BDU:2017-01422 (CVE-2017-9606) — уязвимость недостаточной проверки файлов обновлений в папке обновлений клиента программного комплекса защиты информации VipNet
По данным БДУ ФСТЭК России, по состоянию на 13.08.2025.
Средний — 6.6/10 Устранена
Уязвимость программного комплекса защиты информации VipNet Client связана с недостаточной проверкой прав доступа к папке с обновлениями и недостаточной проверкой целостности и подлинности файлов обновлений. Эксплуатация уязвимости может позволить нарушителю, действующему локально, создать поддельный файл обновления, содержащий произвольный код, разместить его в папке обновлений, а затем выполнить с системными привилегиями или привилегиями администратора
Кого касается и что делать
- Уязвимое ПО: VipNet Client из состава ПКЗИ ViPNet 4 (АО «ИнфоТеКС») — версии 4.х до версии 4.3 (2.37373) включительно, 3.х
- Что делать: уязвимость устранена производителем — применить исправления (см. меры ниже)
Сведения об уязвимости
| Идентификаторы | BDU:2017-01422 · CVE-2017-9606 |
| Уровень опасности | Средний (базовая оценка CVSS 2.0 — 6.6) |
| Вектор CVSS 2.0 | AV:L/ нужен локальный доступ, средняя сложность, нужна однократная аутентификация, полное влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость недостаточной проверки файлов обновлений в папке обновлений клиента программного комплекса защиты информации VipNet Client, позволяющая нарушителю выполнить произвольный код |
| Даты | Опубликована: 23.03.2021 · Обновлена ФСТЭК: 13.08.2025 · Выявлена: 14.06.2017 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем) |
| Тип ошибки | CWE-264 — разрешения, привилегии и средства управления доступом |
| Класс уязвимости | Уязвимость кода |
Уязвимое ПО
- VipNet Client из состава ПКЗИ ViPNet 4 (АО «ИнфоТеКС») — версии 4.х до версии 4.3 (2.37373) включительно, 3.х · программное средство защиты
ОС и платформы
- Windows (Microsoft) — 64-bit
Возможные меры по устранению уязвимости
Обновление.
- Обновление программного обеспечения на версию ViPNet Client 4.3.2 (46794).
- Пользователям предыдущих версий ViPNet Client рекомендуется создать замкнутую программную среду при помощи ПО ViPNet SysLocker
