Astra Linux.Обновления безопасности для ALSE 1.5 — различия между версиями

Материал из ТХАБ.РФ
Перейти к: навигация, поиск
м
м (→‎БЮЛЛЕТЕНЬ № 29032017SE15)
 
(не показано 6 промежуточных версий этого же участника)
Строка 1: Строка 1:
 +
== БЮЛЛЕТЕНЬ № 29032017SE15 от 29 марта 2017 для ALSE 1.5 ==
 +
Кумулятивное обновление (содержит в себе обновление № [[16092016SE15]]) для нейтрализации угроз эксплуатации уязвимостей операционной системы специального назначения "[[Astra Linux Special Edition]]" [[РУСБ.10015-01]] (версия 1.5). Необходимо выполнить обновление операционной системы в соответствии с инструкцией, приведенной ниже.
 +
 +
1. Загрузить образ диска с обновлениями по ссылке [https://stor.rusbitech.ru/data/public/262f98.php Скачать]
 +
 +
2. Поместить загруженный iso-образ в каталог /mnt на обновляемой системе и проверить соответствие контрольной суммы, выполнив команду: <br>
 +
 +
gostsum -d /mnt/29032017se15.iso
 +
 +
Контрольная сумма:
 +
 +
093cd34500d1070cd9ef6d9367e230d45b82d890e89237aeaa8fcc1d1acd395c
 +
 +
Обновление операционной системы необходимо выполнять от имени учетной записи пользователя с полномочиями администратора системы. Также в процессе обновления может потребоваться установочный диск <br>операционной системы специального назначения "Astra Linux Special Edition" РУСБ.10015-01 (версия 1.5)<br>
 +
 +
3. выполнить команды:<br>
 +
 +
<code>sudo mount /mnt/29032017se15.iso /media/cdrom</code><br>
 +
<code>sudo apt-cdrom -m add</code><br>
 +
 +
на вопрос об имени диска ввести "29032017se15"<br>
 +
 +
<code>sudo apt-get update</code><br>
 +
<code>sudo apt-get dist-upgrade</code><br>
 +
 +
после выполнения указанных команд будет выполнено обновление операционной системы.<br><br>
 +
 +
<big> '''Внимание!''' </big><br>
 +
 +
После успешного обновления проверку целостности программных пакетов утилитой fly-admin-int-check необходимо проводить только с помощью файла gostsum.txt, расположенного в корневом каталоге диска с обновлениями.<br>
 +
 +
<big> '''Примечание''' </big><br>
 +
 +
После установки обновления, если запущен контроллер домена, необходимо выполнить команду:<br>
 +
 +
<code>ald-init restart</code><br>
 +
для контроллера домена, и:<br>
 +
 +
<code>ald-client restart</code><br>
 +
для клиента домена.<br>
 +
 +
<div  class="toccolours mw-collapsible mw-collapsed" >
 +
 +
<big>Список уязвимостей, закрываемых обновлением № 29032017SE15</big>
 +
<div class="mw-collapsible-content"><big>
 +
'''1. Kernel'''<br>
 +
[[CVE-2017-2636]], [[CVE-2017-7184]], [[CVE-2016-10229]]<br>
 +
'''2. Apache'''<br>
 +
[[CVE-2016-5387]]<br>
 +
'''3. Bash'''<br>
 +
[[CVE-2016-7543]]<br>
 +
'''4. Bind9'''<br>
 +
 +
[[CVE-2016-1285]]
 +
 +
[[CVE-2016-1286]]
 +
 +
[[CVE-2016-2775]]
 +
 +
[[CVE-2016-2776]]
 +
 +
[[CVE-2016-2848]]
 +
 +
[[CVE-2016-8864]]
 +
 +
[[CVE-2016-9131]]
 +
 +
[[CVE-2016-9147]]
 +
 +
[[CVE-2016-9444]]
 +
 +
'''5. Binutils'''<br>
 +
 +
[[CVE-2016-2226]]
 +
 +
'''6. Firebird2.5'''<br>
 +
Ошибка из-за отсутствия проверки длинны имени файла<br>
 +
 +
'''7. Firefox'''<br>
 +
CVE-2016-9080, CVE-2016-9893, CVE-2016-9894, CVE-2016-9895, CVE-2016-9896,<br>
 +
CVE-2016-9897, CVE-2016-9898, CVE-2016-9899, CVE-2016-9900, CVE-2016-9901,<br>
 +
CVE-2016-9902, CVE-2016-9903, CVE-2016-9904<br>
 +
'''8. Ghostscript'''<br>
 +
CVE-2016-8602<br>
 +
CVE-2013-5653<br>
 +
CVE-2016-7976<br>
 +
CVE-2016-7977<br>
 +
CVE-2016-7978<br>
 +
CVE-2016-7979<br>
 +
'''9. GraphicsMagick'''<br>
 +
CVE-2016-7448<br>
 +
CVE-2016-7996<br>
 +
CVE-2016-7997<br>
 +
CVE-2016-8682<br>
 +
CVE-2016-8683<br>
 +
CVE-2016-8684<br>
 +
CVE-2016-7446<br>
 +
CVE-2016-7447<br>
 +
CVE-2016-7449<br>
 +
CVE-2016-7800<br>
 +
CVE-2016-5240<br>
 +
CVE-2016-5241<br>
 +
CVE-2016-5118<br>
 +
 +
'''10. Gstreamer'''<br>
 +
 +
10.1.CVE-2016-9634, CVE-2016-9635<br>
 +
10.2.CVE-2016-9811<br>
 +
 +
'''11. [[Iproute]]'''
 +
 +
Аварийное завершение утилиты из-за некорректной обработки входных параметров<br>
