Уязвимости Альт Линукс: CVE, БДУ ФСТЭК и мониторинг
Уязвимости Альт Линукс из реестра БДУ ФСТЭК: 7 765 записей. CVE, CVSS-оценки и сроки устранения по приказу ФСТЭК №117.
Уязвимости Альт Линукс из БДУ ФСТЭК
Показаны уязвимости с подтверждённой эксплуатацией (KEV, EPSS ≥ 10%, exploit). Всего в БДУ: 7 765.
Уязвимость модуля mod_proxy веб-сервера Apache HTTP Server, позволяющая нарушителю осуществить SSRF-атаку
Уязвимости операционной системы Альт Линукс СПТ, позволяющие удаленному злоумышленнику нарушить работоспособность устройства
Уязвимость реализации протокола HTTP/2, связанная с возможностью формирования потока запросов в рамках уже установленного сетевого соединения, без открытия новых сетевых соединений и без подтверждения
Уязвимость веб-сервера Apache HTTP Server, связанная с недостатками ограничения имени пути к каталогу, позволяющая нарушителю выполнить произвольный код или прочитать произвольные файлы в целевой сист
Уязвимость библиотеки libwebp для кодирования и декодирования изображений в формате WebP, связанная с чтением за границами буфера в памяти, позволяющая нарушителю выполнить произвольный код
Уязвимость веб-сервера Apache HTTP Server, связанная с недостатками проверки пути к каталогам, позволяющая нарушителю выполнить произвольный код
Уязвимость функции mod_rewrite веб-сервера Apache HTTP Server, позволяющая нарушителю выполнить произвольный код
Уязвимость функции parse_args() программы системного администрирования Sudo, позволяющая нарушителю повысить свои привилегии до уровня root
Уязвимость сервера приложений Apache Tomcat, связанная с принятием входных данных пути в виде внутренней точки без проверки, позволяющая нарушителю получить несанкционированный доступ к защищаемой инф
Уязвимость веб-инструмента представления данных Grafana, связанная с недостатками процедуры аутентификации, позволяющая нарушителю доступ к защищаемой информации, вызвать отказ в обслуживании или повы
Почему важно отслеживать уязвимости Альт Линукс
Альт Линукс (Альт СП, Альт 8 СП, АЛЬТ СП 10) — семейство российских ОС от компании «Базальт СПО» (ранее ALT Linux Team). Сертифицированы ФСТЭК, применяются в ГИС, ИСПДн и на объектах КИИ. Пакетная база ALT основана на собственном репозитории Sisyphus, что отличает Альт от Debian-based (Astra) и RPM-based (РЕД ОС) дистрибутивов. Типовые уязвимости — переполнение буфера в системных компонентах, ошибки в ядре Linux и уязвимости прикладного ПО из репозитория. Мониторинг публикаций в БДУ ФСТЭК по ключевым словам «Альт» и «ALT» — обязательная процедура для операторов ИС.
Сроки устранения по приказу ФСТЭК №117
Приказ ФСТЭК № 117 (п. 38) задаёт сроки устранения уязвимостей по уровню опасности: критические — не более 24 часов, высокие — не более 7 календарных дней. Для средних и низких сроки определяет внутренний регламент по защите информации. Вместо устранения допускаются компенсирующие меры. Методика оценки КЗИ ФСТЭК добавляет контроль критических уязвимостей: на узлах, доступных из интернета, обновление не должно ждать установки больше 30 дней с публикации, на рабочих станциях и серверах — больше 90 дней.
CVSS 9.0–10.0
24 часа
CVSS 7.0–8.9
7 дней
CVSS 4.0–6.9
По регламенту
CVSS 0.1–3.9
По регламенту
Полезные ресурсы
Автоматизируйте мониторинг уязвимостей Альт Линукс
SGRC-платформа КиберОснова: загрузка БДУ ФСТЭК по расписанию (периодичность задаёт администратор), задачи ИБ с ответственным и сроком, уведомления.
