных, позволяющая нарушителю получить доступ к учетным данным контроллера домена (A
Уязвимость системы управления содержимым сайта (CMS) 1С-Битрикс, связанная с недостаточной защитой регистрационных данных, позволяющая нарушителю получить доступ к аутентификационным данным от SMTP-се
Уязвимость модуля landing сервиса для управления бизнесом Битрикс24 исистемы управления содержимым сайтов (CMS) 1С-Битрикс: Управление сайтом, связанная с неверным управлением именами файлов для PHP-ф
Уязвимость системы управления содержимым сайтов (CMS) 1С-Битрикс: Управление сайтом, связанная с недостатками процедуры аутентификации, позволяющая нарушителю получить доступ к конфиденциальной информ
Уязвимость системы управления содержимым сайтов (CMS) 1С-Битрикс: Управление сайтом, существующая из-за непринятия мер по защите структуры веб-страницы, позволяющая нарушителю внедрить текст с вредоно
Уязвимость инструмента разработчика «1С:ERP. Управление холдингом», связанная с неверным управлением генерацией кода, позволяющая нарушителю выполнить произвольный код
Уязвимость инструмента разработчика «1С:Библиотека стандартных подсистем», связанная с недостатками управления процессом генерации кода, позволяющая нарушителю выполнить произвольный код
Почему важно отслеживать уязвимости 1С:Предприятие
1С:Предприятие — платформа, на которой работают бухгалтерия, кадры, управленческий учёт и ERP практически каждой российской организации. Уязвимости 1С опасны доступом к финансовым данным и персональным данным сотрудников. Типовые CVE: межсайтовый скриптинг XSS (CWE-79) в веб-клиенте, инъекция команд ОС (CWE-78) через серверные вызовы, недостаточная защита учётных данных (CWE-522). Фирма «1С» выпускает патчи через платформу обновлений, но многие организации используют устаревшие версии. Мониторинг уязвимостей 1С через БДУ ФСТЭК критичен для ИСПДн — база 1С почти всегда содержит ПДн сотрудников.
Сроки устранения по приказу ФСТЭК №117
Приказ ФСТЭК № 117 (п. 38) задаёт сроки устранения уязвимостей по уровню опасности: критические — не более 24 часов, высокие — не более 7 календарных дней. Для средних и низких сроки определяет внутренний регламент по защите информации. Вместо устранения допускаются компенсирующие меры. Методика оценки КЗИ ФСТЭК добавляет контроль критических уязвимостей: на узлах, доступных из интернета, обновление не должно ждать установки больше 30 дней с публикации, на рабочих станциях и серверах — больше 90 дней.
CVSS 9.0–10.0
24 часа
CVSS 7.0–8.9
7 дней
CVSS 4.0–6.9
По регламенту
CVSS 0.1–3.9
По регламенту
Полезные ресурсы
Автоматизируйте мониторинг уязвимостей 1С:Предприятие
SGRC-платформа КиберОснова: загрузка БДУ ФСТЭК по расписанию (периодичность задаёт администратор), задачи ИБ с ответственным и сроком, уведомления.