 +
 +
'''12. Krb5<br>'''
 +
 +
Ошибка передачи контекста безопасности<br>
 +
 +
'''13. Librsvg<br>'''
 +
CVE-2015-7558, CVE-2016-4347, CVE-2016-4348<br>
 +
CVE-2015-7557<br>
 +
 +
'''14. Libxml2<br>'''
 +
 +
CVE-2016-1762, CVE-2016-1833, CVE-2016-1834, CVE-2016-1835, CVE-2016-1836,<br>
 +
CVE-2016-1837, CVE-2016-1838, CVE-2016-1839, CVE-2016-1840, CVE-2016-2073,<br>
 +
CVE-2016-3627, CVE-2016-3705, CVE-2016-4447, CVE-2016-4449, CVE-2016-4483,<br>
 +
CVE-2015-8806<br>
 +
CVE-2016-4658<br>
 +
CVE-2016-5131<br>
 +
 +
'''15. Ntfs-3g<br>'''
 +
CVE-2017-0358<br>
 +
CVE-2015-3202<br>
 +
 +
'''16. Ntp<br>'''
 +
CVE-2015-7974<br>
 +
CVE-2015-7977, CVE-2015-7978<br>
 +
CVE-2015-7979<br>
 +
CVE-2015-8138<br>
 +
CVE-2015-8158<br>
 +
CVE-2016-1548<br>
 +
CVE-2016-1550<br>
 +
CVE-2016-2516<br>
 +
CVE-2016-2518<br>
 +
 +
'''17. Openssh<br>'''
 +
CVE-2016-6515<br>
 +
CVE-2015-8325<br>
 +
 +
'''18. Openssl<br>'''
 +
CVE-2016-2177<br>
 +
CVE-2016-2178<br>
 +
CVE-2016-2179<br>
 +
CVE-2016-2180<br>
 +
CVE-2016-2181<br>
 +
CVE-2016-2183<br>
 +
CVE-2016-6302<br>
 +
CVE-2016-6303<br>
 +
CVE-2016-6304<br>
 +
CVE-2016-6306<br>
 +
 +
'''19. Perl<br>'''
 +
CVE-2016-1238<br>
 +
 +
'''20. PHP<br>'''
 +
CVE-2016-2554<br>
 +
CVE-2016-4473, CVE-2016-4538, CVE-2016-5114, CVE-2016-5399, CVE-2016-5768,<br>
 +
CVE-2016-5769, CVE-2016-5770, CVE-2016-5771, CVE-2016-5772, CVE-2016-5773,<br>
 +
CVE-2016-6289, CVE-2016-6290, CVE-2016-6291, CVE-2016-6292, CVE-2016-6294,<br>
 +
CVE-2016-6295, CVE-2016-6296, CVE-2016-6297<br>
 +
CVE-2016-7411<br>
 +
CVE-2015-8865, CVE-2015-8866, CVE-2015-8878, CVE-2015-8879, CVE-2016-4070,<br>
 +
CVE-2016-4071, CVE-2016-4072, CVE-2016-4073, CVE-2016-4343, CVE-2016-4537,<br>
 +
CVE-2016-4539, CVE-2016-4540, CVE-2016-4541, CVE-2016-4542, CVE-2016-4543,<br>
 +
CVE-2016-4544<br>
 +
CVE-2016-9934<br>
 +
CVE-2016-9935<br>
 +
CVE-2016-10158<br>
 +
CVE-2016-10159<br>
 +
CVE-2016-10160<br>
 +
CVE-2016-10161<br>
 +
 +
'''21. Postgresql<br>'''
 +
Ошибка обработки входных данных, позволяющая вызвать аварийное завершение утилиты или получить доступ к конфиденциальной информации<br>
 +
 +
'''22. Postgresql-common<br>'''
 +
Ошибка, позволяющая вызвать аварийное завершение утилиты из-за некорректной обработки входных параметров<br>
 +
 +
'''23. Speech-tools<br>'''
 +
Ошибка, связанная с отсутствием проверки имени файла, указанного в качестве параметра, и его длинны<br>
 +
 +
'''24. Squid<br>'''
 +
 +
CVE-2016-4554<br>
 +
 +
'''25. Subversion<br>'''
 +
CVE-2016-2167<br>
 +
CVE-2016-2168<br>
 +
 +
'''26. Sudo<br>'''
 +
CVE-2016-7032, CVE-2016-7076<br>
 +
 +
'''27. Textlive-bin<br>'''
 +
Ошибка, связанная с отсутствием проверки имени и файла, указанного в качестве параметра<br>
 +
'''28. Boost1.49<br>'''
 +
CVE-2012-2677<br>
 +
'''29. C-ares<br>'''
 +
CVE-2016-5180<br>
 +
'''30. Cracklib2<br>'''
 +
CVE-2016-6318<br>
 +
'''31. Curl<br>'''
 +
CVE-2016-9586<br>
 +
CVE-2016-8615, CVE-2016-8616, CVE-2016-8617, CVE-2016-8618, CVE-2016-8619,<br>
 +
CVE-2016-8620, CVE-2016-8621, CVE-2016-8622, CVE-2016-8623, CVE-2016-8624<br>
 +
CVE-2016-7167<br>
 +
CVE-2016-7141<br>
 +
CVE-2016-5419<br>
 +
CVE-2016-5420<br>
 +
'''32. [[Dpkg]]<br>'''
 +
CVE-2015-0860<br>
 +
'''33. [[Expat]]<br>'''
 +
CVE-2012-6702, CVE-2016-5300<br>
 +
CVE-2015-1283<br>
 +
CVE-2016-0719<br>
 +
'''34. File<br>'''
 +
CVE-2015-8865<br>
 +
'''35. [[Fly-wm]]<br>'''
 +
Аварийное завершение сессии пользователя из-за некорректной обработки закрытия иерархии окон типа: главное окно, транзиентное окно, транзиентное окно<br>
 +
'''36. Gdk-pixbuf<br>'''
 +
CVE-2015-7552<br>
 +
CVE-2015-7674<br>
 +
'''37. Giflib<br>'''
 +
CVE-2015-7555<br>
 +
'''38. Gimp<br>'''
 +
CVE-2016-4994<br>
 +
'''39. Git<br>'''
 +
CVE-2016-2324, CVE-2016-2315<br>
 +
'''40. GTK+3.0<br>'''
 +
CVE-2013-7447<br>
 +
'''41. Hdf5<br>'''
 +
CVE-2016-4330, CVE-2016-4331, CVE-2016-4332, CVE-2016-4333<br>
 +
'''42. Hesiod<br>'''
 +
CVE-2016-10151<br>
 +
CVE-2016-10152<br>
 +
