Битрикс24 требует обновления на местах из-за критических уязвимостей

Битрикс24 требует обновления на местах из-за критических уязвимостей

Битрикс24 требует обновления на местах из-за критических уязвимостей

Первого ноября ФСТЭК России опубликовала информацию о восьми опасных уязвимостях в наборе бизнес-инструментов Битрикс24. Обновления с патчами доступны с конца марта, установленные у заказчиков коробочные версии тулкита следует обновить.

Уязвимости высокой и критической степени опасности обнаружили в марте исследователи из сингапурской компании STAR Labs. Не исключено, что находки связаны с всплеском веб-атак на российские организации, который ГК «Солар» наблюдала в IV квартале 2022 года и I квартале 2023-го.

Эксплойт почти во всех случаях требует аутентификации. Патчи включены в состав обновлений Битрикс24, вышедших с 31 марта по 22 июня.

Информацию о выявленных уязвимостях опубликовали также вендор («1С-Битрикс») и авторы опасных находок:

  • CVE-2023-1713 (8,8 балла CVSS) — возможность повышения привилегий в модуле crm из-за ошибок в механизме импорта данных (удаленное исполнение произвольного кода через загрузку вредоносного файла .htaccess, согласно бюллетеню Star Labs);
  • CVE-2023-1714 (8,8 балла) — возможность RCE при определенных настройках системы и версии PHP < 8.0, выявленная в модуле main (RCE через добавление произвольного контента в существующие PHP-файлы или через десериализацию PHAR, по версии авторов находки);
  • CVE-2023-1715 (9,0 балла) — обход защиты от межсайтового скриптинга, грозящий выполнением произвольного JavaScript в браузере или PHP-кода на сервере, согласно Star Labs;
  • CVE-2023-1716 (9,0 балла) — возможность XSS-атаки, выявленная в редакторе счетов (компонент crm.invoice.edit);
  • CVE-2023-1717 (9,6 балла) — возможность загрязнения прототипа JavaScript в браузере из-за некорректной обработки входных данных модулем main (XSS через порчу прототипа на стороне клиента, согласно бюллетеню Star Labs);
  • CVE-2023-1718 (7,5 балла) — возможность отказа в обслуживании (DoS) при определённых настройках системы, выявленная в модуле main (DoS без аутентификации через манипулирование аргументом tmp_url, по версии Star Labs);
  • CVE-2023-1719 (7.5 балла) — возможность несанкционированного доступа к пользовательским файлам из-за некорректной обработки входных данных модулем intranet (выполнение произвольного JavaScript в браузере или PHP на сервере путем перезаписи неинициализированных переменных, согласно бюллетеню Star Labs);
  • CVE-2023-1720 (9,3 балла) — возможность XSS-атаки, вызванная ошибкой в конфигурации проекта (выполнение JavaScript в браузере или PHP на сервере с помощью специально созданного HTML-файла, согласно Star Labs).

В комментарии для РБК представитель «1С-Битрикс» отметил, что все облачные версии Битрикс24 «давно обновлены и защищены от этих уязвимостей». Данных об использовании какой-либо из них в атаках пока нет. Установленные на оборудовании заказчиков коробочные версии необходимо обновить.

Бизнес-консультант Positive Technologies по вопросам ИБ Алексей Лукацкий, со своей стороны, напомнил, что включение уязвимостей в общедоступную базу данных ИБ-угроз ФСТЭК означает, что проблемы должны быть устранены.

Для критических установлен срок 24 часа, для менее опасных — от семи до 30 дней. Неисполнение грозит разработчикам приостановкой или отзывом сертификата, пользователям — другими мерами воздействия.

Минцифры создаст полигон для тестирования систем с ИИ на безопасность

Минцифры планирует создать киберполигон для тестирования систем с искусственным интеллектом (ИИ) на безопасность. В первую очередь речь идёт о решениях, предназначенных для применения на объектах критической инфраструктуры, а также о системах с функцией принятия решений.

О том, что министерство ведёт работу над созданием такого полигона, сообщил РБК со ссылкой на несколько источников.

Площадка будет использоваться для тестирования ИИ-систем, которые в дальнейшем должны пройти сертификацию ФСТЭК и ФСБ России. Это предусмотрено правительственным законопроектом «О применении систем искусственного интеллекта органами, входящими в единую систему публичной власти, и внесении изменений в отдельные законодательные акты».

Документ вводит четыре уровня критичности ИИ-систем:

  • минимальный — влияние на безопасность отсутствует или минимально;
  • ограниченный;
  • высокий — относится к системам, используемым на объектах критической информационной инфраструктуры;
  • критический — системы, способные угрожать жизни и здоровью людей или безопасности государства, а также автономные комплексы, принимающие самостоятельные решения.

Определять уровень критичности будет Национальный центр искусственного интеллекта в сфере госуправления при правительстве. Эта же структура займётся ведением реестра сертифицированных ИИ-систем.

Конкретные требования к сертификации планируется закрепить в отдельных нормативных документах, которые пока находятся в разработке. На текущем этапе единственным обязательным условием является включение программного обеспечения в реестр Минцифры.

По данным «Российской газеты», распространять новые требования на коммерческие ИИ-решения не планируется. При этом в аппарате первого вице-премьера Дмитрия Григоренко пояснили, что ключевая цель законопроекта — снизить риски применения ИИ в сферах с высокой ценой ошибки, включая здравоохранение, судопроизводство, общественную безопасность и образование.

RSS: Новости на портале Anti-Malware.ru