Обновления безопасности

Проверка целостности и подлинности пакетов обновлений

1. С помощью установленного криптопровайдера «КриптоПро»

Проверить подпись пакета обновлений возможно с помощью консольной утилиты cryptcp, входящей в состав КриптоПро CSP.
Для успешной проверки подписи необходимо скачать и установить в соответствующие хранилища цепочку сертификатов, списки отзыва и сам сертификат подписи. Ссылки на скачивание:

Корневой сертификат головного УЦ Минкомсвязи России

Список отзыва головного УЦ Минкомсвязи России
Промежуточный сертификат УЦ АО «ЕЭТП»
Список отзыва головного УЦ АО «ЕЭТП»
Сертификат подписи пакетов ООО «РЕД СОФТ»

Затем загрузите на компьютер пакет обновления и файл подписи.

Для проверки подписи выполните команду:
/opt/cprocsp/bin/amd64/cryptcp -verify -verall -detached <имя файла пакета обновления> <имя файла подписи пакета>
Пример команды:
/opt/cprocsp/bin/amd64/cryptcp -verify -verall -detached /home/user/pkgs/testfile.rpm /home/user/sgns/testfile.rpm.sgn

Так же возможна массовая проверка подписей. Для удобства загрузите пакеты обновлений в один каталог (например pkgs), а файлы подписи в другой (например sgns) и выполните команду:
/opt/cprocsp/bin/amd64/cryptcp -vsignf -dir <каталог подписей> <маска файлов>
Пример команды:
/opt/cprocsp/bin/amd64/cryptcp -vsignf -dir /home/user/sgns /home/user/pkgs/*

2. С помощью онлайн сервиса проверки электронной подписи КриптоПро DSS

Перейдите по ссылке на страницу проверки электронной подписи сервиса КриптоПро DSS: https://dss.cryptopro.ru/Verify/Verify/
В поле «Документ для проверки» выберите файл подписи.

В поле «Формат подписи» выберите вариант «Подпись в формате CMS».

В блоке «Параметры» укажите «Отсоединенная подпись», «Подпись данных» и «Алгоритм хеширования»«GR 34.11-2012 256».
В блоке «Исходный документ» выберите пакет обновления, соответствующий загруженному файлу подписи.
В блоке «Дополнительные проверки сертификата» установите флаг «Проверка требований к квалифицированному сертификату».

Нажмите кнопку «Проверить».
В результате должна открыться страница с результатом проверки ЭП, где «Результат проверки» должен быть «Подпись действительна».

3. С помощью менеджера пакетов ОС

Проверить дайджесты и подписи скачанного пакета можно командой:
# rpm --checksig <имя пакета>.rpm
Например:
# rpm --checksig ppp-2.4.7-22.el7.x86_64.rpm
ppp-2.4.7-22.el7.x86_64.rpm: digests Ок

Проверить информацию о пакете можно командой:
# rpm -qi <имя пакета>.rpm
Например:
# rpm -qi ppp-2.4.7-22.el7.x86_64.rpm
...
Packager : RED SOFT
Vendor : RED SOFT


Уязвимость firefox (CVE-2021-38503, CVE-2021-38504, CVE-2021-38506, CVE-2021-38507, CVE-2021-38508, CVE-2021-38509)

1. Описание уязвимости:

CVE-2021-38503 Уязвимость браузера Mozilla Firefox, связана с тем, что правила песочницы iframe не были правильно применены к таблицам стилей XSLT. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, использовать iframe для обхода ограничений, таких как выполнение сценариев или перемещение по фрейму верхнего уровня.
CVE-2021-38504 Уязвимость браузера Mozilla Firefox, связана с ошибкой использования после освобождения при взаимодействии с диалоговым окном выбора файла элемента ввода HTML с помощью webkitdirectoryset. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обманом заставить жертву открыть специально созданный веб-сайт, вызвать ошибку использования после освобождения и выполнить произвольный код в системе.
CVE-2021-38506 Уязвимость браузера Mozilla Firefox, связана с тем, что браузер мог перейти в полноэкранный режим без уведомления или предупреждения пользователя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнять атаки с подменой пользовательского интерфейса браузера.
CVE-2021-38507 Уязвимость браузера Mozilla Firefox, связана с тем, что функция шифрования HTTP2 позволяет прозрачно обновлять соединение до TLS, сохраняя при этом визуальные свойства HTTP-соединения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти политику одинакового происхождения в службах, размещенных на других портах.
CVE-2021-38508 Уязвимость браузера Mozilla Firefox, связана с тем, что браузер отображает сообщение о действительности формы в правильном месте одновременно с запросом разрешения (например, для геолокации). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, скрыть подсказку, в результате чего пользователь мог обманом предоставить разрешение.
CVE-2021-38509 Уязвимость браузера Mozilla Firefox, связана с тем, что браузер некорректно обрабатывает необычные последовательности событий, контролируемых злоумышленником. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, отобразить alert()диалоговое окно Javascript с произвольным (хотя и без стиля) содержимым поверх произвольной веб-страницы по выбору злоумышленника.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России:

2. Возможные меры по устранению уязвимости

— Не использовать браузер Mozilla Firefox
или
— Установить обновления безопасности для пакета:
firefox
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/firefox-91.3.0-1.el7.2.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость Rust Programming Language (CVE-2021-42574)

1. Описание уязвимости:

CVE-2021-42574 Уязвимость в реализации Rust Unicode, связана с некорректной реализацией двунаправленного алгоритма в спецификации Unicode. Эксплуатация уязвимости может позволить нарушителю, использовать уязвимость для кодирования исходного кода для компиляторов, принимающих Unicode, таким образом, чтобы целевые уязвимости были незаметны для проверяющих.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России:

2. Возможные меры по устранению уязвимости

— Запретить использование компиляитора Rust
или
— Установить обновления безопасности для пакета:
unicode-ucd
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/unicode-ucd-14.0.0-1.el7.2.noarch.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость firefox (CVE-2021-38496, CVE-2021-38500)

1. Описание уязвимости:

CVE-2021-38496 Уязвимость браузера Mozilla Firefox, связана с ошибкой освобождения памяти во время операций над MessageTasks. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обманом заставить жертву посетить специально созданную веб-страницу, вызвать ошибку использования после освобождения памяти и выполнить произвольный код в системе.
CVE-2021-38500 Уязвимость браузера Mozilla Firefox, связана с граничной ошибкой при обработке содержимого HTML. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обманом заставить жертву посетить специально созданную веб-страницу, вызвать повреждение памяти и выполнить произвольный код в системе.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России:

2. Возможные меры по устранению уязвимости

— Не использовать браузер Mozilla Firefox
или
— Установить обновления безопасности для пакета:
firefox
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/firefox-78.15.0-1.el7.2.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость firefox, thunderbird (CVE-2021-38493)

1. Описание уязвимости:

CVE-2021-38493 Уязвимость браузера Mozilla Firefox и почтового клиента Mozilla Thunderbird, связана с граничной ошибкой при обработке содержимого HTML. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, создать специальную веб-страницу, обманом заставить жертву открыть ее, вызвать повреждение памяти.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России:

2. Возможные меры по устранению уязвимости

— Не использовать браузер Mozilla Firefox и почтовый клиент Mozilla Thunderbird
или
— Установить обновления безопасности для пакета:
thunderbird
firefox
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/thunderbird-78.14.0-1.el7.2.x86_64.rpm
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/firefox-78.14.0-1.el7.2.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость hivex (CVE-2021-3622)

1. Описание уязвимости:

CVE-2021-3622 Уязвимость библиотеки hivex, связана с граничной ошибкой при обработке дочерних объектов веток реестра. Эксплуатация уязвимости может позволить нарушителю, создать специальный файл реестра Windows (hive), который заставит hivex рекурсивно вызывать функцию _get_children (), что в конечном итоге приведет к переполнению стека и сбою библиотеки.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России:

2. Возможные меры по устранению уязвимости

— Не использовать библиотеку hivex
или
— Установить обновления безопасности для пакета:
hivex
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/hivex-1.3.21-0.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость libspf2 (CVE-2021-20314)

1. Описание уязвимости:

CVE-2021-20314 Уязвимость библиотеки libspf2, связана с граничной ошибкой при обработке макросов SPF в libspf2. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать переполнение стека буфера.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России:

2. Возможные меры по устранению уязвимости

— Отключить библиотеку libspf2
или
— Установить обновления безопасности для пакета:
libspf2
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/libspf2-1.2.10-25.20150405gitd57d79fd.el7.2.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость Apache Tomcat (CVE-2021-33037)

1. Описание уязвимости:

CVE-2021-33037 Уязвимость контейнера сервлетов Apache Tomcat, связана с тем, что приложение неправильно проверяет HTTP-запросы, связанные с обработкой заголовков. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, отправить на сервер специально созданный HTTP-запрос и переправить произвольные HTTP-заголовки.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России:

2. Возможные меры по устранению уязвимости

— Отказаться от использования контейнера сервлетов Apache Tomcat
или
— Установить обновления безопасности для пакета:
tomcat
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/tomcat-9.0.52-0.el7.noarch.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость Eventlet (CVE-2021-21419)