'''43. Icu<br>'''
 +
CVE-2014-9911<br>
 +
CVE-2016-6293<br>
 +
CVE-2016-7415<br>
 +
'''44. Jansson<br>'''
 +
CVE-2016-6293<br>
 +
'''45. Jasper<br>'''
 +
CVE-2016-8654, CVE-2016-8691, CVE-2016-8692, CVE-2016-8693, CVE-2016-8882,<br>
 +
CVE-2016-8883, CVE-2016-8887, CVE-2016-9560<br>
 +
CVE-2016-1577<br>
 +
CVE-2016-2089<br>
 +
CVE-2016-2116<br>
 +
CVE-2016-1577<br>
 +
'''46. Kcoreaddons<br>'''
 +
CVE-2016-7966<br>
 +
'''47. Lcms2<br>'''
 +
CVE-2016-10165<br>
 +
'''48. Libass<br>'''
 +
CVE-2016-7972<br>
 +
CVE-2016-7969<br>
 +
'''49. Libcrypto++<br>'''
 +
CVE-2016-9939<br>
 +
CVE-2016-3995<br>
 +
'''50. Libebml<br>'''
 +
CVE-2015-8789<br>
 +
CVE-2015-8790, CVE-2015-8791<br>
 +
'''51. Libevent<br>'''
 +
CVE-2016-10197<br>
 +
CVE-2016-10195<br>
 +
'''52. Libflycore<br>'''
 +
Аварийное завершение программы из-за возможного переполнения буфера<br>
 +
'''53. Libgc<br>'''
 +
CVE-2016-9427<br>
 +
'''54. Libgcrypt<br>'''
 +
CVE-2016-6313<br>
 +
CVE-2015-7511<br>
 +
'''55. Libgd2<br>'''
 +
CVE-2016-6906, CVE-2016-6912, CVE-2016-9317, CVE-2016-10166, CVE-2016-10167, CVE-2016-10168<br>
 +
'''56. Libgsf<br>'''
 +
CVE-2016-9888<br>
 +
'''57. Libidn<br>'''
 +
CVE-2016-6263<br>
 +
CVE-2016-6261<br>
 +
CVE-2016-8948<br>
 +
CVE-2015-2059<br>
 +
'''58. Libmatroska<br>'''
 +
CVE-2015-8792<br>
 +
'''59. Libotr<br>'''
 +
CVE-2016-2851<br>
 +
'''60. Libplist<br>'''
 +
CVE-2017-5209<br>
 +
CVE-2017-5545<br>
 +
'''61. Libtasn<br>'''
 +
CVE-2016-4008<br>
 +
'''62. Libupnp<br>'''
 +
CVE-2016-8863<br>
 +
CVE-2016-6255<br>
 +
'''63. Libvirt<br>'''
 +
CVE-2016-5008<br>
 +
'''64. Libvncserver<br>'''
 +
CVE-2016-9941, CVE-2016-9942<br>
 +
'''65. Libwmf<br>'''
 +
CVE-2016-9011<br>
 +
'''66. Libx11<br>'''
 +
CVE-2016-7942, CVE-2016-7943<br>
 +
'''67. Libxfixes<br>'''
 +
CVE-2016-7944<br>
 +
'''68. Libxpm<br>'''
 +
CVE-2016-4658<br>
 +
'''69. LibXrand<br>'''
 +
CVE-2016-7947<br>
 +
CVE-2016-7948<br>
 +
'''70. Libxrender<br>'''
 +
CVE-2016-7949, CVE-2016-7950<br>
 +
'''71. Libxslt<br>'''
 +
CVE-2016-4738<br>
 +
'''72. Libxtst<br>'''
 +
CVE-2016-7951<br>
 +
CVE-2016-7952<br>
 +
'''73. Libxvl<br>'''
 +
CVE-2016-5407<br>
 +
'''74. Libxvmc<br>'''
 +
CVE-2016-7953<br>
 +
'''75. Memcached<br>'''
 +
CVE-2013-7291<br>
 +
'''76. Memcached<br>'''
 +
CVE-2016-8704, CVE-2016-8705, CVE-2016-8706<br>
 +
'''77. Mercurial<br>'''
 +
CVE-2016-3105<br>
 +
CVE-2016-3630, CVE-2016-3068, CVE-2016-3069<br>
 +
'''78. nettle<br>'''
 +
CVE-2016-6489<br>
 +
'''79. nspr<br>'''
 +
CVE-2016-1951<br>
 +
'''80. nss<br>'''
 +
CVE-2016-9074<br>
 +
'''81. Ocaml<br>'''
 +
CVE-2015-8869<br>
 +
'''82. pcsc-lite<br>'''
 +
CVE-2016-10109<br>
 +
'''83. pykerberos<br>'''
 +
CVE-2015-3206<br>
 +
'''84. python-cripto<br>'''
 +
CVE-2013-7459<br>
 +
'''85. python-django<br>'''
 +
CVE-2016-9014<br>
 +
CVE-2016-7401<br>
 +
CVE-2016-2512<br>
 +
CVE-2016-2513<br>
 +
'''86. python-imaging<br>'''
 +
CVE-2016-9189<br>
 +
CVE-2016-9190<br>
 +
CVE-2016-0775, CVE-2016-2533<br>
 +
'''87. python-tornado<br>'''
 +
CVE-2014-9720<br>
 +
'''88. Python2.7<br>'''
 +
CVE-2016-0772<br>
 +
CVE-2016-5636<br>
 +
CVE-2016-5699<br>
 +
'''89. Qemu<br>'''
 +
CVE-2016-9921, CVE-2016-9922<br>
 +
'''90. samba<br>'''
 +
CVE-2016-2111<br>
 +
'''91. spice<br>'''
 +
CVE-2016-0749<br>
 +
CVE-2016-2150<br>
 +
'''92. sqlite3<br>'''
 +
CVE-2016-6153<br>
 +
'''93. squid3<br>'''
 +
CVE-2016-10002<br>
 +
'''94. systemd<br>'''
 +
CVE-2016-7796<br>
 +
'''95. shadow<br>'''
 +
CVE-2017-2616<br>
 +
'''96. texlive<br>'''
 +
CVE-2016-10243<br>
 +
'''97. tre<br>'''
 +
CVE-2016-8859<br>
 +
'''98. vim<br>'''
 +
CVE-2016-1248<br>
 +
CVE-2017-5953<br>
 +
'''99. wget<br>'''
 +
CVE-2016-4971<br>
 +
CVE-2017-6508<br>
 +
'''100. wpa<br>'''
 +
CVE-2015-5315<br>
 +
'''101. xen<br>'''
 +
CVE-2016-10024<br>
 +
CVE-2016-10013<br>
 +
'''102. xerces-c<br>'''
 +
CVE-2016-2099<br>
 +
CVE-2016-0729<br></big>
 +
</div>
 +
</div><br><br><br>
 +
<div  class="toccolours mw-collapsible mw-collapsed" >
 +
 
