Информация |
---|
Обновление безопасности операционной системы специального назначения Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6), далее по тексту - Astra Linux, предназначено для нейтрализации уязвимостей в информационных системах. |
Оглавление |
---|
Информация |
---|
Обновление безопасности содержит отдельные программные пакеты, в которые внесены изменения с целью устранения ряда уязвимостей ядра linux, а также методические указания, нейтрализующие угрозу эксплуатации уязвимостей пакета apache2.
Настоящее обновление безопасности не является кумулятивным. При применении данного обновления другие виды обновлений автоматически не применяются и должны быть установлены отдельно. |
Информация |
---|
Перед установкой настоящего обновления безопасности необходимо установить оперативное обновление 10 (бюллетень № 20211126SE16). |
Подсказка |
---|
Обновленные пакеты, в которых устранена угроза эксплуатации уязвимости, включены в состав оперативного обновления 11 (бюллетень № 20220829SE16). |
Примечание |
---|
Перечень уязвимостей, закрываемых обновлением, предоставляется после соответствующего обращения на портале технической поддержки. |
Информация |
---|
В настоящее обновление безопасности добавлена версия пакета QEMU, в котором обеспечивается установка мандатной метки в пакетах сетевого трафика. |
Обновление безопасности, нейтрализующее угрозу эксплуатации уязвимостей ядра linux
Информация |
---|
Нейтрализация угрозы эксплуатации уязвимостей осуществляется путём обновления отдельных пакетов. Пакеты с устраненными уязвимостями войдут в состав последующего кумулятивного оперативного обновления. |
Предупреждение |
---|
Если в системе используется программное обеспечение, разработанное с использованием средств разработки, необходимо выполнить обновление пакетов, размещённых на диске со средствами разработки. |
Подготовка к установке обновления
Предупреждение |
---|
Перед установкой обновлений:
|
Предупреждение |
---|
Перед массовой установкой обновления на находящиеся в эксплуатации компьютеры в обязательном порядке необходимо выполнить проверку работоспособности на тестовых компьютерах в аналогичных используемым конфигурациях (путем установки обновления и перезагрузки). |
Предупреждение | ||
---|---|---|
| ||
|
Установка обновления пакетов установочного диска
Скачать tar-архив с помощью WEB-браузера по следующей ссылке: https://dl.astralinux.ru/astra/stable/smolensk/security-updates/1.6/20220318SE16MD/2022-0318SE16MD/20220407SE16MD/20220407SE16MD.tar.gz, либо выполнив команду:
Command wget https://dl.astralinux.ru/astra/stable/smolensk/security-updates/1.6/20220407SE16MD/20220407SE16MD.tar.gz
Подсказка Настоящее обновление безопасности подписано усиленной квалифицированной электронной подписью ООО "РусБИТех-Астра": https://dl.astralinux.ru/astra/stable/smolensk/security-updates/1.6/20220318SE16MD20220407SE16MD/2022-0318SE16MD20220407SE16MD.tar.gz_2022-03-24_11-41-31.tsp.sig.
Порядок проверки обновления безопасности описан в статье Проверка отсоединенной подписи файлов.- Перейти в каталог с tar-архивом
2022-0318SE16MD20220407SE16MD.tar.gz
; Проверить соответствие контрольной сумме, представленной ниже. Для получения контрольной суммы выполнить команду:
Command gostsum 2022-0318SE16MD20220407SE16MD.tar.gz
Контрольная сумма:
Блок кода 33e2d67a9cd5b115971b3903dc47b7d4fdc59a7dafaed41a5d46e37eb17502b40e9c533a438adcd2093c20ddb09e2fb8a7eab2fc8450eb71c14275e194485238
Распаковать архив, например, в каталог
/mnt/
, выполнив команду:Command sudo tar xzvf 2022-0318SE16MD20220407SE16MD.tar.gz -C /mnt/
Полученный в результате распаковки tar-архива каталог
2022-0318SE16MD
20220407SE16MD
подключить в качестве репозитория в соответствии с принятыми правилами использования репозиториев (см. Подключение репозиториев с пакетами в ОС Astra Linux и установка пакетов). Например, чтобы подключить в качестве локального репозитория каталог/mnt/2022-0318SE16MD20220407SE16MD/
, необходимо:с помощью текстового редактора в файле
/etc/apt/sources.list
добавить строку вида:Блок кода deb file:/mnt/