1. Описание уязвимости:

CVE-2021-21419 Уязвимость библиотеки Eventlet, связана с тем, что приложение неправильно контролирует потребление внутренних ресурсов при обработке больших фреймов веб-сокетов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, отправить сильно сжатый фрейм данных и выполнить атаку отказа в обслуживании (DoS).
Идентификатор Банка данных угроз безопасности информации ФСТЭК России:

2. Возможные меры по устранению уязвимости

— Отказаться от использования в проектах бибилиотеки Eventlet
или
— Установить обновления безопасности для пакета:
python3-eventlet
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/python3-eventlet-0.31.0-1.el7.noarch.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость Redis (CVE-2021-32761)

1. Описание уязвимости:

CVE-2021-32761 Уязвимость резидентной СУБД Redis, связана с целочисленным переполнением в BITFIELD, которое влияет на аутентифицированные клиентские соединения в 32-битных версиях. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, передать приложению специально созданные данные и вызвать целочисленное переполнение.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-04030

2. Возможные меры по устранению уязвимости

— Отказаться от использования СУБД Redis
или
— Установить обновления безопасности для пакета:
Redis
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/redis-6.2.5-1.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость PostgreSQL (CVE-2021-3677)

1. Описание уязвимости:

CVE-2021-3677 Уязвимость СУБД PostgreSQL, связана с тем, что приложение неправильно обрабатывает SQL-запросы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, сформировать специальный запрос и прочитать содержимое памяти.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-04174

2. Возможные меры по устранению уязвимости

— Если в настройках сервера указано в параметре max_worker_processes=0, известные версии этой атаки невозможны. Однако неоткрытые варианты атаки могут не зависеть от этой настройки.
— Отказаться от использования СУБД PostgreSQL
или
— Установить обновления безопасности для пакета:
PostgreSQL
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/postgresql-11.13-1.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость firefox, thunderbird

1. Описание уязвимости:

CVE-2021-29986 Уязвимость браузера Mozilla Firefox и почтового клиента Mozilla Thunderbird, связана с состоянием гонки getaddrinfo при разрешении имен DNS. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, создать специальную веб-страницу, обманом заставить жертву открыть ее, вызвать повреждение памяти.
CVE-2021-29988 Уязвимость браузера Mozilla Firefox и почтового клиента Mozilla Thunderbird, связана с граничными условиями при обработке встроенного элемента списка как блочного элемента. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, создать специальную веб-страницу, обманом заставить жертву открыть ее, вызвать ошибку чтения за пределами допустимого диапазона.
CVE-2021-29984 Уязвимость браузера Mozilla Firefox и почтового клиента Mozilla Thunderbird, связана с граничной ошибкой при выполнении JIT-оптимизации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать повреждение памяти.
CVE-2021-29980 Уязвимость браузера Mozilla Firefox и почтового клиента Mozilla Thunderbird, связана с ошибкой границы в объекте холста. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать повреждение памяти.
CVE-2021-29985 Уязвимость браузера Mozilla Firefox и почтового клиента Mozilla Thunderbird, связана с ошибкой использования после освобождения в методе MediaCacheStream::NotifyDataReceived. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обманом заставить жертву открыть специальную веб-страницу и вызвать ошибку использования после освобождения.
CVE-2021-29989 Уязвимость браузера Mozilla Firefox и почтового клиента Mozilla Thunderbird, связана с граничной ошибкой при обработке содержимого HTML. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать повреждение памяти.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России:

2. Возможные меры по устранению уязвимости

Запретить использование браузера Mozilla Firefox и почтового клиента Mozilla Thunderbird
или
Установить обновления безопасности для пакета:
firefox, thunderbird
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/thunderbird-78.13.0-1.el7.2.x86_64.rpm
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/firefox-78.13.0-1.el7.2.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость util-linux (CVE-2021-37600)

1. Описание уязвимости:

CVE-2021-37600 Уязвимость пакета служебных утилит командной строки util-linux, связана с целочисленным переполнением в ipcutils.c. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, передать приложению специальные данные и вызвать целочисленное переполнение.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-03990

2. Возможные меры по устранению уязвимости

Установить обновления безопасности для пакета:
util-linux
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/util-linux-2.30.2-5.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость GNU Aspell (CVE-2019-25051, CVE-2019-17544)

1. Описание уязвимости:

CVE-2019-25051 Уязвимость утилиты для проверки орфографии GNU Aspell, связана с граничной ошибкой в acommon :: ObjStack :: dup_top (вызывается из acommon :: StringMap :: add и acommon :: Config :: lookup_list). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать переполнение буфера на основе кучи и выполнить произвольный код в целевой системе.
CVE-2019-17544 Уязвимость утилиты для проверки орфографии GNU Aspell, связана с граничными условиями при обработке изолированного символа в функции acommon :: unescape () в файле common / getdata.cpp в GNU Aspell. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, создать специальный файл Excel, обманом заставить жертву открыть его, вызвать ошибку чтения за пределами границ и прочитать содержимое памяти в системе или вызвать сбой приложения.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-03922, BDU:2020-01343

2. Возможные меры по устранению уязвимости

Отключить проверку орфографии с использованием GNU Aspell
или
— установить обновления безопасности для пакета:
Aspell
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/aspell-0.60.7-2.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость утилиты для сбора почты fetchmail (CVE-2021-36386)

1. Описание уязвимости:

CVE-2021-36386 Уязвимость утилиты для сбора почты fetchmail, связана с тем, что приложение неправильно инициализируется при регистрации сообщений об ошибках. Эксплуатация уязвимости может позволить нарушителю, вызвать состояние ошибки на стороне fetchmail и получить доступ к конфиденциальной информации.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-03928

2. Возможные меры по устранению уязвимости

Не использовать утилиту fetchmail
или
— установить обновления безопасности для пакета:
fetchmail
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/fetchmail-6.3.24-8.el7.2.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость системы управления Moodle (CVE-2021-36403 - CVE-2021-36392)

1. Описание уязвимости:

CVE-2021-36403 Уязвимость системы управления Moodle, связана с тем, что приложение недостаточно полно проверяет введенные пользователем данные при обработке уведомлений по электронной почте, содержащих HTML. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, в уведомлениях электронной почты отправить обратную ссылку на сообщение, скрытое с помощью HTML, что может представлять собой риск фишинга.
CVE-2021-36402 Уязвимость системы управления Moodle, связана с тем, что приложение недостаточно полно проверяет введенные пользователем данные при обработке имен пользователей в электронных письмах с подтверждением учетной записи. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, изменить содержимое электронной почты с помощью специально созданного имени пользователя и выполнить фишинговую атаку.
CVE-2021-36401 Уязвимость системы управления Moodle, связана с тем, что приложение недостаточно полно очищает вводимые пользователем данные при экспорте в форматы данных, поддерживающие HTML. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вводить и выполнять произвольный HTML-код и код сценария в браузере пользователя в контексте уязвимого веб-сайта.
CVE-2021-36400 Уязвимость системы управления Moodle, связана с тем, что приложение неправильно проверяет разрешения при удалении URL-адресов календаря. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, удалить URL-адреса календаря, принадлежащие другим пользователям приложения.
CVE-2021-36399 Уязвимость системы управления Moodle, связана с тем, что приложение недостаточно полно очищает предоставленные пользователем данные, передаваемые через идентификационный номер пользователя для отмены экранов викторины. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вводить и выполнять произвольный HTML-код и код сценария в браузере пользователя в контексте уязвимого веб-сайта.
CVE-2021-36398 Уязвимость системы управления Moodle, связана с тем, что приложение недостаточно полно очищает предоставленные пользователем данные, передаваемые через идентификационный номер пользователя в список токенов веб-службы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вводить и выполнять произвольный HTML-код и код сценария в браузере пользователя в контексте уязвимого веб-сайта.
CVE-2021-36397 Уязвимость системы управления Moodle, связана с тем, что приложение недостаточно полно проверяет права при удалении сообщений. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, удалять сообщения, принадлежащие другим пользователям веб-приложений.
CVE-2021-36396 Уязвимость системы управления Moodle, связана с тем, что приложение недостаточно полно проверяет введенные пользователем данные. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти ограничения заблокированных cURL хостов / разрешенных портов и обмануть приложение, чтобы оно инициировало запросы к произвольным системам.
CVE-2021-36395 Уязвимость системы управления Moodle, связана с тем, что приложение неправильно обрабатывает URL-адреса файловых репозиториев. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, создать специальный URL-адрес хранилища файлов и выполнить атаку отказа в обслуживании.
CVE-2021-36394 Уязвимость системы управления Moodle, связана с тем, что приложение неправильно проверяет ввод в плагине аутентификации Shibboleth. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, отправить специально созданный запрос и выполнить произвольный код в целевой системе.
CVE-2021-36393 Уязвимость системы управления Moodle, связана с тем, что приложение недостаточно полно очищает предоставленные пользователем данные в библиотеке, извлекающей последние курсы пользователя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, отправить специальный запрос уязвимому приложению и выполнить произвольные команды SQL в базе данных приложения.
CVE-2021-36392 Уязвимость системы управления Moodle, связана с тем, что приложение недостаточно полно очищает предоставленные пользователем данные при получении зачисленных курсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, отправить специальный запрос уязвимому приложению и выполнить произвольные команды SQL в базе данных приложения.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-03914, BDU:2021-03915, BDU:2021-03916, BDU:2021-03917, BDU:2021-03918, BDU:2021-03919, BDU:2021-03920, BDU:2021-03921, BDU:2021-03923, BDU:2021-03924, BDU:2021-03925,BDU:2021-03926