== БЮЛЛЕТЕНЬ № 16092016SE15 ==
 
== БЮЛЛЕТЕНЬ № 16092016SE15 ==
  
 
Для нейтрализации угроз эксплуатации уязвимостей операционной системы специального назначения "[[Astra Linux Special Edition]]" РУСБ.10015-01 (версия 1.5) в информационных системах необходимо выполнить обновление операционной системы в соответствии с инструкцией, приведенной ниже.
 
Для нейтрализации угроз эксплуатации уязвимостей операционной системы специального назначения "[[Astra Linux Special Edition]]" РУСБ.10015-01 (версия 1.5) в информационных системах необходимо выполнить обновление операционной системы в соответствии с инструкцией, приведенной ниже.
−
<br>
 
  
−
1. Загрузить образ диска с обновлениями по ссылке  
+
1. Загрузить образ диска с обновлениями по ссылке: [https://stor.rusbitech.ru/data/public/6cb39e.php?lang=ru Скачать]
−
<br>[https://stor.rusbitech.ru/data/public/6cb39e.php?lang=ru Скачать]<br>
 
  
 
2. Поместить загруженный iso-образ в каталог /mnt на обновляемой системе и проверить соответствие контрольной суммы, выполнив команду:
 
2. Поместить загруженный iso-образ в каталог /mnt на обновляемой системе и проверить соответствие контрольной суммы, выполнив команду:
−
<br>
+
gostsum -d /mnt/essential_and_additional_bin.iso  
−
<code>gostsum -d /mnt/essential_and_additional_bin.iso</code><br>
+
 
 
Контрольная сумма:  
 
Контрольная сумма:  
−
<br>
+
0fd8405aad2a729f5daac2c980109cdad3f78a4365eb2876416e0af70663c3d7
−
<code>0fd8405aad2a729f5daac2c980109cdad3f78a4365eb2876416e0af70663c3d7</code><br>
+
 
−
Обновление операционной системы необходимо выполнять от имени учетной записи пользователя с полномочиями администратора системы. Также в процессе обновления может потребоваться установочный диск операционной системы специального назначения "Astra Linux Special Edition" РУСБ.10015-01 (версия 1.5)<br>
+
Обновление операционной системы необходимо выполнять от имени учетной записи пользователя с полномочиями администратора системы. Также в процессе обновления может потребоваться установочный диск операционной системы специального назначения "Astra Linux Special Edition" РУСБ.10015-01 (версия 1.5)
 +
 
 +
3. Выполнить команды:
 +
 
 +
sudo mount /mnt/essential_and_additional_bin.iso /media/cdrom
 +
sudo apt-cdrom -m add
 +
 
 +
на вопрос об имени диска ввести "Astra Linux Security Updates"
  
−
3. выполнить команды:<br>
+
sudo apt-get update
−
<code>sudo mount /mnt/essential_and_additional_bin.iso /media/cdrom</code><br>
+
sudo apt-get dist-upgrade
−
<code>sudo apt-cdrom -m add</code><br>
 
−
на вопрос об имени диска ввести "Astra Linux Security Updates"<br>
 
−
<code>sudo apt-get update</code><br>
 
−
<code>sudo apt-get dist-upgrade</code><br>
 
−
<br>
 
−
после выполнения указанных команд будет выполнено обновление операционной системы.<br>
 
−
<br>
 
  
−
=== Внимание! ===
+
после выполнения указанных команд будет выполнено обновление операционной системы.
  
−
После успешного обновления проверку целостности программных пакетов утилитой fly-admin-incheck необходимо проводить только с помощью файла gostsum.txt, расположенного в корневом каталоге диска с обновлениями.<br>
+
'''Внимание!'''
−
<br>
+
После успешного обновления проверку целостности программных пакетов утилитой [[fly-admin-incheck]] необходимо проводить только с помощью файла [[gostsum.txt]], расположенного в корневом каталоге диска с обновлениями.
  
 
В случае, если по каким-то причинам провести обновление программных пакетов указанным выше способом невозможно, выполните методические указания приведенные ниже:
 
В случае, если по каким-то причинам провести обновление программных пакетов указанным выше способом невозможно, выполните методические указания приведенные ниже:
Строка 36: Строка 434:
 
=== Идентификаторы уязвимостей соответствуют указанным в банке данных угроз безопасности информации ФСТЭК России ===
 
=== Идентификаторы уязвимостей соответствуют указанным в банке данных угроз безопасности информации ФСТЭК России ===
  
−
<big>1. Методика безопасности, нейтрализующая уязвимость BDU:2016-01146</big>
+
==== 1. Методика безопасности, нейтрализующая уязвимость BDU:2016-01146 ====
 +
 
 +
Эксплуатация уязвимости возможна только при наличии в операционной системе установленного пакета [[imagemagick]], который не устанавливается по умолчанию. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН в конфигурационный файл /etc/ImageMagick/policy.xml в раздел <policymap> добавить строки:
 +
 
 +
<policy domain="coder" rights="none" pattern="EPHEMERAL" />
 +
<policy domain="coder" rights="none" pattern="URL" />
 +
<policy domain="coder" rights="none" pattern="HTTPS" />
 +
<policy domain="coder" rights="none" pattern="MVG" />
 +
<policy domain="coder" rights="none" pattern="MSL" />
 +
<policy domain="coder" rights="none" pattern="FTP" />
 +
<policy domain="coder" rights="none" pattern="HTTP" />
 +
 
 +
 
 +
==== 2. Методика безопасности, нейтрализующая уязвимость BDU:2016-01573 ====
 +
 
 +
Эксплуатация уязвимости возможна только при наличии в операционной системе установленного пакета [[libgraphicsmagick3]], который не устанавливается по умолчанию. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН в конфигурационном файле /usr/lib/GraphicsMagick-1.3.16/config/delegates.mgk удалить строку:
 +
 
 +
<delegate decode="gplt" command='"echo" "set size 1.25,0.62; set terminal postscript portrait color solid; set outp    ut \"%o\"; load \"%i\"" > "%u"; "gnuplot" "%u"' />
 +
 
 +
==== 3. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01583 ====
 +
 
 +
Эксплуатация уязвимости возможна только при наличии в операционной системе разрешения у пользователей на запуск программы сбора сетевой статистики [[lnstat]]. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН запретить пользователям запуск данной программы, выполнив в терминале команду:
 +
 
 +
chmod 750 /usr/bin/lnstat
 +
 
 +
 
 +
==== 4. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01584 ====
 +
 
 +
Эксплуатация уязвимости возможна только при наличии в операционной системе разрешения у пользователей на запуск программы сбора сетевой статистики [[lnstat]]. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН запретить пользователям запуск данной программы, выполнив в терминале команду:
 +
 
 +
chmod 750 /usr/bin/lnstat
 +
 
 +
==== 5. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01585 ====
 +
 
 +
Эксплуатация уязвимости возможна только при наличии в операционной системе установленного пакета [[gpsd-clients]], который не устанавливается по умолчанию. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН запретить пользователям запуск программы gpxlogger, выполнив в терминале команду:
 +
 
