Уязвимости РЕД ОС: CVE, БДУ ФСТЭК и мониторинг
Уязвимости РЕД ОС из реестра БДУ ФСТЭК: 14 418 записей. CVE, CVSS-оценки и сроки устранения по приказу ФСТЭК №117.
Уязвимости РЕД ОС из БДУ ФСТЭК
Показаны уязвимости с подтверждённой эксплуатацией (KEV, EPSS ≥ 10%, exploit). Всего в БДУ: 14 418.
Уязвимость компонента JNDI библиотеки журналирования Java-программ Apache Log4j2, позволяющая нарушителю выполнить произвольный код
Уязвимость библиотеки args4j встроенного интерфейса командной строки (CLI) сервера автоматизации Jenkins, позволяющая нарушителю выполнить произвольный код
Уязвимость консоли администрирования кроссплатформенного сервера совместной работы в реальном времени Openfire, связанная с возможностью обхода пути, позволяющая нарушителю повысить свои привилегии
Уязвимость реализации протокола HTTP/2, связанная с возможностью формирования потока запросов в рамках уже установленного сетевого соединения, без открытия новых сетевых соединений и без подтверждения
Уязвимость программной платформы Apache ActiveMQ, связанная с восстановлением в памяти недостоверных данных, позволяющая нарушителю выполнить произвольный код
Уязвимость интерпретатора языка программирования PHP, существующая из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системмы, позволяющая нарушителю вып
Уязвимость компонента JNDI библиотеки журналирования Java-программ Apache Log4j2, позволяющая нарушителю выполнить произвольный код
Уязвимость библиотеки libwebp для кодирования и декодирования изображений в формате WebP, связанная с чтением за границами буфера в памяти, позволяющая нарушителю выполнить произвольный код
Уязвимость функции deliver_message() (/src/deliver.c) почтового сервера Exim, позволяющая нарушителю выполнить произвольный код
Уязвимость функции parse_args() программы системного администрирования Sudo, позволяющая нарушителю повысить свои привилегии до уровня root
Почему важно отслеживать уязвимости РЕД ОС
РЕД ОС — российская операционная система на базе CentOS/RHEL от компании Ред Софт. Используется в государственных информационных системах и на объектах критической информационной инфраструктуры. Как и другие Linux-дистрибутивы, наследует уязвимости ядра, системных библиотек (glibc, OpenSSL) и пакетной базы. Специфика РЕД ОС: собственные компоненты безопасности (PARSEC, ALD) могут иметь уязвимости, не описанные в CVE, но зарегистрированные в БДУ ФСТЭК. Организации, эксплуатирующие РЕД ОС в составе ГИС, обязаны мониторить публикации в БДУ ФСТЭК и устранять уязвимости в сроки, установленные приказом №117.
Сроки устранения по приказу ФСТЭК №117
Приказ ФСТЭК № 117 (п. 38) задаёт сроки устранения уязвимостей по уровню опасности: критические — не более 24 часов, высокие — не более 7 календарных дней. Для средних и низких сроки определяет внутренний регламент по защите информации. Вместо устранения допускаются компенсирующие меры. Методика оценки КЗИ ФСТЭК добавляет контроль критических уязвимостей: на узлах, доступных из интернета, обновление не должно ждать установки больше 30 дней с публикации, на рабочих станциях и серверах — больше 90 дней.
CVSS 9.0–10.0
24 часа
CVSS 7.0–8.9
7 дней
CVSS 4.0–6.9
По регламенту
CVSS 0.1–3.9
По регламенту
Полезные ресурсы
Автоматизируйте мониторинг уязвимостей РЕД ОС
SGRC-платформа КиберОснова: загрузка БДУ ФСТЭК по расписанию (периодичность задаёт администратор), задачи ИБ с ответственным и сроком, уведомления.