2. Возможные меры по устранению уязвимости

Не использовать системe управления Moodle
или
— установить обновления безопасности для пакета:
Moodle
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/moodle-3.11.2-0.1.el7.noarch.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость утилиты Fail2ban (CVE-2021-32749)

1. Описание уязвимости:

CVE-2021-32749 Уязвимость сервиса fail2ban, связана с тем, что приложение неправильно проверяет ввод в функции mail-whois. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, отправить специальный запрос и выполнить произвольный код в целевой системе.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-03927

2. Возможные меры по устранению уязвимости

Не использовать сервис Fail2ban
или
— установить обновления безопасности для пакета:
Fail2ban
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/fail2ban-0.9.7-2.el7.noarch.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость утилиты Apache Ant (CVE-2021-36374, CVE-2021-36373)

1. Описание уязвимости:

CVE-2021-36374 Уязвимость утилиты Apache Ant, связана с тем, что приложение неправильно контролирует потребление внутренних ресурсов при обработке ZIP-архивов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать исчерпание ресурсов и выполнить атаку отказа в обслуживании (DoS).
CVE-2021-36373 Уязвимость утилиты Apache Ant, связана с тем, что приложение неправильно контролирует потребление внутренних ресурсов при обработке TAR-архивов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать исчерпание ресурсов и выполнить атаку отказа в обслуживании (DoS).
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-03752, BDU:2021-03753

2. Возможные меры по устранению уязвимости

Не использовать в проектах утилиту Apache Ant
или
— установить обновления безопасности для пакета:
ant
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/ant-1.10.11-1.el7.noarch.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость почтового клиента Mozilla Thunderbird (CVE-2021-29970, CVE-2021-30547, CVE-2021-29976, CVE-2021-29969)

1. Описание уязвимости:

CVE-2021-29970 Уязвимость почтового клиента Mozilla Thunderbird, связана c ошибкой обработки содержимого HTML. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать ошибку использования после освобождения и выполнить произвольный код в системе.
CVE-2021-30547 Уязвимость почтового клиента Mozilla Thunderbird, связана c граничной ошибкой при обработке ненадежного HTML-содержимого в ANGLE. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, создать специальную веб-страницу, обманом заставить жертву открыть ее, инициировать запись за пределами допустимого диапазона и выполнить произвольный код в целевой системе.
CVE-2021-29976 Уязвимость почтового клиента Mozilla Thunderbird, связана c граничной ошибкой при обработке HTML. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, создать специальную веб-страницу, обманом заставить жертву открыть ее, вызвать повреждение памяти и выполнить произвольный код в целевой системе.
CVE-2021-29969 Уязвимость почтового клиента Mozilla Thunderbird, связана c способом обработки ответов сервера IMAP, отправленных до процесса STARTTLS. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнять атаку MitM и отправлять произвольные команды IMAP до подтверждения STARTTLS и выполнять их после завершения подтверждения.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-03659, BDU:2021-03660, BDU:2021-03661, BDU:2021-03662

2. Возможные меры по устранению уязвимости

Не использовать почтовый клиент Mozilla Thunderbird
или
— установить обновления безопасности для пакета:
thunderbird
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/thunderbird-78.12.0-1.el7.2.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость браузера Mozilla Firefox (CVE-2021-29970, CVE-2021-29976)

1. Описание уязвимости:

CVE-2021-29970 Уязвимость браузера Mozilla Firefox, связана с ошибкой освобождения в функциях доступности при обработке содержимого HTML. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, создать веб-страницу, обманом заставить жертву открыть ее, вызвать ошибку использования после освобождения и выполнить произвольный код в системе.
CVE-2021-29976 Уязвимость браузера Mozilla Firefox, связана с граничной ошибкой при обработке содержимого HTML. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, создать веб-страницу, обманом заставить жертву открыть ее, вызвать повреждение памяти и выполнить произвольный код в целевой системе.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-03659,BDU:2021-03661

2. Возможные меры по устранению уязвимости

Не использовать браузер firefox
или
— установить обновления безопасности для пакета:
firefox
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/firefox-78.12.0-1.el7.2.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость синтаксического анализатора PyYAML (CVE-2020-14343)

1. Описание уязвимости:

Уязвимость синтаксического анализатора PyYAML, связана с недостаточной проверкой введенных пользователем данных при обработке ненадежных файлов YAML с помощью метода full_load или загрузчика FullLoader. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, передать приложению специально созданный ввод и выполнить произвольный код в системе.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-03488

2. Возможные меры по устранению уязвимости

Запретить использование в проектах PyYAML
или
— установить обновления безопасности для пакета:
PyYAML
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/python2-pyyaml-5.4.1-1.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Множественные уязвимости libwebp

1. Описание уязвимости:

CVE-2020-36332 Уязвимость библиотеки libwebp для кодирования и декодирования изображений в формате WebP, связана с неправильным контролем потребления внутренних ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать исчерпание ресурсов и выполнить атаку отказа в обслуживании (DoS).
CVE-2018-25014 Уязвимость библиотеки libwebp для кодирования и декодирования изображений в формате WebP, связана c использованием унифицированной переменной в функции ReadSymbol(). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обманом заставить жертву открыть специально созданный файл и выполнить произвольный код в системе.
CVE-2020-36331 Уязвимость библиотеки libwebp для кодирования и декодирования изображений в формате WebP, связана c граничными условиями в функции ChunkAssignData(). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, создать специальный файл, обманом заставить жертву открыть его, вызвать выход за границу памяти ошибки и прочитать содержимое памяти в системе.
CVE-2020-36330 Уязвимость библиотеки libwebp для кодирования и декодирования изображений в формате WebP, связана c граничными условиями в функции ChunkVerifyAndAssign(). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, создать специальный файл, обманом заставить жертву открыть его, вызвать выход за границу памяти ошибки и прочитать содержимое памяти в системе.
CVE-2018-25013 Уязвимость библиотеки libwebp для кодирования и декодирования изображений в формате WebP, связана c граничными условиями в функции ShiftBytes(). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, создать специальный файл, обманом заставить жертву открыть его, вызвать выход за границу памяти ошибки и прочитать содержимое памяти в системе.
CVE-2018-25012 Уязвимость библиотеки libwebp для кодирования и декодирования изображений в формате WebP, связана c граничными условиями в функции WebPMuxCreateInternal(). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, создать специальный файл, обманом заставить жертву открыть его, вызвать выход за границу памяти ошибки и прочитать содержимое памяти в системе.
CVE-2018-25010 Уязвимость библиотеки libwebp для кодирования и декодирования изображений в формате WebP, связана c граничными условиями в функции ApplyFilter(). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, создать специальный файл, обманом заставить жертву открыть его, вызвать выход за границу памяти ошибки и прочитать содержимое памяти в системе.
CVE-2018-25009 Уязвимость библиотеки libwebp для кодирования и декодирования изображений в формате WebP, связана c граничными условиями в функции WebPMuxCreateInternal(). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, создать специальный файл, обманом заставить жертву открыть его, вызвать выход за границу памяти ошибки и прочитать содержимое памяти в системе.
CVE-2018-25011 Уязвимость библиотеки libwebp для кодирования и декодирования изображений в формате WebP, связана c граничными условиями в функции PutLE16(). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, создать специальный файл, обманом заставить жертву открыть его, вызвать переполнение буфера на основе кучи и выполнить произвольный код в целевой системе.
CVE-2020-36328 Уязвимость библиотеки libwebp для кодирования и декодирования изображений в формате WebP, связана c граничными условиями в функции WebPDecodeRGBInto(). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, создать специальный файл, обманом заставить жертву открыть его, вызвать переполнение буфера на основе кучи и выполнить произвольный код в целевой системе.
CVE-2020-36329 Уязвимость библиотеки libwebp для кодирования и декодирования изображений в формате WebP, связана c ошибкой использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, создать специальный файл, обманом заставить жертву открыть его, вызвать ошибку освобождения памяти и выполнить произвольный код в целевой системе.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-03107, BDU:2021-03106, BDU:2021-03105, BDU:2021-03104, BDU:2021-03102, BDU:2021-03104, BDU:2021-03098, BDU:2021-03097, BDU:2021-03099, BDU:2021-03100, BDU:2021-03101

