Уязвимости Android: CVE, БДУ ФСТЭК и обновления безопасности
Уязвимости Android из реестра БДУ ФСТЭК: 2 631 записей. CVE, CVSS-оценки и сроки устранения по приказу ФСТЭК №117.
Уязвимости Android из БДУ ФСТЭК
Показаны уязвимости с подтверждённой эксплуатацией (KEV, EPSS ≥ 10%, exploit). Всего в БДУ: 2 631.
Уязвимость операционной системы Windows и пакета программ Microsoft Office, позволяющая нарушителю выполнить произвольный код
Уязвимость функций copy_page_to_iter_pipe и push_pipe ядра операционной системы Linux, позволяющая нарушителю перезаписать содержимое страничного кэша произвольных файлов
Уязвимость пакета программ Microsoft Office, позволяющая нарушителю внедрить произвольный код
Уязвимость пакета программ Microsoft Office, позволяющая нарушителю выполнить произвольный код
Уязвимость пакета программ Microsoft Office, позволяющая нарушителю выполнить произвольный код
Уязвимость пакета программ Microsoft Office, позволяющая нарушителю выполнить произвольный код
Уязвимость драйвера /drivers/android/binder.c ядра операционной системы Android, позволяющая нарушителю получить полный контроль над устройством
Уязвимость программных платформ Flash Player и Adobe Integrated Runtime, позволяющая нарушителю выполнить произвольный код
Уязвимость программных платформ Adobe Integrated Runtime и Flash Player, позволяющая нарушителю выполнить произвольный код
Уязвимость программы подготовки презентаций Microsoft Powerpoint, позволяющая нарушителю выполнить произвольный код или вызвать отказ в обслуживании
Почему важно отслеживать уязвимости Android
Android — мобильная ОС с одним из самых высоких средних CVSS среди всех продуктов в БДУ ФСТЭК (8.7). Google публикует ежемесячный Android Security Bulletin с CVE, но производители устройств выпускают патчи с задержкой от 1 до 6 месяцев. Для организаций, использующих корпоративные мобильные устройства на Android (MDM-сценарии), мониторинг уязвимостей критичен: компрометация одного смартфона может дать доступ к корпоративной почте, VPN и внутренним системам. Приказ ФСТЭК №21 распространяется на мобильные устройства, обрабатывающие ПДн.
Сроки устранения по приказу ФСТЭК №117
Приказ ФСТЭК № 117 (п. 38) задаёт сроки устранения уязвимостей по уровню опасности: критические — не более 24 часов, высокие — не более 7 календарных дней. Для средних и низких сроки определяет внутренний регламент по защите информации. Вместо устранения допускаются компенсирующие меры. Методика оценки КЗИ ФСТЭК добавляет контроль критических уязвимостей: на узлах, доступных из интернета, обновление не должно ждать установки больше 30 дней с публикации, на рабочих станциях и серверах — больше 90 дней.
CVSS 9.0–10.0
24 часа
CVSS 7.0–8.9
7 дней
CVSS 4.0–6.9
По регламенту
CVSS 0.1–3.9
По регламенту
Полезные ресурсы
Автоматизируйте мониторинг уязвимостей Android
SGRC-платформа КиберОснова: загрузка БДУ ФСТЭК по расписанию (периодичность задаёт администратор), задачи ИБ с ответственным и сроком, уведомления.
