С целью предотвращения реализации угроз безопасности информации, С целью предотвращения реализации угроз безопасности информации, связанных с эксплуатацией уязвимостей, просим обратить внимание на необходимость устранения следующих уязвимостей: 1. Уязвимость средства управления доступом к сети Fortinet FortiNAC (BDU:2023-00937, уровень опасности по CVSS 3.0 - критический), связанная с недостатками процедуры авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированных POST-запросов по протоколу HTTP. В целях предотвращения возможности эксплуатации указанной уязвимости рекомендуется установить обновление программного обеспечения в соответствии с Методикой оценки уровня критичности программных, программно-аппаратных средств, утвержденной ФСТЭК России от 28 октября 2022 г. (fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty/114-spetsialnye- normativnye-dokumenty). В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры: использовать средства межсетевого экранирования уровня веб-приложений; применять системы обнаружения и предотвращения вторжений для ограничения возможности удаленного доступа с недоверенных хостов; использовать сторонние средства контроля доступа пользователей к программному продукту из общедоступных сетей. 2. Уязвимость веб-интерфейса микропрограммного обеспечения маршрутизаторов Netgear N600 (WNDR3700) (BDU:2023-00938, уровень опасности по CVSS 3.0 - критический), связанная с отсутствием мер по очистке входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код. В целях предотвращения возможности эксплуатации указанной уязвимости рекомендуется установить обновление программного обеспечения в соответствии с Методикой оценки уровня критичности программных, программно-аппаратных средств, утвержденной ФСТЭК России от 28 октября 2022 г. (fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty/114-spetsialnye- normativnye-dokumenty). В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры: использовать средства и системы обнаружения вторжений для предотвращения удаленного доступа к устройству; использовать средства межсетевого экранирования для ограничения возможности отправки запросов к веб-интерфейсу устройства. 3. Уязвимость веб-интерфейса управления микропрограммного обеспечения IP-телефонов Cisco IP Phone 6800, Cisco IP Phone 7800 и Cisco IP Phone 8800 (BDU:2023-00980, уровень опасности пo CVSS 3.0 - критический), связанная с возможностью внедрения команд. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с root-привилегиями. В целях предотвращения возможности эксплуатации указанной уязвимости рекомендуется установить обновление программного обеспечения в соответствии рекомендуется установить обновление программного обеспечения в соответствии с Методикой оценки уровня критичности программных, программно-аппаратных средств, утвержденной ФСТЭК России от 28 октября 2022 г. (fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty/114-spetsialnye- normativnye-dokumenty). В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры: использовать средства межсетевого экранирования с целью блокирования нежелательного трафика; применять системы обнаружения и предотвращения вторжений. 4. Уязвимость почтового сервера Microsoft Exchange Server (BDU:2023- 00981, уровень опасности по CVSS 3.0 - высокий), связанная с ошибками при управлении генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код. В целях предотвращения возможности эксплуатации указанной уязвимости рекомендуется установить обновление программного обеспечения в соответствии с Методикой оценки уровня критичности программных, программно-аппаратных средств, утвержденной ФСТЭК России от 28 октября 2022 г. (fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty/114-spetsialnye- normativnye-dokumenty). В случае невозможности установки обновления программного обеспечения необходимо принять следующие компенсирующие меры: отключить неиспользуемые учетные записи, а также учетные записи недоверенных пользователей; осуществить принудительную смену паролей пользователей; использовать средства обнаружения и предотвращения вторжений; использовать антивирусные средства защиты; производить мониторинг действий пользователей.