2. Возможные меры по устранению уязвимости

Запретить открытие файлов в формате WebP
или
— установить обновления безопасности для пакета:
libwebp
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/libwebp-0.6.1-4.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость в средстве для фильтрации спама SpamAssassin (CVE-2020-1946)

1. Описание уязвимости:

CVE-2020-1946
Уязвимость средства для фильтрации спама SpamAssassin, связана с неправильной проверкой входных данных при обработке файлов конфигурации правил (.cf). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, используя специально созданный файл конфигурации правил, выполнить произвольные команды ОС в целевой системе.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-01910

2. Возможные меры по устранению уязвимости

Не использовать средства для фильтрации спама SpamAssassin
или
— установить обновления безопасности для пакета:
spamassassin
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/spamassassin-3.4.6-1.el7.2.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость в почтовом клиенте Mozilla Thunderbird (CVE-2021-29964, CVE-2021-29967)

1. Описание уязвимости:

CVE-2021-29964
Уязвимость почтового клиента Mozilla Thunderbird, связана с граничными условиями. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, посылать WM_COPYDATA сообщения, которые клиент будет обрабатывать неправильно и приведет к чтению вне границ.
CVE-2021-29967
Уязвимость почтового клиента Mozilla Thunderbird, связана с ошибкой определения границ при обработке содержимого HTML. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, создать веб-страницу, обманом заставить жертву открыть ее, вызвать повреждение памяти и выполнить произвольный код в целевой системе.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-02898, BDU:2021-02858

2. Возможные меры по устранению уязвимости

Не использовать почтовый клиент Mozilla Thunderbird
или
— установить обновления безопасности для пакета:
thunderbird
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/thunderbird-78.11.0-1.el7.2.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость в браузере Mozilla Firefox (CVE-2021-29967)

1. Описание уязвимости:

Уязвимость браузера Mozilla Firefox, позволяющая нарушителю выполнить произвольный код в целевой системе.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России:

2. Возможные меры по устранению уязвимости

Не использовать браузер Mozilla Firefox
или
— установить обновления безопасности для пакета:
firefox
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/firefox-78.11.0-1.el7.2.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Множественные уязвимости сервера Exim

1. Описание уязвимости:

CVE-2020-28007 Уязвимость агента пересылки сообщений Exim, связана с символической ссылкой в каталоге журнала Exim. Эксплуатация уязвимости может позволить нарушителю, создать специальную символическую ссылку на критический файл в системе и перезаписать его с правами приложения.
CVE-2020-28020 Уязвимость агента пересылки сообщений Exim, связана с целочисленным переполнением в функции receive_msg (). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, отправлять специально созданные данные, запускать целочисленное переполнение и выполнять произвольный код в целевой системе.
CVE-2020-28026 Уязвимость агента пересылки сообщений Exim, связана с недостаточной проверкой введенных пользователем данных в функции spool_read_header (). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вводить строки и управлять очередью почты.
CVE-2020-28022 Уязвимость агента пересылки сообщений Exim, связана с граничной ошибкой при обработке ненадежных входных данных в функции extract_option (). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, создать специальное сообщение для почтового сервера, вызвать ошибку записи или чтения за пределами границ и выполнить произвольный код в целевой системе.
CVE-2020-28021 Уязвимость агента пересылки сообщений Exim, связана с недостаточной проверкой введенных пользователем данных при обработке символов новой строки. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, ввести новый символ строки в файл заголовка спула и изменить почтовую очередь.
CVE-2020-28023 Уязвимость агента пересылки сообщений Exim, связана c граничными условиями в функции smtp_setup_msg (). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, отправить системе специальное сообщение, вызвать ошибку чтения за пределами допустимого диапазона и прочитать содержимое памяти в системе.
CVE-2020-28017 Уязвимость агента пересылки сообщений Exim, связана c целочисленным переполнением в функции receive_add_recipient (). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, передать в приложение специальные данные, вызвать целочисленное переполнение и выполнить произвольный код в целевой системе.
CVE-2020-28008 Уязвимость агента пересылки сообщений Exim, связана c неправильными ограничениями безопасности на каталог спула. Эксплуатация уязвимости может позволить нарушителю повышать привилегии в системе.
CVE-2020-28009 Уязвимость агента пересылки сообщений Exim, связана c целочисленным переполнением в функции get_stdinput (). Эксплуатация уязвимости может позволить нарушителю выполнять произвольный код с повышенными привилегиями.
CVE-2020-28012 Уязвимость агента пересылки сообщений Exim, связана c отсутствием флага закрытия при выполнении для привилегированного канала. Эксплуатация уязвимости может позволить нарушителю повышать привилегии в системе.
CVE-2020-28015 Уязвимость агента пересылки сообщений Exim, связана c недостаточной проверкой введенных пользователем данных при обработке символов новой строки. Эксплуатация уязвимости может позволить нарушителю ввести новый символ строки в файл заголовка спула и выполнить произвольные команды.
CVE-2020-28016 Уязвимость агента пересылки сообщений Exim, связана c граничной ошибкой в функции parse_fix_phrase (). Эксплуатация уязвимости может позволить нарушителю инициировать запись и выполнение произвольного кода в целевой системе с повышенными привилегиями.
CVE-2020-28013 Уязвимость агента пересылки сообщений Exim, связана c граничной ошибкой в функции parse_fix_phrase (). Эксплуатация уязвимости может позволить нарушителю запускать переполнение буфера на основе кучи и выполнять произвольный код с повышенными привилегиями.
CVE-2020-28010 Уязвимость агента пересылки сообщений Exim, связана c граничной ошибкой в функции main (). Эксплуатация уязвимости может позволить нарушителю инициировать запись и выполнение произвольного кода в целевой системе с повышенными привилегиями.
CVE-2020-28011 Уязвимость агента пересылки сообщений Exim, связана c граничной ошибкой в функции queue_run (). Эксплуатация уязвимости может позволить нарушителю запускать переполнение буфера на основе кучи и выполнять произвольный код с повышенными привилегиями.
CVE-2020-28014 Уязвимость агента пересылки сообщений Exim, связана c небезопасным использованием файлов PID. Эксплуатация уязвимости может позволить нарушителю передать имя файла PID и использовать его для повышения привилегий в системе.
CVE-2020-28019 Уязвимость агента пересылки сообщений Exim, связана c неправильным управлением внутренними ресурсами в приложении. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, передать приложению специально созданные данные и выполнить атаку отказа в обслуживании (DoS).
CVE-2020-28024 Уязвимость агента пересылки сообщений Exim, связана c целочисленным переполнением в функции smtp_ungetc (). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, отправить в приложение специальные данные, вызвать целочисленное переполнение и выполнить произвольный код в целевой системе.
CVE-2020-28018 Уязвимость агента пересылки сообщений Exim, связана c ошибкой использования после освобождения в tls-openssl.c. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, отправить на почтовый сервер специальные данные, вызвать ошибку использования после освобождения и выполнить произвольный код в системе с привилегиями root.
CVE-2020-28025 Уязвимость агента пересылки сообщений Exim, связана c граничными условиями в функции pdkim_finish_bodyhash (). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать ошибку чтения за пределами допустимого диапазона и прочитать содержимое памяти в системе.
CVE-2021-27216 Уязвимость агента пересылки сообщений Exim, связана c отсутствием необходимых ограничений безопасности. Эксплуатация уязвимости может позволить нарушителю удалять произвольные файлы в системе.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-02768, BDU:2021-02764, BDU:2021-02763, BDU:2021-02765, BDU:2021-02762, BDU:2021-02761, BDU:2021-02770, BDU:2021-02760, BDU:2021-02759, BDU:2021-02758, BDU:2021-02757, BDU:2021-02756, BDU:2021-02755, BDU:2021-02754, BDU:2021-02753, BDU:2021-02752, BDU:2021-02751, BDU:2021-02767, BDU:2021-02766, BDU:2021-02769, BDU:2021-02750

2. Возможные меры по устранению уязвимости

Не использовать агента пересылки сообщений Exim
или
— установить обновления безопасности для пакета:
exim
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/exim-4.94.2-1.el7.2.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Удаленное выполнение кода в nginx(CVE-2021-23017)

1. Описание уязвимости:

Уязвимость позволяет удаленному злоумышленнику выполнить произвольный код в целевой системе.
Уязвимость существует из-за единичной ошибки в ngx_resolver_copy()функции при обработке ответов DNS. Удаленный злоумышленник может вызвать ошибку «не на единицу», записать символ точки (‘.’, 0x2E) за пределы в выделенном буфере кучи и выполнить произвольный код в системе.
Успешное использование этой уязвимости может привести к полной компрометации уязвимой системы.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-02749

2. Возможные меры по устранению уязвимости

Не использовать сервер nginx
или
— установить обновления безопасности для пакета:
nginx
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/nginx-1.14.1-4.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Отказ в обслуживании в libX11(CVE-2021-31535)

1. Описание уязвимости:

Уязвимость позволяет локальному пользователю выполнить атаку типа «отказ в обслуживании» (DoS).
Уязвимость существует из-за недостаточной проверки названий цветов в функции XLookupColor (). Локальный пользователь может запустить в системе специально созданное приложение и выполнить атаку отказа в обслуживании (DoS).
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-02747

