Методика безопасности, нейтрализующая угрозу эксплуатации уязвимостей
пакетов sudo и sudo-ldap| Предупреждение | ||
|---|---|---|
| ||
| Применение методических указаний необходимо выполнять от имени учетной записи пользователя с полномочиями администратора системы. На время выполнения действий по применению методических указаний необходимо снять запрет на установку бита исполнения в политиках безопасности. |
Порядок применения методики безопасности
| Информация |
|---|
| Для минимизации угроз безопасности рекомендуется проверить корректность задания уровней целостности для непривилегированных пользователей (пользователей, не являющихся администраторами системы), вход в систему которым должен быть разрешен только на низком уровне целостности. Любые действия по администрированию системы, не требующие высокого уровня целостности, должны производиться на низком уровне целостности. В качестве дополнительной меры защиты рекомендуется включить блокировку консоли для пользователей и блокировку интерпретаторов. (см. руководство по КСЗ. Часть 15, раздел 15.5). |
1. Загрузить архив по ссылке: Cсылка. При наличии подключения к Интернет это можно сделать с помощью web-браузера или командой:
| Command |
|---|
| wget https://dl.astralinux.ru/astra/stable/smolensk/security-updates/1.6/20210128se16md/20210128se16md.tar.gz |
2. Проверить соответствие контрольной суммы полученного архива, выполнив команду:
| Command |
|---|
gostsum 20210128se16md.tar.gz |
Контрольная сумма:
| Информация | ||
|---|---|---|
| ||
46289e8cb3643afe0233b719eae852319b43961a6fe21f6190e8f580b8243d6a 20210128se16md.tar.gz |
В архиве содержатся файлы для обновления двух несовместимых пакетов: пакета sudo и пакета sudo-ldap. Обновлять следует только тот пакет, который уже установлен в системе. Обычно в ОС Astra Linux установен пакет sudo. Проверить какой именно пакет установлен можно командой:
| Command |
|---|
| apt-cache policy sudo sudo-ldap |
3. Распаковать архив, выполнив команду:
| Command |
|---|
| tar xzf 20210128se16md.tar.gz |
После распаковки архива для установки будут доступны два файла обновлений для двух пакетов и файл gostsums.txt для проверки контрольных сумм файлов, входящих в ОС (см. руководство по КСЗ. Часть 1, раздел 9.1):
Файлы для обновления пакетов:4. После распаковки архива обновление можно выполнить одной из команд:
sudo
sudo-ldap
Или обновить только установленный пакет командами:
| Command |
|---|
dpkg -s sudo && sudo dpkg -i sudo_1.8.19p1-2.1+deb9u3_amd64.deb |
| Предупреждение | ||
|---|---|---|
| ||
| Обновление пакетов необходимо выполнять от имени учетной записи пользователя с полномочиями администратора системы. На время установки обновления необходимо снять запрет на установку бита исполнения в политиках безопасности. |
Методика безопасности, нейтрализующая угрозу эксплуатации уязвимостей модуля ядра scsi_transport_iscsi
| Предупреждение | ||
|---|---|---|
| ||
| Применение методических указаний необходимо выполнять от имени учетной записи пользователя с полномочиями администратора системы с высоким уровнем целостности. На время выполнения действий по применению методических указаний необходимо снять запрет на установку бита исполнения в политиках безопасности. |
Для полной нейтрализации угрозы эксплуатации уязвимостей CVE-2021-27365, CVE-2021-27363 и CVE-2021-27364 модуля ядра scsi_transport_iscsi следует :
Если модуль scsi_transport_iscsi не используетсяследует, то запретить загрузку данного модуля, для чего:
Предупреждение Данный вариант неприменим для хостов, использующих СХД, подключенные по iscsi, том числе неприменим для хостов виртуализации ПК СВ Брест с СХД, подключенными по iscsi.
- Используя полномочиями администратора системы с высоким уровнем целостности с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.conf (если такого файла нет - создать его);
Добавить в файл строку, содержащую ключевое слово install, название блокируемого модуля и название модуля-заменителя:
Блок кода install scsi_transport_iscsi /bin/trueОбновить параметры загрузки командой:
Command sudo update-initramfs -uk all Если модуль загружен - перезагрузить систему командой:
Command lsmod | grep scsi_transport_iscsi && sudo reboot
- Используя полномочиями администратора системы с высоким уровнем целостности с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.conf (если такого файла нет - создать его);
- Если модуль используется и запрет его загрузки неприменим (например, на хостах виртуализации ПК СВ Брест), следует запретить возможность входа пользователей, не имеющих привилегий администратора.
| Информация |
|---|
Эксплуатация уязвимостей CVE-2021-27365, CVE-2021-27363, CVE-2021-27364 возможна только после входа в локальную пользовательскую сессию. |
...