BDU:2017-01421 (CVE-2017-9606) — уязвимость недостаточной проверки файлов обновлений в папке обновлений программного комплекса защиты информации VipNet Coordinator
По данным БДУ ФСТЭК России, по состоянию на 23.03.2021.
Средний — 6.6/10 Устранена
Уязвимость программного комплекса защиты информации VipNet Coordinator связана с недостаточной проверкой прав доступа к папке с обновлениями и недостаточной проверкой целостности и подлинности файлов обновлений. Эксплуатация уязвимости может позволить нарушителю, действующему локально, создать поддельный файл обновления, содержащий произвольный код, разместить его в папке обновлений, а затем выполнить с системными привилегиями или привилегиями администратора
Кого касается и что делать
- Уязвимое ПО: VipNet Coordinator из состава ПКЗИ ViPNet 4 (АО «ИнфоТеКС») — версии 3.х, 4.х до версии 4.3 (2.37273) включительно
- Что делать: уязвимость устранена производителем — применить исправления (см. меры ниже)
Сведения об уязвимости
| Идентификаторы | BDU:2017-01421 · CVE-2017-9606 |
| Уровень опасности | Средний (базовая оценка CVSS 2.0 — 6.6) |
| Вектор CVSS 2.0 | AV:L/ нужен локальный доступ, средняя сложность, нужна однократная аутентификация, полное влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость недостаточной проверки файлов обновлений в папке обновлений программного комплекса защиты информации VipNet Coordinator, позволяющая нарушителю выполнить произвольный код |
| Даты | Опубликована: 19.06.2017 · Обновлена ФСТЭК: 23.03.2021 · Выявлена: 14.06.2017 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем) |
| Тип ошибки | CWE-264 — разрешения, привилегии и средства управления доступом |
| Класс уязвимости | Уязвимость кода |
Уязвимое ПО
- VipNet Coordinator из состава ПКЗИ ViPNet 4 (АО «ИнфоТеКС») — версии 3.х, 4.х до версии 4.3 (2.37273) включительно · программное средство защиты
ОС и платформы
- Windows (Microsoft) — 64-bit
Возможные меры по устранению уязвимости
Обновление.
- Обновление программного обеспечения на версию ViPNet Coordinator 4.3.2 (46794).
- Пользователям предыдущих версий ViPNet Coordinator рекомендуется создать замкнутую программную среду при помощи ПО ViPNet SysLocker