2. Возможные меры по устранению уязвимости

Установить обновления безопасности для пакета:
libx11
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/libX11-1.6.12-4.el7.2.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Отказ в обслуживании в Libxml2 (CVE-2021-3541)

1. Описание уязвимости:

Уязвимость позволяет удаленному злоумышленнику выполнить атаку типа «отказ в обслуживании» (DoS).
Уязвимость существует из-за недостаточной проверки введенных пользователем данных. Удаленный злоумышленник может передать приложению специально созданные входные данные и выполнить атаку отказа в обслуживании (DoS).
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-02772

2. Возможные меры по устранению уязвимости

Не использовать приложения зависимые от libxml2
или
— установить обновления безопасности для пакета:
libxml2
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/libxml2-2.9.8-9.el7.2.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость библиотеки Nettle(CVE-2021-20305)

1. Описание уязвимости:

Уязвимость библиотеки Nettle, связанная с использованием неработающего криптографического алгоритма и позволяющая удаленному злоумышленнику, не прошедшему проверку подлинности, выполнить произвольный код.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-02748

2. Возможные меры по устранению уязвимости

Запретить работу с библиотекой Nettle
или
— установить обновления безопасности для пакета:
Nettle
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/nettle-3.4-3.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Множественные уязвимости в ISC BIND (CVE-2021-25216, CVE-2021-25215, CVE-2021-25214)

1. Описание уязвимости:

CVE-2021-25216
Уязвимость существует из-за граничной ошибки в расширении GSS-TSIG. Удаленный злоумышленник может отправлять на сервер специально созданные запросы, запускать переполнение буфера и выполнять произвольный код в системе.
Для успешного использования уязвимости необходимо, чтобы named был настроен для использования реализации SPNEGO путем установки значений для параметров конфигурации tkey-gssapi-keytabили tkey-gssapi-credential(часто используемых с Samba, а также в средах со смешанными серверами, которые объединяют серверы BIND с контроллерами домена Active Directory).
CVE-2021-25215
Уязвимость существует из-за достижимого утверждения при обработке записей DNAME. Удаленный злоумышленник может заставить named добавить один и тот же набор RRset в раздел ANSWER более одного раза, вызвать сбой утверждения и сбой службы. Эта проблема затрагивает как авторитетные, так и рекурсивные серверы во время передачи зон.
CVE-2021-25214
Уязвимость существует из-за достижимого утверждения при нажатии запросов IXFR. Поток IXFR, содержащий записи SOA с именем владельца, отличным от вершины переданной зоны, может вызвать named непреднамеренное удаление принимающим сервером записи SOA для рассматриваемой зоны из базы данных зоны. Это приводит к ошибке утверждения при выполнении следующего запроса на обновление SOA для этой зоны. Когда уязвимая версия named получает искажённый IXFR, запускающий описанную выше ошибку, named процесс завершится из-за неудачного утверждения при следующем обновлении переданной вторичной зоны.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-02773, BDU:2021-02778, BDU:2021-02777

2. Возможные меры по устранению уязвимости

Отказать от использования Bind
или
— установить обновления безопасности для пакета:
bind
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/bind-9.11.4-9.P2.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Множественные уязвимости в Moodle (CVE-2021-32472 - CVE-2021-32478)

1. Описание уязвимости:

CVE-2021-32478
Уязвимость существует из-за недостаточной очистки предоставленных пользователем данных в конечной точке авторизации LTI. Удаленный злоумышленник может обманом заставить жертву перейти по специально созданной ссылке и выполнить произвольный HTML-код и код сценария в браузере пользователя в контексте уязвимого веб-сайта.
CVE-2021-32472
Уязвимость существует из-за чрезмерного вывода данных приложением. Преподаватель с удаленной аутентификацией, экспортирующий форум в формат CSV, может получить CSV форумов со всех курсов.
CVE-2021-32473
Уязвимость существует из-за чрезмерного вывода данных приложением. Учащийся, прошедший удаленную проверку подлинности, может просмотреть свою оценку викторины до ее выпуска с помощью веб-службы викторины.
CVE-2021-32474
Уязвимость позволяет удаленному пользователю выполнять произвольные SQL-запросы в базе данных.
Уязвимость существует из-за недостаточной очистки предоставленных пользователем данных в вызове XML-RPC. Удаленный администратор может отправить специально созданный запрос уязвимому приложению и выполнить произвольные команды SQL в базе данных приложения.
CVE-2021-32475
Уязвимость существует из-за недостаточной очистки предоставленных пользователем данных в рамках идентификационных номеров, отображаемых в отчете об оценке викторины. Удаленный злоумышленник может внедрить и выполнить произвольный HTML-код и код сценария в браузере пользователя в контексте уязвимого веб-сайта.
CVE-2021-32476
Уязвимость существует из-за недостаточной проверки введенных пользователем данных в области черновых файлов. Удаленный злоумышленник может передать приложению специально созданные входные данные и выполнить атаку типа «отказ в обслуживании» (DoS).
CVE-2021-32477
Уязвимость существует из-за того, что последний раз, когда пользователь заходил в мобильное приложение, отображается на странице его профиля. Удаленный злоумышленник может получить несанкционированный доступ к конфиденциальной информации в системе.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-02734, BDU:2021-02735, BDU:2021-02736, BDU:2021-02737, BDU:2021-02738, BDU:2021-02740, BDU:2021-02739

2. Возможные меры по устранению уязвимости

Отказать от использования Moodle
или
— установить обновления безопасности для пакета:
moodle
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/moodle-3.11-0.1.el7.noarch.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Множественные уязвимости в PostgreSQL (CVE-2021-32027, CVE-2021-32028, CVE-2021-32029)

1. Описание уязвимости:

CVE-2021-32027
Уязвимость позволяет удаленному злоумышленнику выполнить произвольный код в целевой системе.
CVE-2021-32028, CVE-2021-32029
Уязвимость позволяет удаленному пользователю получить доступ к конфиденциальной информации.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-02776, BDU:2021-02775, BDU:2021-02774

2. Возможные меры по устранению уязвимости

Отказать от использования СУБД Postgresql
или
— установить обновления безопасности для пакета:
Postgresql
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/postgresql-static-11.12-1.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Множественные уязвимости в Mozilla Thunderbird (CVE-2021-29957, CVE-2021-29956)

1. Описание уязвимости:

Уязвимость позволяет удаленному злоумышленнику обойти введенные ограничения безопасности.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-02725, BDU:2021-02726

2. Возможные меры по устранению уязвимости

Отказать от использования шифрования в почтовом приложении thunderbird
или
— установить обновления безопасности для пакета:
thunderbird
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/thunderbird-78.10.2-1.el7.2.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Множественные уязвимости в Squid (CVE-2021-28651, CVE-2021-28662, CVE-2021-28652, CVE-2021-31806, CVE-2021-31808)

1. Описание уязвимости:

Уязвимость позволяет удаленному злоумышленнику выполнить атаку типа «отказ в обслуживании» (DoS).
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-02732, BDU:2021-02730, BDU:2021-02731, BDU:2021-02729, BDU:2021-02728, BDU:2021-02727

2. Возможные меры по устранению уязвимости

Не использовать прокси-сервер Squid
или
— установить обновления безопасности для пакета:
squid
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/squid-5.0.6-1.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Множественные уязвимости в Redis (CVE-2021-29477,CVE-2021-29478)

1. Описание уязвимости:

Уязвимость существует из-за целочисленного переполнения в команде STRALGO LCS. Удаленный злоумышленник может передать в приложение специально созданные данные, вызвать целочисленное переполнение и выполнить произвольный код в целевой системе.
Уязвимость существует из-за целочисленного переполнения в команде COPY для больших intset. Удаленный злоумышленник может передать в приложение специально созданные данные, вызвать целочисленное переполнение и выполнить произвольный код в целевой системе.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России:

2. Возможные меры по устранению уязвимости

Прекратить работу приложения Redis
или
— установить обновления безопасности для пакета (при необходимости с зависимостями):
redis
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/redis-6.2.3-1.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимости в VLC со специально оформленными списками воспроизведения

1. Описание уязвимости:

Удаленный пользователь может создать специально созданный файл, который может вызвать различные проблемы.
Можно запустить удаленное выполнение кода через специально созданный список воспроизведения и обманом заставить пользователя взаимодействовать с элементами этого списка воспроизведения.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России:

2. Возможные меры по устранению уязвимости

Пользователь должен воздерживаться от открытия файлов от ненадежных третьих лиц или доступа к ненадежным удаленным сайтам (или отключить плагины браузера VLC) до тех пор, пока не будет применен патч.
Или
— установить обновления безопасности для пакета:
vlc
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/vlc-extras-3.0.14-0.1.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Удаленное выполнение кода в Mozilla Firefox (CVE-2021-29952)

1. Описание уязвимости:

Уязвимость вызвана состоянием гонки в компонентах Web Render и потенциально может быть проэксплуатирована для выполнения кода злоумышленника.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-02451

