Справочный центр

Дерево страниц

Сравнение версий

Старая версия 6

changes.mady.by.user Алексей Федоров

Сохранено

по сравнению с

Новая версия Текущий

changes.mady.by.user Алексей Федоров

Сохранено

Ключ

  • Эта строка добавлена.
  • Эта строка удалена.
  • Изменено форматирование.


Информация
Методические указания по нейтрализации угроз эксплуатации уязвимостей операционной системы специального назначения Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6), далее по тексту - Astra Linux, в информационных системах.


Информация

Методические указания не являются кумулятивными. При выполнении методических указаний другие виды обновлений автоматически не применяются и должны быть установлены отдельно.



Информация

Настоящее методические указания предназначены для нейтрализации угрозы эксплуатации уязвимости в Astra Linux с установленным оперативным обновлением 12 (бюллетень Перед выполнением действий настоящей методики безопасности необходимо установить оперативное обновление 12 (БЮЛЛЕТЕНЬ № 20221220SE16).


Подсказка

Обновленные пакеты, в которых устранена угроза эксплуатации уязвимости, будут включены в состав следующего оперативного обновления.


Методика безопасности, нейтрализующая угрозу эксплуатации уязвимости службы сервера FreeIPA

Примечание

Информация об уязвимости, закрываемой при выполнении настоящих методических указаний, предоставляется после соответствующего обращения в техническую поддержку.


Предупреждение
titleВНИМАНИЕ!

Применение методических указаний необходимо выполнять от имени учетной записи пользователя с полномочиями администратора системы с высоким уровнем целостности.

Для нейтрализации угрозы эксплуатации уязвимости службы сервера FreeIPA на каждом сервере (реплике) необходимо выполнить действия, описанные ниже.

  1. Уточнить наименование домена командой:

    Command

    astra-freeipa-server -i

    Пример вывода после выполнения команды:

    Блок кода
    Обнаружен настроенный домен mydomainmy.domain.local
WEB: https://dc.mydomainmy.domain.local

    где:

    • mydomain – наименование основного домена;
    • local – наименование доменной зоны.


  2. Изменить ACL (список прав доступа) атрибута userPassword с anyone (все пользователи) на all (только аутентифицированные пользователи), для чего использовать команду ldapmodify. Например, в интерактивном режиме:

    1. Запустить инструмент командной строки ldapmodify

    , выполнив следующую команду

    1. :

      Command

      ldapmodify -D "cn=Directory Manager" -W


    2. Ввести пароль администратора домена

    и, после успешной авторизации, ввести

    1. ;

      Информация
      После успешной аутентификации никакие сообщения, включая приглашение для ввода, не выводятся.

       

    2. Ввести следующие строки:

      Блок кода
      dn:
    dc=<наименование_основного_домена>,dc=<наименование_доменной_зоны>
    1.  <компоненты_наименования_домена> 
changetype: modify
delete: aci
aci: (targetattr = "userPassword")(version 3.0; acl "Users can read attr userPassword"; allow (read, compare,search) groupdn = "ldap:///anyone";)
-
add: aci
aci: (targetattr = "userPassword")(version 3.0; acl "Users can read attr userPassword"; allow (read, compare,search) groupdn = "ldap:///all";)
-

      где <компоненты_наименования_домена> - запись вида:

      Блок кода
      dc=<N-й_компонент_наименования_домена>,...,dc=<2-й_компонент_наименования_домена>,dc=<1-
    нажать 
    1. й_компонент_наименования_домена>

      для примера, приведенного выше (имя домена my.domain.local), строка будет иметь вид:

      Блок кода
      dn: dc=my,dc=domain,dc=local


    2. Нажать клавишу <ENTER> (дважды) . О

    начале процесса внесения

    1. внесении изменений в настройки свидетельствует следующее сообщение:

      Блок кода
      modifying entry "
    dc=<наименование
    1. <компоненты_
    основоного
    1. наименования_домена>
    ,dc=<наименование_доменной_зоны>"после появления приглашения для ввода (и при отсутствии сообщений об ошибках) завершить 
    1. "


    2. Завершить работу инструмента командной строки ldapmodify , например, нажав комбинацию клавиш

    <Cntrl

    1. <Ctrl+

    C>

    1. D>.


Примечание

После Независимо от применения настоящей методики необходимо провести смену паролей пользователей.По умолчанию в домене FreeIPA используются следующие рекомендуется установить настройки сложности пароля не ниже, чем:

  • минимальная длина пароля — 8 символов;
  • количество классов символов, используемых в пароле, — 2 не менее чем два класса символов.  Применяется следующий перечень классов Применяются следующие классы символов:
      • буквы верхнего регистра;
      • буквы нижнего регистра;
      • цифры;
      • специальные символы;
      • пробелы и непечатаемые символы.

После применения настоящей методики рекомендуется сменить пароли пользователей.