| Информация |
|---|
| Методические указания по нейтрализации угроз эксплуатации уязвимостей операционной системы специального назначения Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6), далее по тексту - Astra Linux, в информационных системах. |
| Информация |
|---|
Методические указания не являются кумулятивными. При выполнении методических указаний другие виды обновлений автоматически не применяются и должны быть установлены отдельно. |
| Информация |
|---|
Настоящее методические указания предназначены для нейтрализации угрозы эксплуатации уязвимости в Astra Linux с установленным оперативным обновлением 12 (бюллетень № 20221220SE16). |
| Подсказка |
|---|
Обновленные пакеты, в которых устранена угроза эксплуатации уязвимости, будут включены в состав следующего оперативного обновления. |
Методика безопасности, нейтрализующая угрозу эксплуатации уязвимости службы сервера FreeIPA
| Примечание |
|---|
Информация об уязвимости, закрываемой при выполнении настоящих методических указаний, предоставляется после соответствующего обращения в техническую поддержку. |
| Предупреждение | ||
|---|---|---|
| ||
Применение методических указаний необходимо выполнять от имени учетной записи пользователя с полномочиями администратора системы с высоким уровнем целостности. |
Для нейтрализации угрозы эксплуатации уязвимости службы сервера FreeIPA на каждом сервере (реплике) необходимо выполнить действия, описанные ниже.
Уточнить наименование домена командой:
Command astra-freeipa-server -i
Пример вывода после выполнения команды:
Блок кода Обнаружен настроенный домен mydomainmy.domain.local WEB: https://dc.my.mydomain.local
где:
- mydomain – наименование основного домена; local – наименование доменной зоны.
Запустить инструмент командной строки
ldapmodify, выполнив следующую команду:Command ldapmodify -D "cn=Directory Manager" -W
Ввести пароль администратора домена и, после успешной авторизации появится приглашение для ввода.
Указать компоненты наименования домена, для этого ввести следующие строкистроку вида:
Блок кода dn: dc=<наименование_основногоdc=<N-й_компонент_наименования_домена>,...dc=<2-й_компонент_наименования_домена>,dc=<1-й_компонент_наименования_домена>
для примера, приведенного выше, строка будет иметь вид:
Блок кода dn: dc=my,dc=domain,dc=localИзменить ACL (список прав доступа) атрибута
userPasswordсanyone(все пользователи) наall(только аутентифицированные пользователи). Для этого ввести следующие строки:Блок кода <наименование_доменной_зоны> changetype: modify delete: aci aci: (targetattr = "userPassword")(version 3.0; acl "Users can read attr userPassword"; allow (read, compare,search) groupdn = "ldap:///anyone";) - add: aci aci: (targetattr = "userPassword")(version 3.0; acl "Users can read attr userPassword"; allow (read, compare,search) groupdn = "ldap:///all";) -нажать клавишу <ENTER> (дважды). О начале процесса внесения изменений в настройки свидетельствует следующее сообщение:
Блок кода modifying entry "dc=<наименование<компоненты_основоногонаименования_домена>,dc=<наименование_доменной_зоны>"
после появления приглашения для ввода (и при отсутствии сообщений об ошибках) завершить работу инструмента командной строки
ldapmodify, например, нажав комбинацию клавиш <Cntrl+C>.
domain.local |
| Примечание |
|---|
После применения настоящей методики рекомендуется провести смену паролей пользователей. По умолчанию в домене FreeIPA используются следующие настройки сложности пароля:
|
...