BDU:2022-01141 (CVE-2022-27228) — уязвимость модуля «vote» системы управления содержимым сайтов (CMS) 1С-Битрикс
По данным БДУ ФСТЭК России, по состоянию на 12.07.2022.
Уязвимость модуля «vote» системы управления содержимым сайтов (CMS) 1С-Битрикс: Управление сайтом связана с возможностью отправки специально сформированных сетевых пакетов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, записать произвольные файлы в уязвимую систему
Кого касается и что делать
- Уязвимое ПО: 1С-Битрикс: Управление сайтом (ООО «1С-Битрикс»); vote (ООО «1С-Битрикс») — версии до 22.0.400
- Что делать: уязвимость устранена производителем — применить исправления: dev.1c-bitrix.ru, dev.1cbitrix.ru, dev.1cbitrix.ru
- Эксплойт: существует в открытом доступе — приоритет обновления внеочередной
Сведения об уязвимости
| Идентификаторы | BDU:2022-01141 · CVE-2022-27228 |
| Уровень опасности | Критический (базовая оценка CVSS 3.1 — 9.8; CVSS 2.0 — 10.0) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость модуля «vote» системы управления содержимым сайтов (CMS) 1С-Битрикс: Управление сайтом, связанная с возможностью отправки специально сформированных сетевых пакетов, позволяющая нарушителю записать произвольные файлы в уязвимую систему |
| Даты | Опубликована: 04.03.2022 · Обновлена ФСТЭК: 12.07.2022 · Выявлена: 04.03.2022 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен) |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-20 — недостаточная проверка вводимых данных |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: манипулирование ресурсами |
Уязвимое ПО
- 1С-Битрикс: Управление сайтом (ООО «1С-Битрикс») — прикладное ПО информационных систем
- vote (ООО «1С-Битрикс») — до 22.0.400 · прикладное ПО информационных систем
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций:
dev.1c-bitrix.ru/docs/versions.php
Обновление программного обеспечения CMS Bitrix до актуальной версии 22.0.400 и выше
Проверить наличие фактов нелегитимной модификации файлов, посредством команды, которая осуществляет поиск и сортирует измененные и новые файлы за последние 30 дней, кроме последнего дня:
find /home/Путь к вашей папке Bitrix/public_html -type f -mtime -30! -mtime -1 -printf'%TY-%Tm-%Td %TT %p\n' | sort -r
Рекомендации по защите веб-сайтов
- перевести работу сайта на актуальную версию PHP 7.4
- включить проактивную защиту CMS Bitrix: проактивный фильтр (dev.1cbitrix.ru/user_help/settings/security/security_filt… и контроль активности (dev.1cbitrix.ru/user_help/settings/security/security_stat…
- проверить сайт инструментом CMS Bitrix "Сканер безопасности" (/bitrix/admin/security_scanner.php)
- закрыть доступ к файлам на уровне сервера:
/bitrix/tools/upload.php
/bitrix/tools/mail_entry.php
/bitrix/modules/main/include/virtual_file_system.php
/bitrix/components/bitrix/sender.mail.editor/ajax.php
/bitrix/tools/vote/uf.php
/bitrix/tools/html_editor_action.php
/bitrix/admin/site_checker.php