 +
chmod 750 /usr/bin/gpxlogger
 +
 
 +
==== 6. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01586 ====
  
−
Эксплуатация уязвимости возможна только при наличии в операционной системе установленного пакета imagemagick, который не устанавливается по умолчанию. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН в конфигурационный файл /etc/ImageMagick/policy.xml в раздел <policymap> добавить строки:<br>
+
Эксплуатация уязвимости возможна только при наличии в операционной системе установленного пакета [[speech-tools]], который не устанавливается по умолчанию. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН запретить пользователям запуск программы wfst_run, выполнив в терминале команду:
−
<br>
 
−
<code><policy domain="coder" rights="none" pattern="EPHEMERAL" /></code><br>
 
−
<code><policy domain="coder" rights="none" pattern="URL" /></code><br>
 
−
<code><policy domain="coder" rights="none" pattern="HTTPS" /></code><br>
 
−
<code><policy domain="coder" rights="none" pattern="MVG" /></code><br>
 
−
<code><policy domain="coder" rights="none" pattern="MSL" /></code><br>
 
−
<code><policy domain="coder" rights="none" pattern="FTP" /></code><br>
 
−
<code><policy domain="coder" rights="none" pattern="HTTP" /></code><br>
 
−
<br>
 
  
−
<big>2. Методика безопасности, нейтрализующая уязвимость BDU:2016-01573</big>
+
chmod 750 /usr/bin/wfst_run
  
−
Эксплуатация уязвимости возможна только при наличии в операционной системе установленного пакета libgraphicsmagick3, который не устанавливается по умолчанию. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН в конфигурационном файле /usr/lib/GraphicsMagick-1.3.16/config/delegates.mgk удалить строку:<br>
 
−
<br>
 
−
<code><delegate decode="gplt" command='"echo" "set size 1.25,0.62; set terminal postscript portrait color solid; set outp    ut \"%o\"; load \"%i\"" > "%u"; "gnuplot" "%u"' /></code><br>
 
−
<br>
 
  
−
<big>3. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01583</big>
+
==== 7. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01587 ====
  
−
Эксплуатация уязвимости возможна только при наличии в операционной системе разрешения у пользователей на запуск программы сбора сетевой статистики lnstat. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН запретить пользователям запуск данной программы, выполнив в терминале команду:<br>
+
Эксплуатация уязвимости возможна только при наличии в операционной системе установленного пакета [[texlive-binaries]], который не устанавливается по умолчанию. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН запретить пользователям запуск программы mendex, выполнив в терминале команду:
−
<br>
 
−
<code>chmod 750 /usr/bin/lnstat</code><br>
 
−
<br>
 
  
−
<big>4. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01584</big>
+
chmod 750 /usr/bin/mendex
  
−
Эксплуатация уязвимости возможна только при наличии в операционной системе разрешения у пользователей на запуск программы сбора сетевой статистики lnstat. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН запретить пользователям запуск данной программы, выполнив в терминале команду:<br>
+
==== 8. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01588 ====
−
<br>
 
−
<code>chmod 750 /usr/bin/lnstat</code><br>
 
−
<br>
 
  
−
<big>5. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01585</big>
+
Эксплуатация уязвимости возможна только при наличии в операционной системе установленного пакета [[firebird2.5-classic-common]], который не устанавливается по умолчанию. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН запретить пользователям запуск программы gdef, выполнив в терминале команду:
  
−
Эксплуатация уязвимости возможна только при наличии в операционной системе установленного пакета gpsd-clients, который не устанавливается по умолчанию. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН запретить пользователям запуск программы gpxlogger, выполнив в терминале команду:<br>
+
chmod 750 /usr/bin/gdef
−
<br>
 
−
<code>chmod 750 /usr/bin/gpxlogger</code><br>
 
−
<br>
 
−
<big>6. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01586</big>
 
  
−
Эксплуатация уязвимости возможна только при наличии в операционной системе установленного пакета speech-tools, который не устанавливается по умолчанию. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН запретить пользователям запуск программы wfst_run, выполнив в терминале команду:<br>
+
==== 9. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01589 ====
−
<br>
 
−
<code>chmod 750 /usr/bin/wfst_run</code><br>
 
−
<br>
 
  
−
<big>7. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01587</big>
+
Эксплуатация уязвимости возможна только при наличии в операционной системе разрешения на автоматическую загрузку модуля ядра drivers/net/wireless/libertas/libertas_cs.ko. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН в терминале выполнить команду:
  
−
Эксплуатация уязвимости возможна только при наличии в операционной системе установленного пакета texlive-binaries, который не устанавливается по умолчанию. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН запретить пользователям запуск программы mendex, выполнив в терминале команду:<br>
+
echo blacklist libertas_cs > /etc/modprobe.d/blacklist_libertas_cs.conf
−
<br>
 
−
<code>chmod 750 /usr/bin/mendex</code><br>
 
−
<br>
 
−
<big>8. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01588</big>
 
  
−
Эксплуатация уязвимости возможна только при наличии в операционной системе установленного пакета firebird2.5-classic-common, который не устанавливается по умолчанию. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН запретить пользователям запуск программы gdef, выполнив в терминале команду:<br>
+
update-initramfs -u -k all
−
<br>
 
−
<code>chmod 750 /usr/bin/gdef</code><br>
 
−
<br>
 
−
<big>9. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01589</big>
 
  
−
Эксплуатация уязвимости возможна только при наличии в операционной системе разрешения на автоматическую загрузку модуля ядра drivers/net/wireless/libertas/libertas_cs.ko. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН в терминале выполнить команду:<br>
+
==== 10. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01590 ====
−
<br>
 
−
<code>echo blacklist libertas_cs > /etc/modprobe.d/blacklist_libertas_cs.conf</code><br>
 
−
<br>
 
−
<code>update-initramfs -u -k all</code><br>
 
−
<br>
 
−
<big>10. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01590</big>
 
  
 
Эксплуатация уязвимости возможна только при наличии в операционной системе разрешения на автоматическую загрузку модуля ядра drivers/net/usb/kalmia.ko. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН в терминале выполнить команду:<br>
 
Эксплуатация уязвимости возможна только при наличии в операционной системе разрешения на автоматическую загрузку модуля ядра drivers/net/usb/kalmia.ko. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН в терминале выполнить команду:<br>
Строка 111: Строка 507:
 
<code>update-initramfs -u -k all</code><br>
 
<code>update-initramfs -u -k all</code><br>
 
<br>
 
<br>
−
<big>11. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01591</big>
 
  
−
Эксплуатация уязвимости возможна только при наличии в операционной системе разрешения на автоматическую загрузку модуля ядра drivers/net/usb/smsc75xx.ko. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН в терминале выполнить команду:<br>
+
==== 11. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01591 ====
−
<br>
+
 