2. Возможные меры по устранению уязвимости

Пользователь должен отказаться полностью от использования браузера firefox пока не будет применено исправление
Или
— установить обновления безопасности для пакета:
firefox
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/firefox-78.10.1-0.1.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Множественные уязвимости в Mozilla Firefox (CVE-2021-23994, CVE-2021-23995, CVE-2021-23996, CVE-2021-23997, CVE-2021-23998, CVE-2021-23999, CVE-2021-24000, CVE-2021-24001, CVE-2021-24002, CVE-2021-29945, CVE-2021-29947, CVE-2021-29946)

1. Описание уязвимости:

Уязвимости позволяют удаленному злоумышленнику скомпрометировать уязвимую систему.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-02283, BDU:2021-02282, BDU:2021-02281

2. Возможные меры по устранению уязвимости

Пользователь должен отказаться полностью от использования браузера firefox пока не будет применено исправление
Или
— установить обновления безопасности для пакета:
firefox
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/firefox-78.10.0-0.1.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Множественные уязвимости в Mozilla Thunderbird (CVE-2021-23994, CVE-2021-23995, CVE-2021-23998, CVE-2021-23961, CVE-2021-23999, CVE-2021-24002, CVE-2021-29945, CVE-2021-29946, CVE-2021-29948, CVE-2021-29950)

1. Описание уязвимости:

Уязвимости позволяют удаленному злоумышленнику скомпрометировать уязвимую систему.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-02287, BDU:2021-02286, BDU:2021-02285, BDU:2021-02284,

2. Возможные меры по устранению уязвимости

Отказать полностью от использования почтового приложения thunderbird
или
— установить обновления безопасности для пакета:
thunderbird
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/thunderbird-78.10.0-0.1.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Утечка памяти в GNU Tar (CVE-2021-20193)

1. Описание уязвимости:

Уязвимость позволяет удаленному злоумышленнику выполнить DoS-атаку на целевую систему.
Уязвимость существует из-за утечки памяти в функции read_header () в list.c. Удаленный злоумышленник может передать приложению специально созданный архив и вызвать утечку памяти, что в конечном итоге приведет к отказу в обслуживании.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-02357

2. Возможные меры по устранению уязвимости

Запретить использование архивов формат tar
или
— установить обновления безопасности для пакета:
tar
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/tar-1.26-35.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Отказ в обслуживании в BusyBox (CVE-2021-28831)

1. Описание уязвимости:

Уязвимость позволяет удаленному злоумышленнику выполнить атаку отказа в обслуживании (DoS).
Уязвимость существует из-за неправильной обработки бита ошибки в указателе результата huft_build в файле decopress_gunzip.c. Удаленный злоумышленник может передать приложению искаженные данные gzip, вызвать недействительный свободный файл и выполнить атаку типа «отказ в обслуживании» (DoS).
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-02427

2. Возможные меры по устранению уязвимости

Не использовать Busybox
или
— установить обновления безопасности для пакета:
Busybox
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/busybox-1.32.1-1.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Обновление PostgreSQL с устранением уязвимостей (CVE-2020-25695, CVE-2020-25694,CVE-2020-25696)

1. Описание уязвимости:

Уязвимость CVE-2020-25695 позволяет выполнить произвольные функции SQL с правами администратора при наличии доступа к созданию постоянных объектов в любой схеме хранения.
CVE-2020-25694 — позволяет откатить клиентское соединение до менее безопасного состояния.
CVE-2020-25696 — команда \gset в psql позволяет переопределить специальные переменные и организовать выполнение кода с правами процесса psql.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2020-05465, BDU:2020-05467, BDU:2020-05466

2. Возможные меры по устранению уязвимости

При невозможности выполнить обновление в качестве обходного пути блокирования проблемы можно отключить autovacuum и не запускать вручную операции ANALYZE, CLUSTER, REINDEX, CREATE INDEX, VACUUM FULL и REFRESH MATERIALIZED VIEW, а также не выполнять восстановление БД на основе вывода команды pg_dump. Выполнение VACUUM без опции FULL признано безопасным, как и выполнение любых команд при работе с объектами, принадлежащими пользователю.
Или обновить пакет postgresql.
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/postgresql-11.10-1.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Обход аутентификации в OpenVPN (CVE-2020-15078)

1. Описание уязвимости:

Уязвимость позволяет удалённому атакующему обойти аутентификацию и ограничения доступа для организации утечки данных о настройках VPN.
Проблема проявляется только на серверах, на которых настроено использование отложенной аутентификации (deferred_auth). Атакующий при определённом стечении обстоятельств может вынудить сервер вернуть сообщение PUSH_REPLY c данными о настройках VPN до отправки сообщения AUTH_FAILED. В сочетании с использованием параметра «—auth-gen-token» или применением пользователем собственной схему аутентификации на основе токенов, уязвимость может привести к получению доступа к VPN, используя нерабочую учётную запись.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-02221

2. Возможные меры по устранению уязвимости

Запретить использование отложенной аутентификации при использовании Openvpn
или
— установить обновления безопасности для пакета (при необходимости с зависимостями):
openvpn
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/openvpn-2.4.11-1.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Обход каталога в Apache Commons IO (CVE-2021-29425)

1. Описание уязвимости:

Уязвимость позволяет удаленному злоумышленнику выполнять атаки с обходом каталогов.
Уязвимость существует из-за ошибки проверки ввода в методе FileNameUtils.normalize при обработке последовательностей обхода каталогов, таких как «//../foo» или «\ .. foo». Удаленный злоумышленник может отправить специально созданный запрос и проверить доступность файлов в родительской папке.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-02220

2. Возможные меры по устранению уязвимости

Прекратить использование в проектах Apache Commons
или
— установить обновления безопасности для пакета (при необходимости с зависимостями):
apache-commons-io
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/apache-commons-io-2.8.0-1.el7.noarch.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Множественные уязвимости антивирусного пакета ClamAV (CVE-2021-1252, CVE-2021-1404, CVE-2021-1405)

1. Описание уязвимости:

CVE-2021-1252 — зацикливание при обработке специально оформленных XLM-файлов Excel.
CVE-2021-1404 — крах процесса при обработке специально оформленных документов PDF.
CVE-2021-1405 — крах из-за разыменования указатели NULL в парсере писем.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-02219, BDU:2021-02218, BDU:2021-02217

2. Возможные меры по устранению уязвимости

Приостановить работу антивирусного приложения ClamAV до установки обновлений
или
установить обновления безопасности для пакета:
clamav
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/clamav-0.103.2-1.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Множественные уязвимости в Mozilla Thunderbird Mozilla Firefox (CVE-2021-23953-CVE-2021-23965, CVE-2021-23991-CVE-2021-23993)

1. Описание уязвимости:

Уязвимость позволяет удаленному злоумышленнику получить доступ к потенциально конфиденциальной информации.
Уязвимость позволяет удаленному злоумышленнику провести атаку с использованием спуфинга.
Уязвимость существует из-за утечки информации из разных источников при обработке файлов PDF. Удаленный злоумышленник может создать специально созданный файл PDF, обманом заставить жертву открыть его и получить доступ к конфиденциальной информации с помощью перенаправленных запросов PDF, когда указанная информация подается в виде фрагментированных данных.
Уязвимость существует из-за неправильной обработки предоставленных пользователем данных при проверке того, имеет ли идентификатор пользователя, связанный с ключом OpenPGP, действительную самоподпись. Злоумышленник может создать созданную версию ключа OpenPGP, либо заменив исходный идентификатор пользователя, либо добавив другой идентификатор пользователя. Если Thunderbird импортирует и принимает созданный ключ, пользователь Thunderbird может ошибочно заключить, что ложный идентификатор пользователя принадлежит корреспонденту.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-02090, BDU:2021-02089, BDU:2021-02088, BDU:2021-02087, BDU:2021-02086, BDU:2021-02085, BDU:2021-02084, BDU:2021-02083, BDU:2021-02082, BDU:2021-02081, BDU:2021-02080, BDU:2021-02079, BDU:2021-02078, BDU:2021-02077, BDU:2021-02076

2. Возможные меры по устранению уязвимости

Пользователь должен воздержаться от открытия файлов от ненадежных третьих сторон (особое внимание уделив PDF файлам и файлам, подписанным ключом OpenPGP), пока не будет применено исправление или отказать полностью от использования браузера firefox и почтового приложения thunderbird.
Или
— установить обновления безопасности для пакетов:
firefox
thunderbird
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/thunderbird-78.9.1-0.1.el7.x86_64.rpm
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/firefox-78.9.0-0.1.el7.x86_64.rpm

Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Переход по ссылке в chrony (CVE-2020-14367)

1. Описание уязвимости:

CVE-2020-14367
Уязвимость позволяет удаленному злоумышленнику скомпрометировать целевую систему из-за проблем символической ссылки на сервис.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-01809

2. Возможные меры по устранению уязвимости

Не использовать сервис chrony
или
установить обновления безопасности для пакета:
chrony

Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/chrony-4.0-1.el7.x86_64.rpm

Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Множественные уязвимости в Apache Tomcat (CVE-2021-25122, CVE-2021-25329)

1. Описание уязвимости:

CVE-2021-25122
CVE-2021-25329
Уязвимость позволяет удаленному злоумышленнику получить доступ к конфиденциальной информации.
Уязвимость существует из-за неправильного управления внутренними ресурсами в приложении при обработке новых запросов на соединение h2c. Удаленный злоумышленник может отправлять на сервер специально созданные запросы и получать содержимое HTTP-ответов, передаваемых другим пользователям.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-01808, BDU:2021-01807

2. Возможные меры по устранению уязвимости

Прекратить работу сервера приложений Apache Tomcat
или
— установить обновления безопасности для пакета (при необходимости с зависимостями):
tomcat

Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/tomcat-9.0.44-1.el7.noarch.rpm

Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Переполнение буфера в Python3 (CVE-2021-3177)

1. Описание уязвимости:

CVE-2021-3177
Уязвимость способна привести к исполнению кода при обработке непроверенных чисел с плавающей запятой в обработчиках, вызывающих функции на языке Си при помощи механизма ctypes.