20220407SE16MD/ smolensk main contrib non-free
либо выполнить команду:
Command echo "deb file:/mnt/20220407SE16MD/ smolensk main contrib non-free" | sudo tee -a /etc/apt/sources.list
затем выполнить повторную синхронизацию файлов описаний пакетов с их источником:
Command sudo apt update
После подключения репозитория, обновление пакетов может быть установлено одной из следующих команд:
Command sudo astra-update -a -r
Command sudo apt dist-upgrade
Установка обновления пакетов диска со средствами разработки
Скачать tar-архив с помощью WEB-браузера по следующей ссылке: https://dl.astralinux.ru/astra/stable/smolensk/security-updates/1.6/devel/20220318SE16MD20220407SE16MD/20220407SE16MD-devel-2022-0318SE16MD.tar.gz, либо выполнив команду:
Command wget https://dl.astralinux.ru/astra/stable/smolensk/security-updates/1.6/devel/20220407SE16MD/20220407SE16MD-devel.tar.gz
Подсказка Настоящее обновление пакетов диска со средствами разработки подписано усиленной квалифицированной электронной подписью ООО "РусБИТех-Астра": https://dl.astralinux.ru/astra/stable/smolensk/security-updates/1.6/devel/20220318SE16MD20220407SE16MD/20220407SE16MD-devel-2022-0318SE16MD.tar.gz.sig.
Порядок проверки обновления безопасности описан в статье Проверка отсоединенной подписи файлов.- Перейти в каталог tar-архивом
20220407SE16MD-devel-2022-0318SE16MD.tar.gz
; Проверить соответствие контрольной сумме, представленной ниже. Для получения контрольной суммы выполнить команду:
Command gostsum 20220407SE16MD-devel-2022-0318SE16MD.tar.gz
Контрольная сумма:
Блок кода ad645ff695eca10a9e5cfc5657c49d8409d8b4f44109ce9c3e06f35736bcf470ec6908eeb9c19acf4c883e0dcc59b97f3b35b0db13c534c87889b82184543f8a
Распаковать архив, например, в каталог
/mnt/
, выполнив команду:Command sudo tar xzvf 20220407SE16MD-devel-2022-0318SE16MD.tar.gz -C /mnt/
Полученный в результате распаковки tar-архива каталог 20220407SE16MD-devel -2022-0318SE16MD подключить в качестве репозитория в соответствии с принятыми правилами использования репозиториев (см. Подключение репозиториев с пакетами в ОС Astra Linux и установка пакетов). Например, чтобы подключить в качестве локального репозитория каталог
/mnt/20220407SE16MD-devel-2022-0318SE16MD/
, необходимо:с помощью текстового редактора в файле
/etc/apt/sources.list
добавить строку
вида:
Блок кода deb file:/mnt/20220407SE16MD-devel
/ smolensk main contrib non-free
либо выполнить команду:
Command echo "deb file:/mnt/20220407SE16MD-devel/ smolensk main contrib non-free" | sudo tee -a /etc/apt/sources.list
затем выполнить повторную синхронизацию файлов описаний пакетов с их источником:
Command sudo apt update
После подключения репозитория, обновление пакетов может быть установлено одной из следующих команд:
Command sudo astra-update -a -r
Command sudo apt dist-upgrade
Завершение установки обновления
Предупреждение |
---|
После выполнения обновления необходимо перезагрузить систему. |
Предупреждение | ||
---|---|---|
| ||
Предупреждение | ||
Для минимизации угроз безопасности в результате эксплуатации уязвимости, в том числе если применение вышеперечисленных мер не представляется возможным, рекомендуется активировать режим Мандатного контроля целостности (МКЦ), включая режим МКЦ на файловой системе. Для защиты системных компонентов Astra Linux от оказания негативного воздействия на них со стороны скомпрометированных процессов в результате эксплуатации уязвимостей необходимо активировать режим запуска сервиса apache2 на выделенном мандатном уровне целостности посредством инструментаastra-ilev1-control . Описание инструмента приведено в man astra-ilev1-control После успешной установки обновления проверка целостности программных пакетов установочного диска осуществляется утилитой |
Добавление корневого сертификата удостоверяющего центра Минцифры России
Информация |
---|
Добавление корневого сертификата необходимо выполнить для каждого пользователя после установки обновления пакетов установочного диска. |
Добавление корневого сертификата в Firefox
- Запустить браузер, например, с использованием графического интерфейса: Пуск — Сеть — Веб-браузер Firefox.
