ОС «СТРЕЛЕЦ»

АРХИВ. ПАТЧИ И ОБНОВЛЕНИЯ БЕЗОПАСНОСТИ

26.01.2022 Регулярное обновление безопасности
Устранены уязвимости пакетов apache2, apache-log4j2, busybox.

Подробно:
https://strelets.net/patchi-i-obnovleniya-bezopasnosti-arhiv#26012022
copy link
Уязвимость: CVE-2021-44790
Ссылка на источник: https://bdu.fstec.ru/vul/2021-06392

Описание устранения: Уязвимость HTTP-сервера Apache связана с выходом операции за границу буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью отправки специально сформированного HTTP-запроса. Затрагиваются версии до 2.4.51 включительно Исправлено в 2.4.38-3+deb10u7, 2.4.52-1~deb11u2, 2.4.52-1

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install apache2
Уязвимость: CVE-2021-44224
Ссылка на источник: https://bdu.fstec.ru/vul/2021-06393

Описание устранения: Уязвимость HTTP-сервера Apache связана с подделкой запросов на стороне сервера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, провести SSRF-атаку с помощью отправки специально сформированного HTTP-запроса. Затрагиваются версии от 2.4.7 до 2.4.52 (Apache HTTP Server). Исправлено в 2.4.38-3+deb10u7, 2.4.52-1~deb11u2, 2.4.52-1

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install apache2
Уязвимость: CVE-2021-44228
Ссылка на источник: https://bdu.fstec.ru/vul/2021-05969

Описание устранения: Уязвимость компонента JNDI библиотеки журналирования Java-программ Apache Log4j2 связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код. Затрагиваются версии с 2.0-beta9 по 2.12.1 и с 2.13.0 по 2.15.0

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install liblog4j2-java
Уязвимость: CVE-2021-44832
Ссылка на источник: https://bdu.fstec.ru/vul/2022-00044

Описание устранения: Уязвимость библиотеки журналирования Java-программ Apache Log4j2 связана с отсутствием дополнительных элементов управления доступом JNDI. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью JDBC Appender. Затрагиваются версии с 2.0-beta9 по 2.17.0

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install liblog4j2-java
Уязвимость: CVE-2021-45105
Ссылка на источник: https://bdu.fstec.ru/vul/2021-06325

Описание устранения: Уязвимость библиотеки журналирования Java-программ Log4j существует из-за недостаточной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании с помощью специально сформированного рекурсивного запроса. Затрагиваются версии с 2.0-alpha1 по 2.16.0 (кроме 2.12.3 и 2.3.1)

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install liblog4j2-java
Уязвимость: CVE-2021-42384
Ссылка на источник: https://bdu.fstec.ru/vul/2021-06387

Описание устранения: Уязвимость набора утилит командной строки BusyBox, связанная с использованием памяти после освобождения, позволяющая нарушителю скомпрометировать уязвимую систему. Затрагиваются версии: от 1.27.0 до 1.33.1 включительно (BusyBox).

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install busybox
Уязвимость: CVE-2021-42382
Ссылка на источник: https://bdu.fstec.ru/vul/2021-06388

Описание устранения: Уязвимость набора утилит командной строки BusyBox связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код. Затрагиваются версии: от 1.27.0 до 1.33.1 включительно (BusyBox).

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install busybox
Уязвимость: CVE-2021-42386
Ссылка на источник: https://bdu.fstec.ru/vul/2021-06389

Описание устранения: Уязвимость набора утилит командной строки BusyBox связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код. Затрагиваются версии: от 1.27.0 до 1.33.1 включительно (BusyBox).

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install busybox
Уязвимость: CVE-2021-42381
Ссылка на источник: https://bdu.fstec.ru/vul/2021-06390

Описание устранения: Уязвимость набора утилит командной строки BusyBox связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код. Затрагиваются версии: от 1.27.0 до 1.33.1 включительно (BusyBox).

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install busybox
Уязвимость: CVE-2021-42380
Ссылка на источник: https://bdu.fstec.ru/vul/2021-06395

Описание устранения: Уязвимость набора утилит командной строки BusyBox связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код. Затрагиваются версии: от 1.27.0 до 1.33.1 включительно (BusyBox).

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install busybox
Уязвимость: CVE-2021-42379
Ссылка на источник: https://bdu.fstec.ru/vul/2021-06396

Описание устранения: Уязвимость функции next_input_file набора утилит командной строки BusyBox связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код. Затрагиваются версии: от 1.18.0 до 1.33.1 включительно (BusyBox).

