СХД Aerodisk Engine интегрированы с СЗИ «Аккорд» и готовы к аттестации

СХД Aerodisk Engine интегрированы с СЗИ «Аккорд» и готовы к аттестации

СХД Aerodisk Engine интегрированы с СЗИ «Аккорд» и готовы к аттестации

Компании «Аэродиск» и ОКБ САПР завершили техническую интеграцию своих продуктов – линейки систем хранения данных Aerodisk Engine и решений для обеспечения доверенной загрузки и разграничения доступа «Аккорд-MKT» и «Аккорд-X K».

По итогам проекта компании обеспечили будущим Заказчикам возможность аттестации СХД для работы в информационных системах персональных данных (ИСПД) критической информационной инфраструктуры (КИИ) высоких классов защищенности. Версия линейки СХД Aerodisk Engine, расширенная функционалом продуктов «Аккорд», будет доступна в рамках стандартных поставок.

Линейка Aerodisk Engine включает в себя три модели СХД, поддерживающих работу в режиме высокой доступности ACTIVE-ACTIVE в конфигурации от 2 до 8 контроллеров в активном режиме. Это СХД общего назначения, которые поддерживают SSD-кеширование и многоуровневое хранение данных за счет объединения высокой производительности SSD и большого объема классических HDD-дисков.

Один из ключевых продуктов компании ОКБ САПР — линейка средств защиты информации «Аккорд», которые обеспечивают доверенную загрузку и работу с изолированной программной средой. Так, в линейку СХД Aerodisk Engine встроены «Аккорд-Х K» — СЗИ, предназначенное для разграничения доступа в ОС семейства Linux, и «Аккорд-МKT» — средство доверенной загрузки (СДЗ) уровня базовой системы ввода-вывода (БСВВ).

«Поскольку наши решения используются компаниями из самых разных отраслей для работы с большими массивами данных, функциональность по контролю доступа к ИС будет востребована многими пользователями. Интеграция с инструментами ОКБ САПР значительно “прокачивает” защищенность данных. Широкие возможности масштабирования линейки Engine и ее высокая совместимость с разными инструментами виртуализации позволяет реализовать самые сложные проекты по работе с критически важными данными в рамках существующей ИТ-инфраструктуры заказчика», — отмечает генеральный директор компании «Аэродиск» Вячеслав Володкович.

«Мы довольны результатами работы с командой “Аэродиска” по повышению уровня защищенности данных в их СХД. Возможности наших решений охватывают любые сценарии работы с актуальными ИБ-угрозами — особенно в той части, которая касается несанкционированного доступа к ИС и данным критического уровня важности. Синергетический эффект от сочетания наших инструментов позволяет говорить о появлении одного из наиболее эффективных с точки зрения ИБ отечественных решений на рынке РФ сегодня», — комментирует Вячеслав Сергеевич Пинчук, коммерческий директор ОКБ САПР.

Интеграция Aerodisk Engine с решениями «Аккорд-MKT» и «Аккорд-X K» завершила второй этап сотрудничества компаний. В рамках третьего этапа сотрудничества «Аэродиск» и ОКБ САПР планируют до конца III квартала 2021 года провести техническую интеграцию продуктов линейки «Аккорд» с полностью отечественной СХД «Аэродиск Восток», в основе которой лежат российские процессоры «Эльбрус».

В Linux нашли 19-летнюю дыру: атакующий может добраться до root

В Linux обнаружили новую уязвимость повышения привилегий, получившую имя CIFSwitch. При удачном раскладе обычный локальный пользователь может обмануть механизм CIFS-аутентификации, подсовывать ядру фальшивые запросы и в итоге получить root. Проблема затрагивает системы с уязвимыми связками kernel CIFS и cifs-utils, в первую очередь версии 6.14 и выше.

CIFS нужен Linux для работы с сетевыми шарами: монтировать удалённые папки, читать и писать файлы по сети. Если такая шара использует Kerberos-аутентификацию, ядро Linux обращается к пользовательскому приложению, а cifs-utils выступает посредником.

По словам исследователя Асима Вилади Оглу Манизады, который нашёл и назвал CIFSwitch, ядро запрашивает ключ типа cifs.spnego, после чего стандартная связка keyutils/request-key запускает cifs.upcall от root, чтобы получить или собрать материалы Kerberos/SPNEGO.

Беда в том, что CIFS-подсистема ядра не проверяла, что такие cifs.spnego-запросы действительно пришли от CIFS-клиента ядра. В результате непривилегированный пользователь мог сгенерировать поддельный запрос и запустить штатный процесс аутентификации.

А дальше привилегированный cifs.upcall доверяет полям, которые считает созданными ядром, хотя на деле ими управляет атакующий. Через эти поля можно форсировать переключение namespace, спровоцировать NSS-запрос до сброса привилегий, подгрузить вредоносный NSS-модуль и получить выполнение кода от root.

Манизада отмечает, что баг появился ещё в 2007 году, то есть прожил в экосистеме около 19 лет. При этом эксплуатация не универсальна: нужны подходящая версия ядра, уязвимый cifs-utils, доступные пространства имен пользователей и политики SELinux/AppArmor, которые не ломают атаку на взлёте.

Среди уязвимых систем, в дефолтных конфигурациях эксперт называет:

  • Linux Mint 21.3 / 22.3;
  • CentOS Stream 9;
  • Rocky Linux 9;
  • AlmaLinux 9;
  • Kali Linux 2021.4–2026.1;
  • SLES 15 SP7.

Уязвимость уже закрыта патчем для ядра, он добавляет проверку происхождения запросов cifs.spnego. Однако конкретные версии ядра с патчем зависят от дистрибутива, так что администраторам лучше не гадать, а проверять бюллетени своих вендоров.

RSS: Новости на портале Anti-Malware.ru