 +
Эксплуатация уязвимости возможна только при наличии в операционной системе разрешения на автоматическую загрузку модуля ядра drivers/net/usb/smsc75xx.ko. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН в терминале выполнить команду:
 +
 
 
<code>echo blacklist smsc75xx > /etc/modprobe.d/blacklist_smsc75xx.conf</code><br>
 
<code>echo blacklist smsc75xx > /etc/modprobe.d/blacklist_smsc75xx.conf</code><br>
−
<br>
+
 
 
<code>update-initramfs -u -k all</code><br>
 
<code>update-initramfs -u -k all</code><br>
 +
 
== Ссылки ==
 
== Ссылки ==
 +
 
* [http://astra-linux.com/wiki/index.php/Security_Updates_for_1.5 Проверьте здесь последние обновления безопасности]
 
* [http://astra-linux.com/wiki/index.php/Security_Updates_for_1.5 Проверьте здесь последние обновления безопасности]
−
 
−
 
  
 
[[Категория:Astra Linux]]
 
[[Категория:Astra Linux]]
Строка 127: Строка 524:
 
[[Категория:Astra Linux Special Edition версия 1.5]]
 
[[Категория:Astra Linux Special Edition версия 1.5]]
 
[[Категория:Как сделать]]
 
[[Категория:Как сделать]]
 +
[[Категория:Обновления безопасности]]

Текущая версия на 14:06, 27 мая 2017

Содержание

БЮЛЛЕТЕНЬ № 29032017SE15 от 29 марта 2017 для ALSE 1.5

Кумулятивное обновление (содержит в себе обновление № 16092016SE15) для нейтрализации угроз эксплуатации уязвимостей операционной системы специального назначения "Astra Linux Special Edition" РУСБ.10015-01 (версия 1.5). Необходимо выполнить обновление операционной системы в соответствии с инструкцией, приведенной ниже.

1. Загрузить образ диска с обновлениями по ссылке Скачать

2. Поместить загруженный iso-образ в каталог /mnt на обновляемой системе и проверить соответствие контрольной суммы, выполнив команду: 

gostsum -d /mnt/29032017se15.iso

Контрольная сумма: 

093cd34500d1070cd9ef6d9367e230d45b82d890e89237aeaa8fcc1d1acd395c

Обновление операционной системы необходимо выполнять от имени учетной записи пользователя с полномочиями администратора системы. Также в процессе обновления может потребоваться установочный диск
операционной системы специального назначения "Astra Linux Special Edition" РУСБ.10015-01 (версия 1.5)

3. выполнить команды:

sudo mount /mnt/29032017se15.iso /media/cdrom
sudo apt-cdrom -m add

на вопрос об имени диска ввести "29032017se15"

sudo apt-get update
sudo apt-get dist-upgrade

после выполнения указанных команд будет выполнено обновление операционной системы.

Внимание!

После успешного обновления проверку целостности программных пакетов утилитой fly-admin-int-check необходимо проводить только с помощью файла gostsum.txt, расположенного в корневом каталоге диска с обновлениями.

Примечание

После установки обновления, если запущен контроллер домена, необходимо выполнить команду:

ald-init restart
для контроллера домена, и:

ald-client restart
для клиента домена.

Список уязвимостей, закрываемых обновлением № 29032017SE15

1. Kernel
CVE-2017-2636, CVE-2017-7184, CVE-2016-10229
2. Apache
CVE-2016-5387
3. Bash
CVE-2016-7543
4. Bind9

CVE-2016-1285

CVE-2016-1286

CVE-2016-2775

CVE-2016-2776

CVE-2016-2848

CVE-2016-8864

CVE-2016-9131

CVE-2016-9147

CVE-2016-9444

5. Binutils

CVE-2016-2226

6. Firebird2.5
Ошибка из-за отсутствия проверки длинны имени файла

7. Firefox
CVE-2016-9080, CVE-2016-9893, CVE-2016-9894, CVE-2016-9895, CVE-2016-9896,
CVE-2016-9897, CVE-2016-9898, CVE-2016-9899, CVE-2016-9900, CVE-2016-9901,
CVE-2016-9902, CVE-2016-9903, CVE-2016-9904
8. Ghostscript
CVE-2016-8602
CVE-2013-5653
CVE-2016-7976
CVE-2016-7977
CVE-2016-7978
CVE-2016-7979
9. GraphicsMagick
CVE-2016-7448
CVE-2016-7996
CVE-2016-7997
CVE-2016-8682
CVE-2016-8683
CVE-2016-8684
CVE-2016-7446
CVE-2016-7447
CVE-2016-7449
CVE-2016-7800
CVE-2016-5240
CVE-2016-5241
CVE-2016-5118

10. Gstreamer

10.1.CVE-2016-9634, CVE-2016-9635
10.2.CVE-2016-9811

11. Iproute

Аварийное завершение утилиты из-за некорректной обработки входных параметров

12. Krb5

Ошибка передачи контекста безопасности

13. Librsvg
 CVE-2015-7558, CVE-2016-4347, CVE-2016-4348
CVE-2015-7557

14. Libxml2

CVE-2016-1762, CVE-2016-1833, CVE-2016-1834, CVE-2016-1835, CVE-2016-1836,
CVE-2016-1837, CVE-2016-1838, CVE-2016-1839, CVE-2016-1840, CVE-2016-2073,
CVE-2016-3627, CVE-2016-3705, CVE-2016-4447, CVE-2016-4449, CVE-2016-4483,
CVE-2015-8806
CVE-2016-4658
CVE-2016-5131

15. Ntfs-3g
 CVE-2017-0358
CVE-2015-3202

16. Ntp
 CVE-2015-7974
CVE-2015-7977, CVE-2015-7978
CVE-2015-7979
CVE-2015-8138
CVE-2015-8158
CVE-2016-1548
CVE-2016-1550
CVE-2016-2516
CVE-2016-2518

17. Openssh
 CVE-2016-6515
CVE-2015-8325

18. Openssl
 CVE-2016-2177
CVE-2016-2178
CVE-2016-2179
CVE-2016-2180
CVE-2016-2181
CVE-2016-2183
CVE-2016-6302
CVE-2016-6303
CVE-2016-6304
CVE-2016-6306

