BDU:2026-15009 — уязвимость средства обеспечения аутентификации пользователей Avanpost FAM
По данным БДУ ФСТЭК России, по состоянию на 03.11.2026.
Уязвимость механизма восстановления пароля компонента Avanpost FAM Server средства обеспечения аутентификации пользователей Avanpost FAM связана с контроля в механизме восстановления пароля. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, пройти аутентификацию в системе в обход второго и последующих факторов
Кого касается и что делать
- Уязвимое ПО: Avanpost FAM (ООО «Аванпост») — версии от 1.13.x до 1.13.15 включительно, от 1.14.x до 1.14.22 включительно, от 1.15.x до 1.15.8 включительно, от 1.16.x до 1.16.3 включительно, от 1.17.x до 1.17.8 включительно
- Что делать: уязвимость устранена производителем — применить исправления (см. меры ниже)
Сведения об уязвимости
| Идентификаторы | BDU:2026-15009 |
| Уровень опасности | Высокий (базовая оценка CVSS 3.1 — 8.7; CVSS 2.0 — 7.1) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, высокая сложность, без прав, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность и целостность |
| Наименование ФСТЭК | Уязвимость средства обеспечения аутентификации пользователей Avanpost FAM, связанная с недостатком контроля в механизме восстановления пароля, позволяющая нарушителю пройти аутентификацию в системе в обход второго и последующих факторов |
| Даты | Обновлена ФСТЭК: 03.11.2026 · Выявлена: 09.09.2026 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-287 — неправильная аутентификация; CWE-640 — слабый механизм восстановления забытых паролей |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: нарушение аутентификации |
Уязвимое ПО
- Avanpost FAM (ООО «Аванпост») — версии от 1.13.x до 1.13.15 включительно, от 1.14.x до 1.14.22 включительно, от 1.15.x до 1.15.8 включительно, от 1.16.x до 1.16.3 включительно, от 1.17.x до 1.17.8 включительно · прикладное ПО информационных систем
Возможные меры по устранению уязвимости
Обновление.
- Обновление программного обеспечения
- Avanpost FAM Server 1.13.x — до Avanpost FAM Server 1.17.9
- Avanpost FAM Server 1.14.х — до Avanpost FAM Server 1.14.23
- Avanpost FAM Server 1.15.х — до Avanpost FAM Server 1.15.9
- Avanpost FAM Server 1.16.x — до Avanpost FAM Server 1.16.4
- Avanpost FAM Server 1.17.x — до Avanpost FAM Server 1.17.9
Если немедленное обновление невозможно, до его установки необходимо: 1. Ограничить доступ к процедуре самостоятельного восстановления пароля — отключить её в конфигурации, если она не используется, либо ограничить сетевой доступ к ней доверенными сегментами. Уязвимый сценарий начинается именно с этого потока. Адрес для запрета: сервера системы аутентификации/user/restore_password 2. Ограничить сетевую доступность веб-интерфейса и API продукта из недоверенных сетей (публикация только через контролируемый периметр, списки разрешённых адресов). 3. Включить и проверить полноту журналирования обращений к процедурам восстановления пароля, выдачи кодов авторизации и обращения к API личного кабинета. 4. Усилить мониторинг по следующим признакам: — обращения к процедуре восстановления пароля, не завершившиеся фактической сменой пароля, особенно последовательные обращения с одного адреса по разным именам учётных записей; — выдача кода авторизации по запросу с параметром prompt=none вскоре после обращения к процедуре восстановления пароля, без предшествующего успешного ввода пароля и/или второго фактора; — обращения к API личного кабинета с токеном, выданным по такой последовательности. Перечень компенсирующих мер применим к типовой конфигурации; для нестандартных развёртываний необходимо согласовать меры со службой технической поддержки