2. Возможные меры по устранению уязвимости

Запретить запуск python3
или
установить обновления безопасности для пакета:
python3

Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/python3-3.6.13-1.el7.x86_64.rpm

Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Множественные уязвимости в LibTIFF

1. Описание уязвимости:

CVE-2020-35524
CVE-2020-35523
CVE-2020-35522
CVE-2020-35521
Уязвимость позволяет удаленному злоумышленнику выполнить произвольный код в целевой системе.
Уязвимость существует из-за граничной ошибки при обработке изображений TIFF.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-01529, BDU:2021-01527, BDU:2021-01526, BDU:2021-01525

2. Возможные меры по устранению уязвимости

Пользователь должен воздержаться от открытия файлов формат tiff
или
— установить обновления безопасности для пакета (при необходимости с зависимостями):
Libtiff

Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/libtiff-4.1.0-4.el7.x86_64.rpm

Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Отказ в обслуживании в Open vSwitch (CVE-2020-35498)

1. Описание уязвимости:

Уязвимость позволяет удаленному злоумышленнику выполнить атаку типа «отказ в обслуживании» (DoS).
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-01134

2. Возможные меры по устранению уязвимости

Отказаться от использования приложения Open vSwitch
или
установить обновления безопасности для пакета Openvswitch с зависимостями

Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (с зависимостями при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/openvswitch-2.11.0-6.el7.x86_64.rpm

Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет(ы) командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость в PPPD (CVE-2020-8597)

1. Описание уязвимости:

Проблема (CVE-2020-8597) представляет собой уязвимость переполнения буфера стека, возникшую из-за логической ошибки в EAP (Extensible Authentication Protocol) парсере пакетов в PPPD (функции eap_request() и eap_response() в eap.c). Уязвимость предоставляет возможность без авторизации удаленно выполнить произвольный код на уязвимых системах и получить полный контроль над ними. Для этого атакующему потребуется отправить специально сформированный EAP-пакет на уязвимый PPP-клиент или сервер.

2. Возможные меры по устранению уязвимости

— отказаться от использования демона протокола PPP (Point-to-Point Protocol) pppd
или
— установить обновления безопасности.

Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
Обновлено:
ppp.x86_64 0:2.4.7-22.el7
Выполнено!

б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет:

http://repo.red-soft.ru/redos/7.2c/x86_64/updates/ppp-2.4.7-22.el7.x86_64.rpm

Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет командой:
# yum localinstall ppp-2.4.7-22.el7.x86_64.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
Обновлено:
ppp.x86_64 0:2.4.7-22.el7
Выполнено!

После выполнения обновления рекомендуется перезагрузить систему.

Уязвимость в браузере firefox (CVE-2020-6819 и CVE-2020-6820)

1. Описание уязвимости:

Обнаружены две критические уязвимости, которые могут привести к выполнению кода атакующего при обработке определённым образом оформленного контента. Предупреждается, что в сети уже выявлены факты применения данных уязвимостей для совершения атак. Проблемы вызваны обращением к уже освобождённым областям памяти (use-after-free) при обработке ReadableStream (CVE-2020-6820) и при выполнении деструктора nsDocShell (CVE-2020-6819).

2. Возможные меры по устранению уязвимости

Установить обновления безопасности.
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет:

http://repo.red-soft.ru/redos/7.2c/x86_64/updates/firefox-60.9.0-4.el7.x86_64.rpm

Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет командой:
# yum localinstall firefox-60.9.0-4.el7.x86_64.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

После выполнения обновления рекомендуется перезагрузить браузер.

Уязвимость в OpenVPN (CVE-2020-11810)

1. Описание уязвимости:

Сформирован корректирующий выпуск пакета для создания виртуальных частных сетей OpenVPN 2.4.9. В новой версии устранена уязвимость (CVE-2020-11810), позволяющая перевести сеанс клиента на новый IP-адрес, который до этого не был авторизирован. Проблема может быть использована для прерывания только что подключившегося клиента на стадии, когда уже сформирован peer-id, но не завершено согласование сессионных ключей (один клиент может остановить сеансы других клиентов).

2. Возможные меры по устранению уязвимости

— отказаться от использования виртуальных частных сетей на базе OpenVPN
или
— установить обновления безопасности.
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет:

http://repo.red-soft.ru/RedOS/7.2c/x86_64/updates/openvpn-2.4.9-1.el7.x86_64.rpm

Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет командой:
# yum localinstall openvpn-2.4.9-1.el7.x86_64.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость в Git (CVE-2020-11008, CVE-2020-5260)

1. Описание уязвимости:

Уязвимость в Git. Уязвимость затрагивает обработчики «credential.helper» и эксплуатируется при передаче специально оформленного URL, содержащего символ новой строки, пустой хост или не указанную схему запроса. При обработке подобного URL credential.helper отправляет информацию об учётных данных, не соответствующих запрошенному протоколу или хосту, к которому осуществляется обращение.

2. Возможные меры по устранению уязвимости

— отказаться от использования системы управления исходными текстами Git;
— не использовать credential.helper при обращении к публичным репозиториям и не применять «git clone» в режиме «—recurse-submodules» с непроверенными репозиториями;
или
— установить обновления безопасности для пакета: git-1.8.3
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (и зависимости при необходимости):

http://repo.red-soft.ru/redos/7.2c/x86_64/updates/git-1.8.3.1-14.el7.x86_64.rpm

Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет командой:
# yum localinstall git-1.8.3.1-14.el7.x86_64.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость в VLC (CVE-2019-19721, CVE-2020-6071, CVE-2020-6072, CVE-2020-6073, CVE-2020-6077, CVE-2020-6078, CVE-2020-6079)

1. Описание уязвимости:

Уязвимость позволяет удаленному пользователю:
— создать специальный файл изображения, который может вызвать чтение вне границ,
— отправить специально созданный запрос на обнаружение службы microdns, потенциально вызывая различные проблемы управления памятью.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2020-03597

2. Возможные меры по устранению уязвимости

Пользователь должен воздержаться от открытия файлов от ненадежных третьих сторон или доступа к ненадежным удаленным сайтам (или отключить плагины браузера VLC), пока не будет применено исправление. Пока VLC не будет обновлен не рекомендуется использовать обнаружение сети.
или
— установить обновления безопасности для пакета:
vlc-3.0.4
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (и зависимости при необходимости):

http://repo.red-soft.ru/redos/7.2c/x86_64/updates/vlc-3.0.10-1.el7.x86_64.rpm

Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет командой:
# yum localinstall vlc-3.0.10-1.el7.x86_64.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость в DNS-сервере BIND

1. Описание уязвимости:

Проблема безопасности связана с неэффективностью защиты от атак «DNS rebinding» при работе в режиме перенаправляющего запросы DNS-сервера (блок «forwarders» в настройках).
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2020-02062

2. Возможные меры по устранению уязвимости

Отключить DNS сервер BIND
или
— установить обновления безопасности для пакета:
bind-9.11.4-6
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (и зависимости при необходимости):

http://repo.red-soft.ru/redos/7.2c/x86_64/updates/bind-9.11.4-6.P2.el7.x86_64.rpm

Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет командой:
# yum localinstall bind-9.11.4-6.P2.el7.x86_64.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость в FreeRDP

1. Описание уязвимости:

Устранено восемь уязвимостей. Пять проблем могут привести к краху или утечке данных в результате чтения из областей за пределами выделенного буфера. Одна проблема приводит к целочисленному переполнению. Три проблемы могут привести к переполнению буфера в обработчиках cliprdr_server_receive_capabilities и URBDRC.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2020-02593, BDU:2020-02592, BDU:2020-02591, BDU:2020-02590, BDU:2020-02589, BDU:2020-02588, BDU:2020-02587, BDU:2020-02586

2. Возможные меры по устранению уязвимости

— отказаться от использования протокола удалённого доступа к рабочему столу RDP (Remote Desktop Protocol)
или
— установить обновления безопасности для пакета:
freerdp-2.1.0

Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (и зависимости при необходимости):

http://repo.red-soft.ru/redos/7.2c/x86_64/updates/freerdp-2.1.0-2.el7.x86_64.rpm

Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет командой:
# yum localinstall freerdp-2.1.0-2.el7.x86_64.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимости в прокси-сервере Squid

1. Описание уязвимости:

Проблемы присутствуют в коде обработки блока «@» в начале URL («user@host») и позволяют обойти правила ограничения доступа, отравить содержимое кэша и совершать атаку с использованием межсайтового скриптинга.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2020-02598, BDU:2020-02597, BDU:2020-02596, BDU:2020-02595, BDU:2020-02594

2. Возможные меры по устранению уязвимости

Не использовать прокси-сервер Squid
или
— установить обновления безопасности для пакета:
squid-3.5.27
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (и зависимости при необходимости):

http://repo.red-soft.ru/redos/7.2c/x86_64/updates/squid-3.5.27-1.el7.x86_64.rpm

Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет командой:
# yum localinstall squid-3.5.27-1.el7.x86_64.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость в VLC (CVE-2020-13428)

1. Описание уязвимости:

Уязвимость в плеере VLC 3.0.11. Уязвимость может вызывать переполнение буфера в функции hxxx_AnnexB_to_xVC().
Уязвимость потенциально позволяет организовать выполнение кода атакующего при воспроизведении специально оформленного видео в формате H.264 (Annex-B), упакованного, например, в контейнер AVI.

2. Возможные меры по устранению уязвимости

Пользователь должен воздержаться от открытия файлов от ненадежных третьих сторон или использования плеера VLC, пока не будет применено исправление.
или
— установить обновления безопасности для пакета:
vlc-3.0.11
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (и зависимости при необходимости):

http://repo.red-soft.ru/redos/7.2c/x86_64/updates/vlc-3.0.11-1.el7.x86_64.rpm

Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет командой:
# yum localinstall vlc-3.0.11-1.el7.x86_64.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость в Curl (CVE-2020-8177)

1. Описание уязвимости:

Уязвимость позволяет перезаписать локальный файл в системе при обращении к подконтрольному атакующему серверу. Проблема проявляется только при одновременном использовании опций «-J» («—remote-header-name») и «-i» («—head»). Опция «-J» позволяет сохранить файл с именем, указанным в заголовке «Content-Disposition». В случае если файл с таким именем уже существует, программа curl в штатном режиме отказывается выполнить перезапись, но в случае наличия опции «-i» логика проверки нарушается и файл перезаписывается (проверка осуществляется на этапе получения тела ответа, но при опции «-i» вначале выводятся HTTP-заголовки и они успевают сохраниться до начала обработки тела ответа). В файл записываются только HTTP-заголовки, но сервер может отдать вместо заголовков произвольные данные и они будут записаны.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2020-03241

2. Возможные меры по устранению уязвимости

Необходимо запретить использование утилиты curl.
или
— установить обновления безопасности для пакета:
curl-7.61.1
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (и зависимости при необходимости):

http://repo.red-soft.ru/redos/7.2c/x86_64/updates/curl-7.61.1-14.el7.x86_64.rpm

Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет командой:
# yum localinstall curl-7.61.1-14.el7.x86_64.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость в X.Org Server и libX11 (CVE-2020-14347, CVE-2020-14344)

1. Описание уязвимости:

CVE-2020-14347 — отсутствие инициализации памяти при выделении буферов для пиксельных карт при помощи вызова AllocatePixmap() может привести к утечке X-клиенту содержимого памяти из кучи, когда X-сервер работает с повышенными привилегиями.
CVE-2020-14344 — целочисленное переполнение в реализации XIM (Input Method) в libX11, которое может привести к повреждению областей памяти в куче при обработке специально оформленных сообщений от метода ввода.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2020-03916, BDU:2020-03915

2. Возможные меры по устранению уязвимости

Установить обновления безопасности для пакетов:
libX11* и xorg-x11*
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (и зависимости при необходимости):

http://repo.red-soft.ru/redos/7.2c/x86_64/updates/

Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет командой:
# yum localinstall libX11* xorg-x11*
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость в системной библиотеке GNU C Library (glibc) 2.32 (CVE-2016-10228,CVE-2020-10029)

1. Описание уязвимости:

CVE-2016-10228
Зацикливание в утилите iconv, проявляющееся при запуске с опцией «-c», в случае обработки некорректных многобайтовых данных.
CVE-2020-10029
Повреждение стека при вызове тригонометрических функций с псевдонулевым аргументом.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2020-04684, BDU:2020-04683

2. Возможные меры по устранению уязвимости

установить обновления безопасности для пакета:
glibc
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (и зависимости при необходимости):

http://repo.red-soft.ru/redos/7.2c/x86_64/updates/glibc-2.25-10.el7.x86_64.rpm

Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость в sudo (CVE-2021-3156)

1. Описание уязвимости:

Уязвимость позволяет получить доступ с правами root без прохождения аутентификации и без наличия необходимых полномочий. Проблема может быть эксплуатирована любым пользователем, независимо от присутствия в системных группах и наличия записи в файле /etc/sudoers. Для атаки не требуется ввод пароля пользователя, т.е. уязвимость может применяться посторонним для повышения привилегий в системе после компрометации уязвимости в непривилегированном процессе (в том числе запускаемом под пользователем «nobody»).
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-00364

2. Возможные меры по устранению уязвимости

установить обновления безопасности для пакета:
sudo
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (и зависимости при необходимости):

http://repo.red-soft.ru/redos/7.2c/x86_64/updates/sudo-1.8.29-0.1.el7.x86_64.rpm

Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Множественные уязвимости в Moodle

1. Описание уязвимости:

Обнаруженная уязвимость позволяет удаленному злоумышленнику выполнять атаки с использованием межсайтовых сценариев (XSS).
Уязвимость позволяет удаленному пользователю получить несанкционированный доступ к другим ограниченным функциям.
Уязвимость позволяет удаленному злоумышленнику выполнить атаку отказа в обслуживании (DoS).
Уязвимость позволяет удаленному администратору включать и выполнять произвольные файлы PHP на сервере.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-01194, BDU:2021-01193, BDU:2021-01192, BDU:2021-01191, BDU:2021-01190

2. Возможные меры по устранению уязвимости

Прекратить использование moodle
или
— установить обновления безопасности для пакета:
moodle
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (и зависимости при необходимости):

http://repo.red-soft.ru/redos/7.2c/x86_64/updates/moodle-3.10.1-0.1.el7.noarch.rpm

Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Уязвимость в VLC (CVE-2021-3185)

1. Описание уязвимости:

Уязвимость в реализации модуля h264parse, развиваемого проектом GStreamer (входит в набор gstreamer-plugins-bad). Проблема вызвана переполнением буфера в функции gst_h264_slice_parse_dec_ref_pic_marking и позволяет организовать выполнение своего кода при обработке в Gstreamer специально оформленных данных в формате H.264.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-01189

2. Возможные меры по устранению уязвимости

Пользователь должен воздержаться от открытия файлов от ненадежных третьих сторон или использования плеера VLC, пока не будет применено исправление.
или
— установить обновления безопасности для пакета:
vlc
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (и зависимости при необходимости):

http://repo.red-soft.ru/redos/7.2c/x86_64/updates/gstreamer1-plugins-bad-free-1.10.4-4.el7.x86_64.rpm
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/vlc-3.0.12-0.1.el7.x86_64.rpm

Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Открытое перенаправление в aiohttp (CVE-2021-21330)

1. Описание уязвимости:

Уязвимость позволяет осуществить межсайтовый скриптинг и выполнить обход ограничений безопасности.
Идентификатор Банка данных угроз безопасности информации ФСТЭК России: BDU:2021-01528

2. Возможные меры по устранению уязвимости

Необходимо запретить использование приложений использующих aiohttp.
или
— установить обновления безопасности для пакета:
python3-aiohttp с зависимостями
Установка обновлений возможна следующими способами:
а) если компьютер с установленной версией ОС имеет доступ к официальному репозиторию производителя, необходимо запустить от имени администратора обновление командой:
# yum update
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.
б) если компьютер с установленной версией ОС не имеет доступа к официальному репозиторию производителя, необходимо выполнить следующие действия:
— скачать обновленный пакет (и зависимости при необходимости):
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/python3-aiohttp-3.7.4-0.1.el7.x86_64.rpm
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/python3-async-timeout-3.0.1-0.1.el7.noarch.rpm
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/python3-multidict-4.5.2-0.1.el7.x86_64.rpm
Проверить целостность и подлинность пакета по инструкции
Установить скачанный пакет командой:
# yum localinstall *.rpm
После вывода списка обновляемых пакетов согласиться на применение обновлений нажав клавишу Y на клавиатуре. Дождаться завершения установки обновлений и убедиться в отсутствии ошибок при их установке.

Если вы нашли ошибку, пожалуйста, выделите текст и нажмите Ctrl+Enter.

Print Friendly, PDF & Email