Уязвимости ОС ОН «Стрелец»: CVE, БДУ ФСТЭК и мониторинг
Уязвимости ОС ОН «Стрелец» из реестра БДУ ФСТЭК: 3 111 записей. CVE, CVSS-оценки и сроки устранения по приказу ФСТЭК №117.
Уязвимости ОС ОН «Стрелец» из БДУ ФСТЭК
Показаны уязвимости с подтверждённой эксплуатацией (KEV, EPSS ≥ 10%, exploit). Всего в БДУ: 3 111.
BDU:2021-05969Уязвимость компонента JNDI библиотеки журналирования Java-программ Apache Log4j2, позволяющая нарушителю выполнить произвольный код
BDU:2021-04820Уязвимость модуля mod_proxy веб-сервера Apache HTTP Server, позволяющая нарушителю осуществить SSRF-атаку
BDU:2021-04903Уязвимость веб-сервера Apache HTTP Server, связанная с недостатками ограничения имени пути к каталогу, позволяющая нарушителю выполнить произвольный код или прочитать произвольные файлы в целевой сист
BDU:2022-00327Уязвимость библиотеки для обработки метаданных в файлах мультимедиа ExifTool, связанная с неверной нейтрализация особых элементов в выходных данных, позволяющая нарушителю получить доступ к конфиденци
BDU:2021-04904Уязвимость веб-сервера Apache HTTP Server, связанная с недостатками проверки пути к каталогам, позволяющая нарушителю выполнить произвольный код
BDU:2022-00892Уязвимость системы управления базами данных (СУБД) Redis операционных систем Debian GNU/Linux, связанная с неверным управлением генерацией кода, позволяющая нарушителю выполнить произвольный код
BDU:2020-04016Уязвимость реализации протокола Netlogon Remote Protocol (MS-NRPC) операционных систем Windows, позволяющая нарушителю повысить свои привилегии
BDU:2020-00013Уязвимость компонента sapi/fpm/fpm/fpm_main.c расширения PHP-FPM интерпретатора языка программирования PHP, позволяющая нарушителю выполнять произвольные команды
BDU:2021-00364Уязвимость функции parse_args() программы системного администрирования Sudo, позволяющая нарушителю повысить свои привилегии до уровня root
BDU:2020-00937Уязвимость Apache Jserv Protocol - коннектора сервера приложений Apache Tomcat, позволяющая нарушителю выполнить произвольный код
Почему важно отслеживать уязвимости ОС ОН «Стрелец»
ОС ОН «Стрелец» — защищённая операционная система разработки АО «Концерн ВНИИНС им. В.В. Соломатина», созданная для обработки сведений, составляющих государственную тайну, и применения в оборонном секторе. Её отличает тройная сертификация ФСТЭК, ФСБ и Минобороны и ориентация на самые строгие классы защищённости в замкнутом контуре, где нет прямого выхода в интернет. Ядро и системные компоненты наследуют классы уязвимостей Linux — использование памяти после освобождения (CWE-416) и запись за границами буфера (CWE-787), ведущие к повышению привилегий. Патчи вендор выпускает регламентированным циклом для аттестованных систем: обновление доставляется по доверенным каналам и требует переаттестации сегмента. По приказу ФСТЭК №117 уязвимость CVSS 9.0+ устраняется за 24 часа, 7.0–8.9 — за 7 дней; для значимых объектов КИИ действует приказ №239. Автоматизируйте контроль уязвимостей «Стрелец» на SGRC-платформе КиберОснова: сопоставление реестра ИТ-активов с БДУ ФСТЭК и задачи с дедлайнами.
Сроки устранения по приказу ФСТЭК №117
Приказ ФСТЭК №117 (п. 38) устанавливает сроки устранения уязвимостей в зависимости от уровня критичности. Отсчёт начинается с момента выявления уязвимости в инфраструктуре оператора. Методика КЗИ дополнительно контролирует: уязвимости с опубликованным патчем не должны оставаться неустранёнными более 30 дней (для устройств на периметре) или 90 дней (для внутренних систем).
CVSS 9.0–10.0
24 часа
CVSS 7.0–8.9
7 дней
CVSS 4.0–6.9
30 дней
CVSS 0.1–3.9
Плановое
Полезные ресурсы
Автоматизируйте мониторинг уязвимостей ОС ОН «Стрелец»
SGRC-платформа КиберОснова: синхронизация с БДУ ФСТЭК, расчёт SLA, уведомления.