Уязвимости РОСА (ROSA Linux): CVE, БДУ ФСТЭК и мониторинг
Уязвимости РОСА (ROSA Linux) из реестра БДУ ФСТЭК: 1 338 записей. CVE, CVSS-оценки и сроки устранения по приказу ФСТЭК №117.
Уязвимости РОСА (ROSA Linux) из БДУ ФСТЭК
Показаны уязвимости с подтверждённой эксплуатацией (KEV, EPSS ≥ 10%, exploit). Всего в БДУ: 1 338.
Уязвимость модуля mod_proxy веб-сервера Apache HTTP Server, позволяющая нарушителю осуществить SSRF-атаку
Уязвимость реализации протокола HTTP/2, связанная с возможностью формирования потока запросов в рамках уже установленного сетевого соединения, без открытия новых сетевых соединений и без подтверждения
Уязвимость библиотеки libwebp для кодирования и декодирования изображений в формате WebP, связанная с чтением за границами буфера в памяти, позволяющая нарушителю выполнить произвольный код
Уязвимость функции mod_rewrite веб-сервера Apache HTTP Server, позволяющая нарушителю выполнить произвольный код
Уязвимость функции parse_args() программы системного администрирования Sudo, позволяющая нарушителю повысить свои привилегии до уровня root
Уязвимость функций copy_page_to_iter_pipe и push_pipe ядра операционной системы Linux, позволяющая нарушителю перезаписать содержимое страничного кэша произвольных файлов
Уязвимость модуля MPM веб-сервера Apache HTTP, связанная с использованием памяти после её освобождения, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а так
Уязвимость динамического загрузчика ld.so библиотеки glibc, позволяющая нарушителю выполнить произвольный код c повышенными привилегиями
Уязвимость микропрограммного обеспечения коммутаторов NETGEAR ProSafe Plus JGS516PE, связанная с отсутствием защиты служебных данных, позволяющая нарушителю вызвать отказ в обслуживании
Уязвимость программы для системного администрирования sudo, связанная с включением функций из недостоверной контролируемой области при использовании опции "-R" ("--chroot"), позволяющая нарушителю вып
Почему важно отслеживать уязвимости РОСА (ROSA Linux)
РОСА (ROSA Linux) — семейство отечественных ОС от АО «НТЦ ИТ РОСА»: настольная редакция РОСА Хром, серверные сборки и собственная платформа виртуализации ROSA Virtualization. Продукт сильно ориентирован на рабочий стол и активно внедряется в госсекторе и образовании. Отсюда специфика уязвимостей: помимо ядра Linux и системных библиотек, в БДУ ФСТЭК попадают компоненты десктоп-окружения (графический стек, браузер, офисные пакеты) и гипервизора ROSA Virtualization на базе QEMU/KVM, где ошибка может привести к побегу из виртуальной машины. НТЦ ИТ РОСА устраняет уязвимости плановыми обновлениями и бюллетенями безопасности, но между регистрацией CVE и выходом патча остаётся окно риска. Приказ ФСТЭК №117 задаёт SLA: CVSS 9.0+ — 24 часа, 7.0–8.9 — 7 дней; для значимых объектов КИИ действует приказ №239, для ИСПДн — №21. КиберОснова привязывает уязвимости из БДУ ФСТЭК к вашим ИТ-активам. Срок устранения — плановая дата задачи ИБ, исполнитель получает уведомление о сроке.
Сроки устранения по приказу ФСТЭК №117
Приказ ФСТЭК № 117 (п. 38) задаёт сроки устранения уязвимостей по уровню опасности: критические — не более 24 часов, высокие — не более 7 календарных дней. Для средних и низких сроки определяет внутренний регламент по защите информации. Вместо устранения допускаются компенсирующие меры. Методика оценки КЗИ ФСТЭК добавляет контроль критических уязвимостей: на узлах, доступных из интернета, обновление не должно ждать установки больше 30 дней с публикации, на рабочих станциях и серверах — больше 90 дней.
CVSS 9.0–10.0
24 часа
CVSS 7.0–8.9
7 дней
CVSS 4.0–6.9
По регламенту
CVSS 0.1–3.9
По регламенту
Полезные ресурсы
Автоматизируйте мониторинг уязвимостей РОСА (ROSA Linux)
SGRC-платформа КиберОснова: загрузка БДУ ФСТЭК по расписанию (периодичность задаёт администратор), задачи ИБ с ответственным и сроком, уведомления.