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install busybox
Уязвимость: CVE-2021-42385
Ссылка на источник: https://bdu.fstec.ru/vul/2021-06397

Описание устранения: Уязвимость набора утилит командной строки BusyBox связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код. Затрагиваются версии: от 1.16.0 до 1.33.1 включительно (BusyBox).

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install busybox
Уязвимость: CVE-2021-42378
Ссылка на источник: https://bdu.fstec.ru/vul/2021-06398

Описание устранения: Уязвимость функции getvar_i набора утилит командной строки BusyBox связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код. Затрагиваются версии: от 1.16.0 до 1.33.1 включительно (BusyBox).

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install busybox
08.12.2021 Регулярное обновление безопасности
Устранены уязвимости пакетов cpio, Openjdk-8, мультимедийной библиотеки FFmpeg и архиватора Apache Commons Compress.

Подробно:
https://strelets.net/patchi-i-obnovleniya-bezopasnosti-arhiv#08122021
copy link
Уязвимость: CVE-2021-38185
Ссылка на источник: https://bdu.fstec.ru/vul/2021-05090

Описание устранения: Уязвимость компонента dstring.c пакета cpio операционной системы Debian GNU/Linux вызвана целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать переполнение стека через созданный файл.

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install cpio
Уязвимость: CVE-2021-35517
Ссылка на источник: https://bdu.fstec.ru/vul/2021-04206

Описание устранения: Уязвимость архиватора Apache Commons Compress связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданных файлов формата TAR.

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install libcommons-compress-java
Уязвимость: CVE-2021-35516
Ссылка на источник: https://bdu.fstec.ru/vul/2021-03965

Описание устранения: Уязвимость программного пакета sevenz архиватора Apache Commons Compress связана с ошибками при обработке параметров длины входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании.

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install libcommons-compress-java
Уязвимость: CVE-2021-35515
Ссылка на источник: https://bdu.fstec.ru/vul/2021-04515

Описание устранения: Уязвимость архиватора Apache Commons Compress связана с выполнением цикла без достаточного ограничения количества его выполнения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданных файлов формата 7Z.

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install libcommons-compress-java
Уязвимость: CVE-2021-2388
Ссылка на источник: https://bdu.fstec.ru/vul/2021-04023

Описание устранения: Уязвимость компонента Hotspot виртуальной машины Oracle GraalVM Enterprise Edition, программной платформы Java SE связана с возможностью внедрения ненадежного кода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный Java-код.

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install openjdk-8-jre openjdk-8-jre-zero
Уязвимость: CVE-2021-38114
Ссылка на источник: https://bdu.fstec.ru/vul/2021-05242

Описание устранения: Уязвимость компонента libavcodec/dnxhddec.c мультимедийной библиотеки FFmpeg связана с непроверенным возвращаемым значением функции init_vlc. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании.

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install ffmpeg
08.11.2021 Оперативное обновление безопасности
Устранена уязвимость библиотеки OpenSSL
https://strelets.net/patchi-i-obnovleniya-bezopasnosti-arhiv#08112021operativnoe-obnovlenie
copy link
Уязвимость: CVE-2021-3712
Ссылка на источник: https://bdu.fstec.ru/vul/2021-04571

Описание устранения: Уязвимость функции X509_aux_print() библиотеки OpenSSL связана с чтением за границами буфера в памяти при обработке строк ASN.1. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию или вызвать отказ в обслуживании.

Для полного устранения уязвимости установить оперативное обновление от 08.11.2021.

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install openssl
Уязвимость: CVE-2021-32687
Ссылка на источник: https://bdu.fstec.ru/vul/2021-05037

Описание устранения:
Уязвимость параметра конфигурации set-max-intset-entries СУБД Redis связана с возможностью целочисленного переполнения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код. В качестве оперативных мер по устранению уязвимости предлагается запретить пользователям изменять параметр конфигурации set-max-intset-entries при помощи ACL (ограничить использование команды CONFIG SET).

Для полного устранения уязвимости установить оперативное обновление от 02.11.2021.

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install redis

Уязвимость: CVE-2021-32626
Ссылка на источник: https://bdu.fstec.ru/vul/2021-05031

Описание устранения: Уязвимость интерпретатора скриптов Lua СУБД Redis связана с возможностью переполнения буфера в стеке. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код.

