Microsoft выкатила новые патчи и рассказала, как исключить подмену DNS

Microsoft выкатила новые патчи и рассказала, как исключить подмену DNS

Microsoft выкатила новые патчи и рассказала, как исключить подмену DNS

Корпорация Microsoft выпустила декабрьский набор патчей, совокупно закрыв 58 уязвимостей; девять из них признаны критическими, 48 — существенными. Баги нулевого дня на сей раз в списке не числятся, использования какой-либо из новых лазеек в реальных атаках не замечено.

Обновления для систем безопасности получили 11 программных продуктов, в том числе ОС Windows, десктопный и мобильный браузеры Edge, программы из набора Microsoft Office, Exchange Server и Visual Studio.

Почти все проблемы, оцененные Microsoft как критические, относятся к классу «удаленное исполнение кода» (RCE). Они обнаружены в пяти продуктах:

Эти баги рекомендуется пропатчить на местах в первую очередь. Эксперты также советуют обратить внимание на пару уязвимостей, оцененных как существенные:

  • CVE-2020-17096 — RCE в файловой системе NTFS; при локальном эксплойте позволяет повысить привилегии, при удаленном доступе по SMBv2 — выполнить любую команду;
  • CVE-2020-17099 — обход блокировки экрана; при наличии физического доступа к ПК позволяет выполнить произвольный код в контексте активной сессии, заблокированной пользователем.

Кроме бюллетеней, посвященных закрытым брешам, Microsoft выпустила руководство по защите от эксплойта CVE-2020-25705, грозящего отравлением кеша DNS. Эту уязвимость недавно обнаружила команда университетских исследователей из Китая и США. Новая дыра позволяет обойти стандартную защиту от подмены DNS (рандомизацию UDP-порта источника запроса) посредством атаки по стороннему каналу. Авторы исследования нарекли свою находку SAD DNS (Side-channel AttackeD DNS).

Возможность вернуть на повестку дня давнюю и уже, как казалось, решенную проблему возникла из-за ненадежного способа обработки входящего ICMP-трафика средствами ядра Linux. Атака SAD DNS позволяет за считанные секунды получить номера всех открытых портов DNS-клиента и затем угадать ID транзакции по методу, предложенному ИБ-экспертом Дэном Каминским еще в 2008 году.

По словам Microsoft, уязвимость CVE-2020-25705 затрагивает также Windows DNS Resolver — кеширующий сервер DNS, через который происходит обращение к локальному DNS-серверу, когда браузер пытается найти сайт по доменному имени, введенному в адресную строку. В случае успешной отработки эксплойта автор атаки сможет подменить DNS-пакет (результат преобразования домена в IP-адрес), который при последующих обращениях будет отдаваться из кеша.

Для противодействия эксплойту Microsoft советует внести изменения в системный реестр, задав предельный размер UDP-пакетов как 1221 байт. При превышении этого порога DNS-резолвер автоматически перейдет на протокол TCP.

Между тем тестирование, проведенное исследователями, показало, что проблема SAD DNS актуальна не только для Linux и Windows Server, но также для macOS и FreeBSD. Соответствующий патч для Linux уже интегрирован в сборку 5.10 (пока тестируется, выпуск стабильной версии ядра ожидается 20 декабря) и портирован на многие из более ранних сборок. Сроки выпуска заплатки для серверных Windows пока не определены, планы Apple и разработчиков FreeBSD на настоящий момент не известны.

Национальной ERP не будет: Минцифры решило не создавать российский SAP

Идею создать в России единую «национальную ERP» — большой и универсальный аналог SAP — в Минцифры решили аккуратно отложить в сторону. Как пояснили в ведомстве, делать одну «главную» систему на всех — не лучшая идея ни для рынка, ни для самих заказчиков.

Как передаёт РБК, в министерстве считают, что выбор единственной национальной ERP поставил бы разработчиков в неравные условия и притормозил развитие уже существующих российских решений.

К тому же «отечественная» и «национальная» — это не одно и то же: отечественных ERP может быть несколько, а национальная по определению одна и с особым статусом.

Напомним, ERP — это системы управления ключевыми бизнес-процессами компаний. К теме государство вернулось после того, как на ЦИПР основатель «Севергрупп» Алексей Мордашов признался: российскую замену SAP для крупных холдингов найти по-прежнему сложно. В ответ правительство поручило Минцифры проработать формат ERP-консорциума — но, как выяснилось, не для создания нового «монолита».

Вместо этого консорциум будет собирать и систематизировать требования крупного бизнеса к ERP-системам и помогать вендорам дорабатывать свои продукты. Работу планируют вести на базе АНО «Национальный центр компетенций по информационным системам управления холдингом» (НЦК ИСУ). В него уже входят представители металлургии, нефтегаза, химии, транспорта и профильных индустриальных центров компетенций.

По словам главы НЦК ИСУ Кирилла Семионa, центр уже собрал более 1,3 тысячи требований бизнеса к ERP, включая свыше 200 критически важных технических требований для крупных холдингов. Эти данные легли в основу технического задания для универсального корпоративного ERP-шаблона. До 2027 года центр также займётся моделированием корпоративной архитектуры и формированием базы эталонных бизнес-процессов.

Контекст здесь понятный: SAP до 2022 года обслуживала в России около 1,5 тысячи клиентов — от РЖД и «Аэрофлота» до банков и нефтегазовых гигантов. После ухода компании бизнес оказался в ситуации, когда «одной кнопкой» заменить систему нельзя. Попытки создать российский аналог предпринимались — та же «Северсталь» вместе с «Сибуром» оценивали проект в $1 млрд, но в итоге отказались из-за сложности и цены.

При этом в Минцифры подчёркивают: рынок ERP в России живой. Уже используются «1С:ERP», «Галактика ERP», «Турбо ERP», Global ERP и другие решения. Более того, по оценкам экспертов, около 40% крупных холдингов в 2025 году всё ещё частично работают на SAP. Многие идут по пути «разрезания» системы на модули — так, например, поступает Сбербанк.

В министерстве считают, что полное копирование SAP — избыточная цель. Вместо этого предлагается формировать экосистему ERP из решений разных вендоров, если они могут нормально «стыковаться» между собой и соответствовать требованиям заказчиков. Задача консорциума — как раз помочь выработать общие правила игры и синхронизировать дорожные карты разработчиков.

Эксперты относятся к такому подходу по-разному. Одни считают его прагматичным и неизбежным, другие — временной мерой с высокими издержками и рисками для безопасности. Но в одном сходятся почти все: создать полноценный аналог SAP с нуля быстро и дёшево невозможно.

Так что ставка делается не на «великую национальную ERP», а на эволюцию — через экосистемы, методологии и постепенное замещение. Без громких лозунгов, зато ближе к реальности бизнеса.

Кстати, на днях Арбитражный суд Москвы признал законной сделку по уступке долгов российской «дочки» SAP юридической компании «Легат». В 2024 году SAP передала ей права требования за 60 млн рублей, что составило около 3% от общего объёма долгового портфеля.

RSS: Новости на портале Anti-Malware.ru