Методические указания не являются кумулятивными. При выполнении методических указаний другие виды обновлений автоматически не применяются и должны быть установлены отдельно.
Перед выполнением действий настоящей методики безопасности необходимо установить оперативное обновление 6 (БЮЛЛЕТЕНЬ № 20200722SE16).
Обновленные пакеты, в которых устранена угроза эксплуатации уязвимостей, включены в состав оперативного обновления 8 (БЮЛЛЕТЕНЬ № 20210730SE16).
Методика безопасности, нейтрализующая угрозы эксплуатации уязвимостей
Внимание
На время выполнения действий по применению методических указаний необходимо снять запрет на установку бита исполнения в политиках безопасности.
Настоящая методика предназначена для нейтрализации угрозы эксплуатации уязвимостей, перечисленных в Списке уязвимостей, закрываемых обновлением №20210128SE16MD путём обновления пакетов, подверженных уязвимостям. Для реализации настоящей методики предоставляется архив, содержащий файлы с обновлёнными пакетами. Обновление пакетов может выполняться непосредственно из распакованных файлов, централизованно из общего репозитория, или индивидуально из локальных репозиториев. Для использования репозиториев их настройку следует выполнить в соответствии с указаниями Подключение репозиториев с пакетами в ОС Astra Linux и установка пакетов а также Создание локальных и сетевых репозиториев.
Порядок применения методики безопасности
В качестве дополнительной меры защиты рекомендуется включить блокировку консоли для пользователей и блокировку интерпретаторов. (см. руководство по КСЗ. Часть 1, раздел 16.5).
1. Загрузить архив по ссылке: Cсылка. При наличии подключения к Интернет это можно сделать с помощью web-браузера или командой:
2. Проверить соответствие контрольной суммы полученного архива, выполнив команду:
Контрольная сумма:
В архиве содержатся файлы для обновления двух несовместимых пакетов: пакета sudo и пакета sudo-ldap. Обновлять следует только тот пакет, который уже установлен в системе. Обычно в ОС Astra Linux установен пакет sudo. Проверить какой именно пакет установлен можно командой:
3. Распаковать архив, выполнив команду:
После распаковки архива для установки будут доступны два файла обновлений для двух пакетов и файл gostsums.txt для проверки контрольных сумм файлов, входящих в ОС (см. руководство по КСЗ. Часть 1, раздел 9.1):
- Файлы для обновления пакетов:
- файл sudo_1.8.19p1-2.1+deb9u3_amd64.deb для обновления пакета sudo;
- файл sudo-ldap_1.8.19p1-2.1+deb9u3_amd64.deb для обновления пакета sudo-ldap;.
4. После распаковки архива обновление можно выполнить одной из команд:
| Обновление пакета sudo | Обновление пакета sudo-ldap |
|---|---|
| sudo dpkg -i sudo_1.8.19p1-2.1+deb9u3_amd64.deb | sudo dpkg -i sudo-ldap_1.8.19p1-2.1+deb9u3_amd64.deb |
Или обновить только установленный пакет командами:
dpkg -s sudo-ldap && sudo dpkg -i sudo-ldap_1.8.19p1-2.1+deb9u3_amd64.deb
Внимание
На время установки обновления необходимо снять запрет на установку бита исполнения в политиках безопасности.
Организационные мероприятия по снижению угрозы эксплуатации уязвимости
Если не был активирован Мандатный Контроль Целостности (МКЦ), то активировать МКЦ с помощью графического инструмента fly-admin-smc или используя команду:
sudo astra-mic-control enableЕсли не был включен контроль целостности на файловой системе, то включить его с помощью графического инструмента fly-admin-smc или используя команду set-fs-ilev (см. руководство по КСЗ. Часть 1, раздел 4.3.2):
sudo set-fs-ilevПосле выполнения указанных операций перезагрузить машину.При включенном МКЦ проверить корректность задания уровней целостности для непривилегированных пользователей (пользователей, не являющихся администратором системы), вход в систему которым должен быть разрешен только на низком уровне целостности. Проверить текущий уровень целостности пользователей можно с помощью графического инструмента fly-admin-smc или выполнив для каждого пользователя команду:
pdpl-user имя_пользователяУстановить для пользователя низкий уровень целостности можно с помощью графического инструмента fly-admin-smc или выполнив для каждого пользователя команду:
pdpl-user -i 0 имя_пользователяВключить блокировку консоли для пользователей, не входящих в группу astra-console:
sudo astra-console-lock enable
sudo astra-interpreters-lock enableПроверить список пользователей, входящих в группу astra-console графического инструмента fly-admin-smc или с помощью команды:
getent group | grep astra-consoleи исключить из группы astra-console всех недоверенных пользователей или с помощью графического инструмента fly-admin-smc или выполнив для каждого такого пользователя команду:
gpasswd -d имя_пользователя astra-console