BDU:2025-05116 — уязвимость механизма обновления программно-аппаратного комплекса защиты информации ViPNet Client 4
По данным БДУ ФСТЭК России, по состоянию на 02.05.2025.
Уязвимость механизма обновления программно-аппаратного комплекса защиты информации ViPNet Client 4 связана с недостаточным количеством проверок легитимности конверта обновления, распространяемого по транспортному протоколу mftp. Эксплуатация уязвимости возможна только для внутреннего нарушителя, обладающего повышенными привилегиями и выходящего за рамки заявленного уровня защищенности продукта, и может позволить нарушителю запустить программное обеспечение, имитирующее обновление
Кого касается и что делать
- Уязвимое ПО: ViPNet Client (АО «ИнфоТеКС») — версии 4.5.5, 4.5.3
- Что делать: уязвимость устранена производителем — применить исправления (см. меры ниже)
- Эксплойт: существует — обновление не откладывать
Сведения об уязвимости
| Идентификаторы | BDU:2025-05116 |
| Уровень опасности | Низкий (базовая оценка CVSS 3.1 — 2.5; CVSS 4.0 — 4.9; CVSS 2.0 — 1.0) |
| Вектор CVSS 3.1 | AV:L/ нужен локальный доступ, высокая сложность, нужны права администратора, без участия пользователя, затрагивает смежные компоненты, ограниченное влияние на целостность |
| Вектор CVSS 4.0 | AV:L/ нужен локальный доступ, высокая сложность, нужны дополнительные условия атаки, нужны права администратора, без участия пользователя, ограниченное влияние на целостность |
| Наименование ФСТЭК | Уязвимость механизма обновления программно-аппаратного комплекса защиты информации ViPNet Client 4, позволяющая нарушителю запустить программное обеспечение, имитирующее обновление |
| Даты | Опубликована: 02.05.2025 · Обновлена ФСТЭК: 02.05.2025 · Выявлена: 09.04.2025 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Существует (эксплойт известен, в открытом доступе не опубликован) |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-693 — нарушение механизма защиты данных |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: несанкционированный сбор информации |
Уязвимое ПО
- ViPNet Client (АО «ИнфоТеКС») — версии 4.5.5, 4.5.3 · программное средство защиты
ОС и платформы
- Windows (Microsoft) — 64-bit
Возможные меры по устранению уязвимости
Обновление.
- Использование рекомендаций
- Обновление программного обеспечения до версии 4.5.5 Hotfix 9 (сборка 20126) или выше
- Обновление программного обеспечения до версии 4.5.3 Hotfix 7 (сборка 65158) или выше
Для сохранения функциональной совместимости, рекомендуется обновить до актуальной версии другие продукты ViPNet, осуществляющие обновление по транспортному протоколу mftp. По результатам расследования инцидента с проведением выявленной целевой атаки у ряда пользователей продуктов ViPNet и с уровнем нарушителя, выходящего за рамки заявленного уровня защищенности программного обеспечения ViPNet Client 4, была оперативно проведена доработка транспортного протокола и методов контроля аутентичности обновлений программного обеспечения ViPNet Client. Для сохранения функциональной совместимости, так же были доработаны другие продукты ViPNet, осуществляющие обновления по транспортному протоколу mftp
