Уязвимости MySQL: CVE, БДУ ФСТЭК и мониторинг
Уязвимости MySQL из реестра БДУ ФСТЭК: 1 175 записей. CVE, CVSS-оценки и сроки устранения по приказу ФСТЭК №117.
Уязвимости MySQL из БДУ ФСТЭК
Показаны уязвимости с подтверждённой эксплуатацией (KEV, EPSS ≥ 10%, exploit). Всего в БДУ: 1 175.
Уязвимость реализации механизма сопоставления действий DefaultActionMapper программной платформы Apache Struts, позволяющая нарушителю выполнить произвольный код
Уязвимость сервера приложений Apache Tomcat, связанная с отсутствием ограничений на загрузку файлов, позволяющая нарушителю выполнить произвольный код
Уязвимость Apache Jserv Protocol - коннектора сервера приложений Apache Tomcat, позволяющая нарушителю выполнить произвольный код
Уязвимость программной платформы Apache Struts, существующая из-за некорректной обработки выражений Object Graph Navigation Language, позволяющая нарушителю выполнить произвольный код
Уязвимость реализации класса ParametersInterceptor программной платформы Apache Struts, позволяющая нарушителю оказать воздействие на целостность защищаемой информации
Уязвимость реализации метода getClass программной платформы Apache Struts, позволяющая нарушителю выполнить произвольный код
Уязвимость Java-библиотеки для преобразования объектов в XML или JSON формат XStream, связанная с восстановлением в памяти недостоверных данных, позволяющая нарушителю выполнить произвольные команды
Уязвимость реализации механизма сопоставления действий DefaultActionMapper программной платформы Apache Struts, позволяющая нарушителю проводить фишинг-атаки
Уязвимость системы управления базами данных MySQL, позволяющая нарушителю вызвать отказ в обслуживании
Уязвимость компонента Spring Framework программного продукта Oracle Retail Order Broker, позволяющая нарушителю получить полный контроль над приложением
Почему важно отслеживать уязвимости MySQL
MySQL — вторая по популярности СУБД после PostgreSQL в российских организациях. Oracle выпускает Critical Patch Updates (CPU) ежеквартально, закрывая десятки CVE за раз. Типовые уязвимости MySQL в БДУ ФСТЭК: повышение привилегий через хранимые процедуры, DoS через неоптимальные запросы, утечка данных через information_schema. Для ИСПДн на MySQL мониторинг CVE обязателен — срок устранения задаёт внутренний регламент оператора; в ГИС действуют сроки п. 38 приказа ФСТЭК № 117: критические — 24 часа, высокие — 7 календарных дней. При миграции на PostgreSQL рекомендуем параллельный мониторинг обеих СУБД.
Сроки устранения по приказу ФСТЭК №117
Приказ ФСТЭК № 117 (п. 38) задаёт сроки устранения уязвимостей по уровню опасности: критические — не более 24 часов, высокие — не более 7 календарных дней. Для средних и низких сроки определяет внутренний регламент по защите информации. Вместо устранения допускаются компенсирующие меры. Методика оценки КЗИ ФСТЭК добавляет контроль критических уязвимостей: на узлах, доступных из интернета, обновление не должно ждать установки больше 30 дней с публикации, на рабочих станциях и серверах — больше 90 дней.
CVSS 9.0–10.0
24 часа
CVSS 7.0–8.9
7 дней
CVSS 4.0–6.9
По регламенту
CVSS 0.1–3.9
По регламенту
Полезные ресурсы
Автоматизируйте мониторинг уязвимостей MySQL
SGRC-платформа КиберОснова: загрузка БДУ ФСТЭК по расписанию (периодичность задаёт администратор), задачи ИБ с ответственным и сроком, уведомления.