Для полного устранения уязвимости установить оперативное обновление от 02.11.2021.

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install redis
Уязвимость: CVE-2021-32627
Ссылка на источник: https://bdu.fstec.ru/vul/2021-04966

Описание устранения: Уязвимость параметров конфигурации proto-max-bulk-len и client-query-buffer-limit СУБД Redis связана с возможностью целочисленного переполнения буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код.

Для полного устранения уязвимости установить оперативное обновление от 02.11.2021.

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install redis
02.11.2021 Регулярное обновление безопасности
Устранены уязвимости в пакетах Redis, util-linux, fail2ban и Apache Tomcat

Подробно:
https://strelets.net/patchi-i-obnovleniya-bezopasnosti-arhiv#02112021regulyarnoe-obnovlenie
copy link
Уязвимость: CVE-2021-32675
Ссылка на источник: https://bdu.fstec.ru/vul/2021-04962

Описание устранения: Уязвимость сервера СУБД Redis связана с ошибками при обработке RESP-запроса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании. В качестве оперативных мер по устранению уязвимости предлагается заблокировать доступ несанкционированным пользователям к Redis. Это возможно следующими способами:

- включить TLS и требовать от пользователей авторизироваться клиентскими сертификатами;
- использовать средства сетевого контроля, такие как брендмауер, iptables и т.д.

Для полного устранения уязвимости установить оперативное обновление от 02.11.2021.

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install redis
Уязвимость: CVE-2021-32628
Ссылка на источник: https://bdu.fstec.ru/vul/2021-04969

Описание устранения: Уязвимость структуры данных ziplist системы управления базами данных (СУБД) Redis связана с возможностью изменения значения параметра конфигурации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код. В качестве оперативных мер по устранению уязвимости предлагается запретить пользователям изменять параметры конфигурации hash-max-ziplist-entries, hash-max-ziplist-value, zset-max-ziplist-entries или zset-max-ziplist-value при помощи ACL (ограничить использование команды CONFIG SET).

Для полного устранения уязвимости установить оперативное обновление от 02.11.2021.

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install redis
Уязвимость: CVE-2021-32761
Ссылка на источник: https://bdu.fstec.ru/vul/2021-04030

Описание устранения: Уязвимость параметра конфигурации proto-max-bulk-len системы управления базами данных (СУБД) Redis связана с чтением за пределами диапазона и целочисленным переполнением буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код. В качестве оперативных мер по устранению уязвимости предлагается запретить пользователям изменять параметр proto-max-bulk-len.

Для полного устранения уязвимости установить оперативное обновление от 02.11.2021.

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install redis
Уязвимость: CVE-2021-37600
Ссылка на источник: https://bdu.fstec.ru/vul/2021-03990

Описание устранения: Уязвимость пакета служебных утилит командной строки util-linux, связана с целочисленным переполнением в ipcutils.c. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, передать приложению специальные данные и вызвать целочисленное переполнение. Оперативные меры отсутствуют, ввиду отсутствия реалистичного сценария эксплуатации этой уязвимости.

Для полного устранения уязвимости установить оперативное обновление от 02.11.2021.

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install util-linux
Уязвимость: CVE-2021-32749
Ссылка на источник: https://bdu.fstec.ru/vul/2021-03927

Описание устранения: Уязвимость программного обеспечения fail2ban связана с ошибками проверки функции mail-whois. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированного запроса.

Для полного устранения уязвимости установить оперативное обновление от 02.11.2021.

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install fail2ban
Уязвимость: CVE-2021-30640
Ссылка на источник: https://bdu.fstec.ru/vul/2021-03686

Описание устранения: Уязвимость реализации модуля JNDIRealm сервера приложений Apache Tomcat связана с недостатками механизма аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации.

Для полного устранения уязвимости установить оперативное обновление от 02.11.2021.

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install tomcat8
07.10.2021 Оперативное обновление безопасности
Устранены уязвимости ядра: CVE-2021-38208 CVE-2021-38207
https://strelets.net/patchi-i-obnovleniya-bezopasnosti-arhiv#07102021operativnoe-obnovlenie
copy link
Уязвимость: CVE-2021-38208
Ссылка на источник: https://bdu.fstec.ru/vul/2021-04152

Описание устранения: Уязвимость модуля ядра nfc.ko актуальна для ОС «Стрелец». В качестве оперативных мер по устранению уязвимости предлагается удалить, либо заблокировать использование указанного модуля. Для полного устранения уязвимости установить оперативное обновление от 07.10.2021.