- В адресную строку ввести "
about:preferences
" и нажать клавишу <Enter>. - На открывшейся странице в левом поле выбрать пункт Приватность и защита и в правом поле в секции Сертификаты нажать на кнопку [Просмотр сертификатов].
- В открывшемся окне Управление сертификатами открыть вкладку Центры сертификации и нажать на кнопку [Импортировать...].
- В открывшемся окне импорта выбрать файл
/usr/share/ca-certificates/mozilla/rootca_MinDDC_rsa2022.crt
и нажать на кнопку [Открыть]. - В открывшемся окне Загрузка сертификата установить флаг Доверять при идентификации веб-сайтов и нажать на кнопку [ОК].
- В окне Управление сертификатами открыть вкладку Центры сертификации и нажать на кнопку [ОК].
Чтобы проверить наличие сертификата удостоверяющего центра Минцифры России, необходимо снова в правом поле в секции Сертификаты нажать на кнопку [Просмотр сертификатов]. В открывшемся окне Управление сертификатами открыть вкладку Центры сертификации и удостовериться в наличии строк:
Блок кода |
---|
The Ministry of Digital Development and Communications
Russian Trusted Root CA |
Добавление корневого сертификата в Chromium
- Запустить браузер, например, с использованием графического интерфейса: Пуск — Сеть — Веб-браузер Chromium.
- В адресную строку ввести "
chrome://settings/certificates
" и нажать клавишу <Enter>. - На открывшейся странице Настроить сертификаты в правом поле открыть вкладку Центры сертификации и нажать на кнопку [Импорт].
- В открывшемся окне импорта выбрать файл
/usr/share/ca-certificates/mozilla/rootca_MinDDC_rsa2022.crt
и нажать на кнопку [Открыть]. - В открывшемся окне настройки доверия установить флаг Доверять этому сертификату при идентификации сайтов и нажать на кнопку [ОК].
После успешного добавления корневого сертификата на странице Настроить сертификаты во вкладке Центры сертификации появятся следующие строки:
Блок кода |
---|
org-The Ministry of Digital Development and Communications
Russian Trusted Root CA |
Методические указания, нейтрализующие угрозу эксплуатации уязвимостей пакета apache2
Методика устранения уязвимости, связанной с переполнением буфера в lua_module при разборе запросов, состоящих из нескольких частей (multipart)
Для устранения этой уязвимости необходимо отключить модуль поддержки языка LUA. Чтобы просмотреть перечень используемых модулей, необходимо выполнить команду:
Command |
---|
sudo apachectl -M |
Если в перечне используемых модулей присутствует модуль с наименованием lua
, то следует выполнить команду:
Command |
---|
sudo a2dismod lua |
После этого необходимо перезапустить веб-сервер Apache, выполнив команду:
Command |
---|
sudo systemctl restart apache2 |
Методика устранения SSRF-уязвимости (Server Side Request Forgery) в mod_proxy
Для устранения этой уязвимости необходимо отключить поддержку прямого proxy в конфигурационном файле (по умолчанию имеет следующие расположение: /etc/apache2/sites-enabled/000-default.conf
).
Параметр ProxyRequests
должен иметь значение "off
". При этом, если это необходимо, реверс-прокси может остаться включенным.
В случае, если есть возможность отключить все режимы работы proxy, то необходимо выполнить команду:
Command |
---|
sudo a2dismod proxy |
После внесения изменений необходимо перезапустить веб-сервер Apache, выполнив команду:
Command |
---|
sudo systemctl restart apache2 |
Методика устранения угрозы атаки типа HTTP Request Smuggling
Для устранения этой уязвимости необходимо в конфигурационном файле (по умолчанию имеет следующие расположение: /etc/apache2/sites-enabled/000-default.conf
) отключить поддержку протокола http/2 — из строки параметров Protocols
(перечня используемых протоколов) следует исключить значение "h2
" (протокол HTTP/2).
После внесения изменений необходимо перезапустить веб-сервер Apache, выполнив команду:
Command |
---|
sudo systemctl restart apache2 |
Веб-сервер Apache необходимо настроить на работу по HTTPS.
20220407SE16MD. |