НР в России получила лицензии ФСТЭК на защиту конфиденциальной информации

НР в России получила лицензии ФСТЭК на защиту конфиденциальной информации

Российское представительство компании Hewlett-Packard — ЗАО «Хьюлетт-Паккард А.О.» — сообщило о получении лицензий ФСТЭК России на два вида деятельности: по технической защите конфиденциальной информации и по разработке и (или) производству средств защиты конфиденциальной информации. Лицензии выданы сроком на 5 лет.



Теперь НР в России может оказывать дополнительный спектр услуг для своих заказчиков в России в области технической защиты конфиденциальной информации и персональных данных, включая: аудит информационных систем (ИС) заказчиков, экспертизу проектов и анализ состояния информационной безопасности (ИБ); классификацию ИС заказчиков по требованиям ИБ; разработку необходимых организационно-распорядительных документов, стандартов и процедур (инструкций) по обеспечению ИБ для заказчиков; разработку технического задания на создание защищенной ИС заказчиков; проектирование защищенных ИС обработки конфиденциальной информации заказчиков, систем управления и защиты на базе продуктов НР и партнеров; разработку и внедрение ИТ-решений на основе сертифицированных продуктов НР и иных производителей; распространение, монтаж, настройку и обновление, тестирование защищенных технических и программных средств обработки конфиденциальной информации, технических, программных, программно-аппаратных средств защиты информации (ОС, межсетевые экраны и т.п.), в том числе встроенных в продукты НР, а также средств контроля защищенности обработки конфиденциальной информации; сопровождение и техническое обслуживание средств и систем защиты и управления в продуктах НР; организацию, координацию и участие в работах по сертификации ПО НР, а также по серийному производству сертифицированных продуктов в организациях, аккредитованных ФСТЭК России; консалтинг по вопросам технической защиты информации в продуктах НР, обучение и проведение семинаров; аутсорсинг защищенных ИС НР для заказчика, сообщает CNews

Процесс лицензирования, проведенный в строгом соответствии с постановлениями Правительства РФ от 15.08.2006 г. № 504 и от 31.08.2006 г. № 532, а также руководящими и нормативными документами ФСТЭК России, подтвердил, что НР в России отвечает всем лицензионным требованиям в части выданных лицензий, подчеркнули в НР.

Ожидается, что получение компанией лицензий ФСТЭК России на деятельность по технической защите конфиденциальной информации и по разработке и производству средств защиты конфиденциальной информации будет способствовать росту потребности в продукции, услугах, защищенных технологиях и решениях Hewlett-Packard в РФ.

Критическая уязвимость в TLP позволяет обойти защиту Linux

В популярной утилите TLP, которую многие владельцы ноутбуков на Linux используют для управления энергопотреблением, обнаружили критическую уязвимость. Причём проблема нашлась во время обычной проверки пакета командой SUSE Security Team и располагается во вполне штатном коде.

Брешь получила идентификатор CVE-2025-67859 и затрагивает версию TLP 1.9.0, где появился новый profiles daemon.

Этот демон работает с root-правами и управляет профилями питания через D-Bus. Задумка хорошая, но реализация подвела: в механизме аутентификации Polkit нашлась логическая ошибка, которая фактически позволяет обойти проверку прав.

Как объясняют исследователи, демон должен был строго проверять, кто именно отправляет команды. Но из-за ошибки любой локальный пользователь мог взаимодействовать с ним без должной аутентификации — а значит, менять системные настройки питания от имени root.

На этом сюрпризы не закончились. В ходе анализа специалисты SUSE нашли ещё несколько проблем, уже связанных с исчерпанием ресурсов. В частности, механизм profile hold, который позволяет временно «зафиксировать» профиль питания, оказался совершенно без валидации. Локальный пользователь мог создавать неограниченное количество таких блокировок, причём без прав администратора.

В итоге это открывает прямую дорогу к DoS-атаке: демон начинает захлёбываться от бесконечных записей в структуре данных, куда попадают числа, строки с причиной и идентификаторы приложений — всё это полностью контролируется клиентом.

Любопытно, что SUSE вспомнила похожую историю с демоном управления питанием в GNOME: аналогичную проблему находили ещё несколько лет назад. Отдельно исследователи отметили вопросы к механизму «куки», которыми отслеживаются profile hold. Формально речь шла о предсказуемости значений, но в сочетании с отсутствием лимитов это лишь расширяло поверхность атаки.

К счастью, реакция была быстрой. SUSE сообщила об уязвимостях разработчикам ещё в декабре, и в версии TLP 1.9.1 проблема уже закрыта. В частности, число одновременных profile hold теперь жёстко ограничено числом 16, что убирает риск истощения ресурсов.

RSS: Новости на портале Anti-Malware.ru