Уязвимости OpenSSL: CVE, БДУ ФСТЭК и мониторинг
Уязвимости OpenSSL из реестра БДУ ФСТЭК: 206 записей. CVE, CVSS-оценки и сроки устранения по приказу ФСТЭК №117.
Уязвимости OpenSSL из БДУ ФСТЭК
Показаны уязвимости с подтверждённой эксплуатацией (KEV, EPSS ≥ 10%, exploit). Всего в БДУ: 206.
Уязвимость программного обеспечения OpenSSL, позволяющая удаленному злоумышленнику нарушить конфиденциальность защищаемой информации
Уязвимость программного обеспечения OpenSSL, позволяющая удаленному злоумышленнику нарушить конфиденциальность, целостность и доступность защищаемой информации
Уязвимость библиотеки OpenSSL, позволяющая нарушителю проводить атаки, направленные на снижение стойкости алгоритма шифрования
Уязвимость функции модульного возведения в степень Монтгомери с постоянным временем библиотек OpenSSL и BoringSSL, позволяющая нарушителю выполнить произвольный код
Уязвимость функционала проверки сертификата X.509 библиотеки OpenSSL, позволяющая нарушителю аварийно завершить работу приложения
Уязвимость функционала проверки сертификата X.509 библиотеки OpenSSL, позволяющая нарушителю выполнить произвольный код
Уязвимость реализации криптографического алгоритма SM2 библиотеки OpenSSL, позволяющая нарушителю выполнить произвольный код
Уязвимость библиотеки OpenSSL, позволяющая нарушителю получить закрытый ключ
Уязвимость реализации сценария c_rehash библиотеки OpenSSL, позволяющая нарушителю выполнять произвольные команды
Уязвимость библиотеки OpenSSL, позволяющая нарушителю расшифровать передаваемые данные
Почему важно отслеживать уязвимости OpenSSL
OpenSSL — криптографическая библиотека, которая обеспечивает TLS-шифрование для веб-серверов, VPN, почтовых серверов и тысяч других приложений. Уязвимость в OpenSSL затрагивает всю инфраструктуру: Heartbleed (CVE-2014-0160) позволяла читать память сервера, включая приватные ключи. Современные CVE OpenSSL: переполнение буфера при обработке сертификатов, DoS через бесконечные циклы, утечка данных через timing-атаки. OpenSSL используется в составе nginx, Apache, HAProxy, PostgreSQL и большинства Linux-приложений — каждая CVE потенциально затрагивает десятки сервисов в одной организации.
Сроки устранения по приказу ФСТЭК №117
Приказ ФСТЭК № 117 (п. 38) задаёт сроки устранения уязвимостей по уровню опасности: критические — не более 24 часов, высокие — не более 7 календарных дней. Для средних и низких сроки определяет внутренний регламент по защите информации. Вместо устранения допускаются компенсирующие меры. Методика оценки КЗИ ФСТЭК добавляет контроль критических уязвимостей: на узлах, доступных из интернета, обновление не должно ждать установки больше 30 дней с публикации, на рабочих станциях и серверах — больше 90 дней.
CVSS 9.0–10.0
24 часа
CVSS 7.0–8.9
7 дней
CVSS 4.0–6.9
По регламенту
CVSS 0.1–3.9
По регламенту
Полезные ресурсы
Автоматизируйте мониторинг уязвимостей OpenSSL
SGRC-платформа КиберОснова: загрузка БДУ ФСТЭК по расписанию (периодичность задаёт администратор), задачи ИБ с ответственным и сроком, уведомления.