19. Perl
 CVE-2016-1238

20. PHP
 CVE-2016-2554
CVE-2016-4473, CVE-2016-4538, CVE-2016-5114, CVE-2016-5399, CVE-2016-5768,
CVE-2016-5769, CVE-2016-5770, CVE-2016-5771, CVE-2016-5772, CVE-2016-5773,
CVE-2016-6289, CVE-2016-6290, CVE-2016-6291, CVE-2016-6292, CVE-2016-6294,
CVE-2016-6295, CVE-2016-6296, CVE-2016-6297
CVE-2016-7411
CVE-2015-8865, CVE-2015-8866, CVE-2015-8878, CVE-2015-8879, CVE-2016-4070,
CVE-2016-4071, CVE-2016-4072, CVE-2016-4073, CVE-2016-4343, CVE-2016-4537,
CVE-2016-4539, CVE-2016-4540, CVE-2016-4541, CVE-2016-4542, CVE-2016-4543,
CVE-2016-4544
CVE-2016-9934
CVE-2016-9935
CVE-2016-10158
CVE-2016-10159
CVE-2016-10160
CVE-2016-10161

21. Postgresql
 Ошибка обработки входных данных, позволяющая вызвать аварийное завершение утилиты или получить доступ к конфиденциальной информации

22. Postgresql-common
 Ошибка, позволяющая вызвать аварийное завершение утилиты из-за некорректной обработки входных параметров

23. Speech-tools
 Ошибка, связанная с отсутствием проверки имени файла, указанного в качестве параметра, и его длинны

24. Squid

CVE-2016-4554

25. Subversion
 CVE-2016-2167
CVE-2016-2168

26. Sudo
 CVE-2016-7032, CVE-2016-7076

27. Textlive-bin
 Ошибка, связанная с отсутствием проверки имени и файла, указанного в качестве параметра
28. Boost1.49
 CVE-2012-2677
29. C-ares
 CVE-2016-5180
30. Cracklib2
 CVE-2016-6318
31. Curl
 CVE-2016-9586
CVE-2016-8615, CVE-2016-8616, CVE-2016-8617, CVE-2016-8618, CVE-2016-8619,
CVE-2016-8620, CVE-2016-8621, CVE-2016-8622, CVE-2016-8623, CVE-2016-8624
CVE-2016-7167
CVE-2016-7141
CVE-2016-5419
CVE-2016-5420
32. Dpkg
 CVE-2015-0860
33. Expat
 CVE-2012-6702, CVE-2016-5300
CVE-2015-1283
CVE-2016-0719
34. File
 CVE-2015-8865
35. Fly-wm
 Аварийное завершение сессии пользователя из-за некорректной обработки закрытия иерархии окон типа: главное окно, транзиентное окно, транзиентное окно
36. Gdk-pixbuf
 CVE-2015-7552
CVE-2015-7674
37. Giflib
 CVE-2015-7555
38. Gimp
 CVE-2016-4994
39. Git
 CVE-2016-2324, CVE-2016-2315
40. GTK+3.0
 CVE-2013-7447
41. Hdf5
 CVE-2016-4330, CVE-2016-4331, CVE-2016-4332, CVE-2016-4333
42. Hesiod
 CVE-2016-10151
CVE-2016-10152
43. Icu
 CVE-2014-9911
CVE-2016-6293
CVE-2016-7415
44. Jansson
 CVE-2016-6293
45. Jasper
 CVE-2016-8654, CVE-2016-8691, CVE-2016-8692, CVE-2016-8693, CVE-2016-8882,
CVE-2016-8883, CVE-2016-8887, CVE-2016-9560
CVE-2016-1577
CVE-2016-2089
CVE-2016-2116
CVE-2016-1577
46. Kcoreaddons
 CVE-2016-7966
47. Lcms2
 CVE-2016-10165
48. Libass
 CVE-2016-7972
CVE-2016-7969
49. Libcrypto++
 CVE-2016-9939
CVE-2016-3995
50. Libebml
 CVE-2015-8789
CVE-2015-8790, CVE-2015-8791
51. Libevent
 CVE-2016-10197
CVE-2016-10195
52. Libflycore
 Аварийное завершение программы из-за возможного переполнения буфера
53. Libgc
 CVE-2016-9427
54. Libgcrypt
 CVE-2016-6313
CVE-2015-7511
55. Libgd2
 CVE-2016-6906, CVE-2016-6912, CVE-2016-9317, CVE-2016-10166, CVE-2016-10167, CVE-2016-10168
56. Libgsf
 CVE-2016-9888
57. Libidn
 CVE-2016-6263
CVE-2016-6261
CVE-2016-8948
CVE-2015-2059
58. Libmatroska
 CVE-2015-8792
59. Libotr
 CVE-2016-2851
60. Libplist
 CVE-2017-5209
CVE-2017-5545
61. Libtasn
 CVE-2016-4008
62. Libupnp
 CVE-2016-8863
CVE-2016-6255
63. Libvirt
 CVE-2016-5008
64. Libvncserver
 CVE-2016-9941, CVE-2016-9942
65. Libwmf
 CVE-2016-9011
66. Libx11
 CVE-2016-7942, CVE-2016-7943
67. Libxfixes
 CVE-2016-7944
68. Libxpm
 CVE-2016-4658
69. LibXrand
 CVE-2016-7947
CVE-2016-7948
70. Libxrender
 CVE-2016-7949, CVE-2016-7950
71. Libxslt
 CVE-2016-4738
72. Libxtst
 CVE-2016-7951
CVE-2016-7952
73. Libxvl
 CVE-2016-5407
74. Libxvmc
 CVE-2016-7953
75. Memcached
 CVE-2013-7291
76. Memcached
 CVE-2016-8704, CVE-2016-8705, CVE-2016-8706
77. Mercurial
 CVE-2016-3105
CVE-2016-3630, CVE-2016-3068, CVE-2016-3069
78. nettle
 CVE-2016-6489
79. nspr
 CVE-2016-1951
80. nss
 CVE-2016-9074
81. Ocaml
 CVE-2015-8869
82. pcsc-lite
 CVE-2016-10109
83. pykerberos
 CVE-2015-3206
84. python-cripto
 CVE-2013-7459
85. python-django
 CVE-2016-9014
CVE-2016-7401
CVE-2016-2512
CVE-2016-2513
86. python-imaging
 CVE-2016-9189
CVE-2016-9190
CVE-2016-0775, CVE-2016-2533
87. python-tornado
 CVE-2014-9720
88. Python2.7
 CVE-2016-0772
CVE-2016-5636
CVE-2016-5699
89. Qemu
 CVE-2016-9921, CVE-2016-9922
90. samba
 CVE-2016-2111
91. spice
 CVE-2016-0749
CVE-2016-2150
92. sqlite3
 CVE-2016-6153
93. squid3
 CVE-2016-10002
94. systemd
 CVE-2016-7796
95. shadow
 CVE-2017-2616
96. texlive
 CVE-2016-10243
97. tre
 CVE-2016-8859
98. vim
 CVE-2016-1248
CVE-2017-5953
99. wget
 CVE-2016-4971
CVE-2017-6508
100. wpa
 CVE-2015-5315
101. xen
 CVE-2016-10024
CVE-2016-10013
102. xerces-c
 CVE-2016-2099
CVE-2016-0729




БЮЛЛЕТЕНЬ № 16092016SE15

Для нейтрализации угроз эксплуатации уязвимостей операционной системы специального назначения "Astra Linux Special Edition" РУСБ.10015-01 (версия 1.5) в информационных системах необходимо выполнить обновление операционной системы в соответствии с инструкцией, приведенной ниже.