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install linux-image* ness-modules* lkrg
Уязвимость: CVE-2021-38207
Ссылка на источник: https://bdu.fstec.ru/vul/2021-04244

Описание устранения:
Уязвимость в драйвере xilinx temac ethernet (сетевой адаптер). Уязвимость в исходном коде присутствует, но сборка этого драйвера исключена из ядра. Уязвимость для ОС «Стрелец» в текущей конфигурации не применима. Тем не менее применён патч к ядру. Для полного устранения уязвимости установить оперативное обновление от 07.10.2021.

Инструкция по настройке репозитория: https://t.me/os_strelets/65

Команда обновления: sudo apt install linux-image* ness-modules* lkrg
23.09.2021 Регулярное обновление
Обновлён пакет: sane-backends c версии - 1.0.25 до версии 1.0.32

Описание: Добавлена последняя версия драйверов для поддерживаемых сканеров и МФУ. Полный список совместимых устройств можно посмотреть по ссылке
https://strelets.net/patchi-i-obnovleniya-bezopasnosti-arhiv#230921regulyarnoe-obnovlenie
copy link
Инструкция по установке
Пакет: sane-backends_1.0.32-4strelets1

Подготовительные действия: Перед установкой пакета необходимо настроить дополнительный репозиторий ОС «Стрелец». Для этого необходимо добавить в файл /etc/apt/sources.list следующую строку :

deb http://mail.vniins.ru:22180/packages-update/ strelets main contrib non-free

далее выполнить команду установки: sudo apt install sane-utils

Для репозитория, работающего по https выполнить настройку, описанную в видеоуроке https://t.me/os_strelets/65 и добавить в файл /etc/apt/sources.list следующую строку :

deb https://mail.vniins.ru:22443/packages-update/ strelets main contrib non-free

Команда установки: sudo apt install sane-utils
24.08.2021 Регулярное обновление безопасности
Уязвимость: STR-2021-0075

Описание уязвимости: Утилиты useradd и adduser имеют небезопасные настройки по умолчанию, в результате при входе в систему пользователи имеют возможность получить состав домашнего каталога других локальных пользователей.
      https://strelets.net/patchi-i-obnovleniya-bezopasnosti-arhiv#240821regulyarnoe-obnovlenie
      copy link
      09.08.2021 Кумулятивное обновление безопасности
      Кумулятивное обновление безопасности предназначено для нейтрализации угроз эксплуатации выявленных в ОС «Стрелец» уязвимостей.

      Инструкция по установке обновления: https://t.me/os_strelets/63
      copy link
      https://strelets.net/patchi-i-obnovleniya-bezopasnosti-arhiv#kumulyativnoe-obnovlenie
      Подробно:
      Инструкция по устранению
      1. Настроить подключение к репозиторию

      2. Выполнить команду: sudo apt install vulfix-strelets

      или выполнить команды вручную:

      ⦁ для утилиты useradd в файле /etc/login.defs изменить значение параметра UMASK на 077: UMASK 077 выполнив команду: $ sudo sed -i -e 's/^\(UMASK[[:space:]]\+\)022$/\1077/' /etc/login.defs

      ⦁ для утилиты adduser в файле /etc/adduser.conf изменить значение параметра DIR_MODE на 0700 DIR_MODE=0700 выполнив команду: $ sudo sed -i -e "s/^DIR_MODE=.*$/DIR_MODE=0700/" /etc/adduser.conf

      ⦁ изменить права доступа для домашних каталогов пользователей, выполнив команду: $ sudo find /home -mindepth 1 -maxdepth 1 -type d ! -name '.*' ! -uid 0 -exec chmod o-rwx {} \;
      Информация скоро отобразится
      Ведутся работы по обновлению
      Информация скоро отобразится
      Ведутся работы по обновлению
      Скачать ОС «СТРЕЛЕЦ»
      Если у Вас нет лицензионного ключа для скачивания ОС «Стрелец», нажмите на кнопку «Получить ключ». Если у Вас есть лицензионный ключ, скачайте ОС «Стрелец» нажав на кнопку «Скачать ОС»
      Получить лицензионный ключ для скачивания ОС «Стрелец»
      Введите ваши данные и получите лицензионный ключ на указанную почту
      Нажимая на кнопку «Отправить запрос», вы соглашаетесь с политикой конфиденциальности