BDU:2024-06594 — уязвимость программного обеспечения для лицензирования продуктов 1С:СЛК
По данным БДУ ФСТЭК России, по состоянию на 28.11.2024.
Средний — 6.1/10 Существует эксплойт Устранена
Уязвимость программного обеспечения для лицензирования продуктов 1С:СЛК связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, провести атаку межсайтового скриптинга (XSS)
Кого касается и что делать
- Уязвимое ПО: 1С:СЛК (ООО «1С-Софт») — версии до 3.0.37
- Что делать: уязвимость устранена производителем — применить исправления: licencecenter.ru, releases.1c.ru, 1c-slk.ru
- Эксплойт: существует — обновление не откладывать
Сведения об уязвимости
| Идентификаторы | BDU:2024-06594 |
| Уровень опасности | Средний (базовая оценка CVSS 3.1 — 6.1; CVSS 2.0 — 6.4) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, требуется участие пользователя, затрагивает смежные компоненты, ограниченное влияние на конфиденциальность и целостность |
| Наименование ФСТЭК | Уязвимость программного обеспечения для лицензирования продуктов 1С:СЛК, связана с непринятием мер по защите структуры веб-страницы, позволяющая нарушителю провести атаку межсайтового скриптинга (XSS) |
| Даты | Опубликована: 02.09.2024 · Обновлена ФСТЭК: 28.11.2024 · Выявлена: 08.08.2024 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Существует (эксплойт известен, в открытом доступе не опубликован) |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-79 — непринятие мер по защите структуры веб-страницы (или «Межсайтовая сценарная атака») |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: инъекция |
Уязвимое ПО
- 1С:СЛК (ООО «1С-Софт») — до 3.0.37 · средство АСУ ТП, ПО программно-аппаратного средства АСУ ТП
ОС и платформы
- Windows (Microsoft)
Возможные меры по устранению уязвимости
Если обновиться нельзя
- использование средств межсетевого экранирования для ограничения возможности удалённого доступа
- ограничение доступа к консоли в настройках сервера
- ограничение доступа к сервису из внешних сетей (Интернет).
Использование рекомендаций производителя:
Обновление до версии сервера 3.0.37 или выше
licencecenter.ru
releases.1c.ru/project/SLK
1c-slk.ru/support/links/
solutions.1c.ru/catalog/slk/materials
