BDU:2021-05106 — уязвимость программно-аппаратного комплекса средств защиты информации от несанкционированного доступа «Аккорд-В»
По данным БДУ ФСТЭК России, по состоянию на 29.11.2021.
Высокий — 7.4/10 Устранена
Уязвимость программно-аппаратного комплекса средств защиты информации от несанкционированного доступа «Аккорд-В» связана с нарушением установленного распределения ролей. Эксплуатация уязвимости может позволить нарушителю обойти разграничения доступа к ресурсам АРМ АБИ/АВИ для администраторов АРМ и выполнить произвольный код от имени системы
Кого касается и что делать
- Уязвимое ПО: Аккорд-В (АО «ОКБ САПР») — версии 1.3
- Что делать: уязвимость устранена производителем — применить исправления (см. меры ниже)
Сведения об уязвимости
| Идентификаторы | BDU:2021-05106 |
| Уровень опасности | Высокий (базовая оценка CVSS 3.1 — 7.4; CVSS 2.0 — 6.9) |
| Вектор CVSS 3.1 | AV:L/ нужен локальный доступ, высокая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость программно-аппаратного комплекса средств защиты информации от несанкционированного доступа «Аккорд-В», связанная с нарушением установленного распределения ролей, позволяющая нарушителю обойти разграничения доступа к ресурсам АРМ АБИ/АВИ для администраторов АРМ и выполнить произвольный код от имени системы |
| Даты | Опубликована: 22.10.2021 · Обновлена ФСТЭК: 29.11.2021 · Выявлена: 28.08.2021 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: организационные меры) |
| Тип ошибки | CWE-114 — управление процессом |
| Класс уязвимости | Уязвимость кода |
Уязвимое ПО
- Аккорд-В (АО «ОКБ САПР») — 1.3 · средство защиты
ОС и платформы
- Windows XP (Microsoft) — 64-bit
- Windows Server 2003 (Microsoft) — 64-bit
- Windows Vista (Microsoft) — 64-bit
- Windows 7 (Microsoft) — 64-bit
- Windows 8 (Microsoft) — 64-bit
- Windows 8.1 (Microsoft) — 64-bit
- Windows Server 2008 R2 (Microsoft) — 64-bit
- Windows Server 2012 (Microsoft) — 64-bit
- Windows Server 2012 R2 (Microsoft) — 64-bit
Возможные меры по устранению уязвимости
Обновление.
- Использование следующих компенсирующих мер
- Для «Аккорд-АМДЗ», установленного на АРМ АБИ/АВИ
- 1. В среде администрирования Аккорд-АМДЗ перейти на вкладку «Файлы»
- 2. Развернуть дерево диска, на который было установлено СПО «Аккорд-В.», и выбрать каталог установки (по умолчанию, C:\Program Files (x86)\OKB SAPR\Accord-V\).
- 3. Нажать кнопку «Добавить в СКЦ».
- 4. Установить флаги: «Контролировать каждый файл отдельно», «Контролировать содержимое файлов», «Контролировать подкаталоги». Задать маску файлов «*.dll». Нажать ОК.
- 5. Нажать кнопку «Сохранить» и выйти из среды администрирования.
- Для СПО «Аккорд-Win32 TSE» («Аккорд-Win64 TSE), установленного на АРМ АБИ/АВИ
- В главном окне программы «Редактор базы пользователей» (Aced32.exe) выбрать нужного пользователя (выполняющего роль Администратора безопасности, отвечающего за работу с СПО «Аккорд-В.»).
- 1. Войти в меню «Разграничение доступа», нажать кнопку «Новый».
- 1.1. Выбрать каталог установки СПО «Аккорд-В.» (по умолчанию, C:\Program Files (x86)\OKB SAPR\Accord-V\) и нажать кнопки «Чтение» и «Сохранить».
- 1.2. В каталоге установки СПО «Аккорд-В.» выбрать подкаталог «certs». Нажать кнопку «Чтение», добавить флаг «Открыть для записи», снять флаг «Запуск программ». Нажать кнопку «Сохранить».
- 1.3. Повторить действия пункта 1.2 для файлов: Config.xml, CredentialStore.xml, LogConfig.xml, EventDatabase.db, ManagedDatabase.db из каталога установки СПО «Аккорд-В.».
- 1.4. Нажать кнопку «Сохранить» в окнах «Атрибуты доступа к объектам» и «Редактирование правил разграничения доступа», после чего нажать «Сохранить» в главном окне «Редактора базы пользователей»
- 2. Войти в меню «Контроль целостности»
- 2.1. На вкладке «Статический» выбрать каталог установки СПО «Аккорд-В.» и нажать кнопку «Добавить содержимое папки в список». В появившемся окне указать фильтр «*.dll» и установить флаг «Восстанавливать при модификации». Нажать «ОК». Установить флаг «До запуска системы», приложить идентификатор пользователя, для которого устанавливается контроль, и нажать «Расчёт».
- 2.2. Нажать кнопку «Сохранить» в окнах «Атрибуты доступа к объектам» и «Редактирование правил разграничения доступа», после чего нажать «Сохранить» в главном окне «Редактора базы пользователей»