1. Загрузить образ диска с обновлениями по ссылке: Скачать

2. Поместить загруженный iso-образ в каталог /mnt на обновляемой системе и проверить соответствие контрольной суммы, выполнив команду: 

gostsum -d /mnt/essential_and_additional_bin.iso

Контрольная сумма: 

0fd8405aad2a729f5daac2c980109cdad3f78a4365eb2876416e0af70663c3d7

Обновление операционной системы необходимо выполнять от имени учетной записи пользователя с полномочиями администратора системы. Также в процессе обновления может потребоваться установочный диск операционной системы специального назначения "Astra Linux Special Edition" РУСБ.10015-01 (версия 1.5)

3. Выполнить команды: 

sudo mount /mnt/essential_and_additional_bin.iso /media/cdrom
sudo apt-cdrom -m add

на вопрос об имени диска ввести "Astra Linux Security Updates" 

sudo apt-get update
sudo apt-get dist-upgrade

после выполнения указанных команд будет выполнено обновление операционной системы. 

Внимание!
После успешного обновления проверку целостности программных пакетов утилитой fly-admin-incheck необходимо проводить только с помощью файла gostsum.txt, расположенного в корневом каталоге диска с обновлениями.

В случае, если по каким-то причинам провести обновление программных пакетов указанным выше способом невозможно, выполните методические указания приведенные ниже:

Методические указания по нейтрализации угроз эксплуатации уязвимостей операционной системы специального назначения "Astra Linux Special Edition" (версия 1.5) в информационных системах

Идентификаторы уязвимостей соответствуют указанным в банке данных угроз безопасности информации ФСТЭК России

1. Методика безопасности, нейтрализующая уязвимость BDU:2016-01146

Эксплуатация уязвимости возможна только при наличии в операционной системе установленного пакета imagemagick, который не устанавливается по умолчанию. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН в конфигурационный файл /etc/ImageMagick/policy.xml в раздел <policymap> добавить строки: 

<policy domain="coder" rights="none" pattern="EPHEMERAL" />
<policy domain="coder" rights="none" pattern="URL" />
<policy domain="coder" rights="none" pattern="HTTPS" />
<policy domain="coder" rights="none" pattern="MVG" />
<policy domain="coder" rights="none" pattern="MSL" />
<policy domain="coder" rights="none" pattern="FTP" />
<policy domain="coder" rights="none" pattern="HTTP" />


2. Методика безопасности, нейтрализующая уязвимость BDU:2016-01573

Эксплуатация уязвимости возможна только при наличии в операционной системе установленного пакета libgraphicsmagick3, который не устанавливается по умолчанию. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН в конфигурационном файле /usr/lib/GraphicsMagick-1.3.16/config/delegates.mgk удалить строку: 

<delegate decode="gplt" command='"echo" "set size 1.25,0.62; set terminal postscript portrait color solid; set outp    ut \"%o\"; load \"%i\"" > "%u"; "gnuplot" "%u"' />

3. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01583

Эксплуатация уязвимости возможна только при наличии в операционной системе разрешения у пользователей на запуск программы сбора сетевой статистики lnstat. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН запретить пользователям запуск данной программы, выполнив в терминале команду: 

chmod 750 /usr/bin/lnstat


4. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01584

Эксплуатация уязвимости возможна только при наличии в операционной системе разрешения у пользователей на запуск программы сбора сетевой статистики lnstat. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН запретить пользователям запуск данной программы, выполнив в терминале команду: 

chmod 750 /usr/bin/lnstat

5. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01585

Эксплуатация уязвимости возможна только при наличии в операционной системе установленного пакета gpsd-clients, который не устанавливается по умолчанию. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН запретить пользователям запуск программы gpxlogger, выполнив в терминале команду: 

chmod 750 /usr/bin/gpxlogger

6. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01586

Эксплуатация уязвимости возможна только при наличии в операционной системе установленного пакета speech-tools, который не устанавливается по умолчанию. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН запретить пользователям запуск программы wfst_run, выполнив в терминале команду: 

chmod 750 /usr/bin/wfst_run


7. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01587

Эксплуатация уязвимости возможна только при наличии в операционной системе установленного пакета texlive-binaries, который не устанавливается по умолчанию. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН запретить пользователям запуск программы mendex, выполнив в терминале команду: 

chmod 750 /usr/bin/mendex

8. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01588

Эксплуатация уязвимости возможна только при наличии в операционной системе установленного пакета firebird2.5-classic-common, который не устанавливается по умолчанию. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН запретить пользователям запуск программы gdef, выполнив в терминале команду: 

chmod 750 /usr/bin/gdef

9. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01589

Эксплуатация уязвимости возможна только при наличии в операционной системе разрешения на автоматическую загрузку модуля ядра drivers/net/wireless/libertas/libertas_cs.ko. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН в терминале выполнить команду: 

echo blacklist libertas_cs > /etc/modprobe.d/blacklist_libertas_cs.conf

update-initramfs -u -k all

10. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01590

Эксплуатация уязвимости возможна только при наличии в операционной системе разрешения на автоматическую загрузку модуля ядра drivers/net/usb/kalmia.ko. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН в терминале выполнить команду:

echo blacklist kalmia > /etc/modprobe.d/blacklist_kalmia.conf

update-initramfs -u -k all

11. Методика безопасности, нейтрализующая уязвимость BDU:Z-2016-01591

Эксплуатация уязвимости возможна только при наличии в операционной системе разрешения на автоматическую загрузку модуля ядра drivers/net/usb/smsc75xx.ko. Для предотвращения эксплуатации указанной уязвимости необходимо от имени учетной записи администратора ОС СН в терминале выполнить команду:

echo blacklist smsc75xx > /etc/modprobe.d/blacklist_smsc75xx.conf

update-initramfs -u -k all

Ссылки

Источник — «https://xn--80ac3cm.xn--p1ai/index.php?title=Astra_Linux.Обновления_безопасности_для_ALSE_1.5&oldid=5954»