Битрикс24 требует обновления на местах из-за критических уязвимостей

Битрикс24 требует обновления на местах из-за критических уязвимостей

Битрикс24 требует обновления на местах из-за критических уязвимостей

Первого ноября ФСТЭК России опубликовала информацию о восьми опасных уязвимостях в наборе бизнес-инструментов Битрикс24. Обновления с патчами доступны с конца марта, установленные у заказчиков коробочные версии тулкита следует обновить.

Уязвимости высокой и критической степени опасности обнаружили в марте исследователи из сингапурской компании STAR Labs. Не исключено, что находки связаны с всплеском веб-атак на российские организации, который ГК «Солар» наблюдала в IV квартале 2022 года и I квартале 2023-го.

Эксплойт почти во всех случаях требует аутентификации. Патчи включены в состав обновлений Битрикс24, вышедших с 31 марта по 22 июня.

Информацию о выявленных уязвимостях опубликовали также вендор («1С-Битрикс») и авторы опасных находок:

  • CVE-2023-1713 (8,8 балла CVSS) — возможность повышения привилегий в модуле crm из-за ошибок в механизме импорта данных (удаленное исполнение произвольного кода через загрузку вредоносного файла .htaccess, согласно бюллетеню Star Labs);
  • CVE-2023-1714 (8,8 балла) — возможность RCE при определенных настройках системы и версии PHP < 8.0, выявленная в модуле main (RCE через добавление произвольного контента в существующие PHP-файлы или через десериализацию PHAR, по версии авторов находки);
  • CVE-2023-1715 (9,0 балла) — обход защиты от межсайтового скриптинга, грозящий выполнением произвольного JavaScript в браузере или PHP-кода на сервере, согласно Star Labs;
  • CVE-2023-1716 (9,0 балла) — возможность XSS-атаки, выявленная в редакторе счетов (компонент crm.invoice.edit);
  • CVE-2023-1717 (9,6 балла) — возможность загрязнения прототипа JavaScript в браузере из-за некорректной обработки входных данных модулем main (XSS через порчу прототипа на стороне клиента, согласно бюллетеню Star Labs);
  • CVE-2023-1718 (7,5 балла) — возможность отказа в обслуживании (DoS) при определённых настройках системы, выявленная в модуле main (DoS без аутентификации через манипулирование аргументом tmp_url, по версии Star Labs);
  • CVE-2023-1719 (7.5 балла) — возможность несанкционированного доступа к пользовательским файлам из-за некорректной обработки входных данных модулем intranet (выполнение произвольного JavaScript в браузере или PHP на сервере путем перезаписи неинициализированных переменных, согласно бюллетеню Star Labs);
  • CVE-2023-1720 (9,3 балла) — возможность XSS-атаки, вызванная ошибкой в конфигурации проекта (выполнение JavaScript в браузере или PHP на сервере с помощью специально созданного HTML-файла, согласно Star Labs).

В комментарии для РБК представитель «1С-Битрикс» отметил, что все облачные версии Битрикс24 «давно обновлены и защищены от этих уязвимостей». Данных об использовании какой-либо из них в атаках пока нет. Установленные на оборудовании заказчиков коробочные версии необходимо обновить.

Бизнес-консультант Positive Technologies по вопросам ИБ Алексей Лукацкий, со своей стороны, напомнил, что включение уязвимостей в общедоступную базу данных ИБ-угроз ФСТЭК означает, что проблемы должны быть устранены.

Для критических установлен срок 24 часа, для менее опасных — от семи до 30 дней. Неисполнение грозит разработчикам приостановкой или отзывом сертификата, пользователям — другими мерами воздействия.

PT Data Security 1.5 научилась искать уязвимости в базах данных

Компания Positive Technologies представила версию 1.5 платформы PT Data Security, предназначенной для инвентаризации, классификации и контроля безопасности данных. Главное нововведение релиза — появление инструментов для поиска известных уязвимостей, ошибок конфигурации и небезопасных настроек в хранилищах данных.

Платформа теперь может выявлять избыточные привилегии пользователей и другие факторы, которые потенциально повышают риск компрометации информации.

Разработчики отмечают, что это позволяет не только находить критически важные данные, но и оценивать уровень защищённости самих систем хранения. Например, специалисты по ИБ смогут быстрее определить, какие проблемы стоит устранять в первую очередь, если речь идёт о базах с персональными, финансовыми или другими чувствительными сведениями.

В новой версии также появилась поддержка СУБД Oracle. Для таких систем PT Data Security может проводить инвентаризацию данных, их классификацию и анализировать риски, связанные с расширенными правами доступа к критически важным таблицам. Поддержка Oracle может оказаться востребованной в крупных организациях, где эта СУБД по-прежнему широко используется.

Параллельно расширились возможности работы с PostgreSQL. Платформа получила функции анализа конфигурации и поиска слабых мест для версий PostgreSQL от 9.0 до актуальной ветки 18.

Среди других изменений — поддержка Astra Linux 1.8, которая активно используется в государственных структурах и крупных компаниях, а также обновлённая система настройки правил и политик безопасности. По словам разработчиков, она должна упростить адаптацию платформы под внутренние процессы и требования конкретной организации.

В Positive Technologies заявили, что версия 1.5 полностью соответствует плану развития продукта на первое полугодие 2026 года. Следующий этап развития платформы компания планирует формировать на основе запросов клиентов и тенденций рынка защиты данных.

RSS: Новости на портале Anti-Malware.ru