Posts of БДУ ФСТЭК России

Уязвимость компонента AuthenticatorActivity облачного программного обеспечения для создания и использования хранилища данных Nextcloud связана с неправильным экспортом компонентов приложений. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие механизмы безопасности BDU:2026-18076 CVE-2026-107059 Компенсирующие меры: - использование средств межсетевого экранирования для ограничения возможности удалённого доступа к программному обеспечению; - сегментирование сети для ограничения доступа к уязвимому программному обеспечению; - использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей; - ограничение доступа из внешних сетей (Интернет).

Уязвимость средства виртуализации VMmanager 6 связанная с непоследовательной интерпретацией HTTP-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить подмену и передачу HTTP-запросов в обход механизмов безопасности BDU:2026-17394 Обновление программного обеспечения, применение оперативного обновления «Vmmanager 6» 2026.09.1-4 Regular, 6.2.2026.05.2-2, предоставляемого в личном кабинете пользователя https://lk.astra.ru/ (https://wiki.astralinux.ru/x/ziLoD)

Обновление БДУ Обновлены сведения об уязвимостях программного обеспечения Добавлена информация о 100 уязвимостях программного обеспечения Внесены изменения в 354 записи об уязвимостях программного обеспечения 🔶БДУ ФСТЭК России в MAX

Уязвимость функции AWS2S3Utils.determineKey() компонента camel-aws2-s3 java-фреймворка Apache Camel связана с непринятием мер по нейтрализации специальных элементов, используемых в операторе языка выражений. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код BDU:2026-17946 CVE-2026-95664 Использование рекомендаций производителя: https://camel.apache.org/security/CVE-2026-95664.html

Уязвимость компонента SMTP платформы для управления проектами OpenProject связана с недостаточной проверкой запросов на стороне сервера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществить SSRF-атаку BDU:2026-17944 CVE-2026-31974 Использование рекомендаций производителя: https://www.openproject.org/docs/release-notes/17-2-0/

Уязвимость функции evalAction() компонента Remotedev Server библиотеки Redux DevTools связана с неверной нейтрализация особых элементов в выходных данных. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации и выполнить произвольный код BDU:2026-17941 CVE-2026-117526 Компенсирующие меры: - ограничение возможности использования библиотеки; - минимизация пользовательских привилегий; - отключение/удаление неиспользуемых учётных записей пользователей.

Обновление БДУ Обновлены сведения об уязвимостях программного обеспечения Добавлена информация о 136 уязвимостях программного обеспечения 🔶БДУ ФСТЭК России в MAX

Уязвимость компонента MozJS системы управления базами данных MongoDB связана с недостатками процедуры авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации BDU:2026-17911 CVE-2026-13078 Использование рекомендаций производителя: https://jira.mongodb.org/browse/SERVER-128832

Уязвимость гипервизора VMware ESX связана с ошибками в настройках безопасности. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код BDU:2026-17873 CVE-2026-41709 Использование рекомендаций производителя: https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/38017

Уязвимость пакета реализации набора стандартов JWE, JWS, JWT go-jose для языка программирования Go связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании BDU:2026-17870 CVE-2026-116587 Использование рекомендаций: https://github.com/go-jose/go-jose/commit/a0111f82742fa92bceec9ede40845e73319e6230 https://github.com/go-jose/go-jose/releases/tag/v4.1.6

Обновление БДУ Обновлены сведения об уязвимостях программного обеспечения Добавлена информация о 63 уязвимостях программного обеспечения Внесены изменения в 24 записи об уязвимостях программного обеспечения 🔶БДУ ФСТЭК России в MAX

Опубликованы новые результаты тестирования обновлений ПО 🔶БДУ ФСТЭК России в MAX

Уязвимость сервера платформы мониторинга и управления ИТ-инфраструктурой N-able N-central связана с непринятием мер по нейтрализации инструкций в статически сохраненном коде. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код BDU:2026-17859 CVE-2026-86218 Использование рекомендаций: https://me.n-able.com/s/security-advisory/aArVy0000002Ld3KAE/cve202686218-preauthentication-remote-code-execution https://status.n-able.com/2026/09/06/n-central-2026-3-hotfix-4-cve-2026-86218/

Уязвимость компонента TokenGuard PHP-фреймворка Laravel связана с неправильной проверкой указанного типа входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие механизмы безопасности и получить несанкционированный доступ к учетной записи пользователя BDU:2026-17775 CVE-2026-114509 Использование рекомендаций производителя: https://github.com/laravel/framework/releases/tag/v12.68.0 https://github.com/laravel/framework/releases/tag/v13.29.0

Уязвимость контроллера доставки приложений NetScaler ADC (ранее Citrix ADC) и системы контроля доступа к виртуальной среде NetScaler Gateway (ранее Citrix Gateway) связана с недостатками обработки HTTP-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код BDU:2026-17773 CVE-2026-88773 Использование рекомендаций производителя: https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX697096

Обновление БДУ Обновлены сведения об уязвимостях программного обеспечения Добавлена информация о 101 уязвимости программного обеспечения Внесены изменения в 879 записей об уязвимостях программного обеспечения 🔶БДУ ФСТЭК России в MAX

Уязвимость программного средства управления проектами и задачами JetBrains YouTrack связана с некорректной процедурой авторизации на основе списка разрешенных отправителей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие механизмы безопасности и получить несанкционированный доступ к учетной записи пользователя BDU:2026-17518 CVE-2026-86478 Использование рекомендаций производителя: https://www.jetbrains.com/privacy-security/issues-fixed/

Уязвимость функции delete_queue() программного межсетевого экрана Netgate pfSense связана с непринятием мер по нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код BDU:2026-17514 CVE-2026-111218 Использование рекомендаций производителя: https://github.com/pfsense/pfsense/blob/9363ac5b8651a1c7a333180425ce7719070f95f9/src/etc/inc/shaper.inc#L3820-L3821 https://github.com/pfsense/pfsense/blob/9363ac5b8651a1c7a333180425ce7719070f95f9/src/etc/inc/shaper.inc#L3959

Уязвимость алгоритма сжатия данных Brotli программной платформы Node.js связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код BDU:2026-17395 CVE-2026-111497 Использование рекомендаций производителя: https://nodejs.org/en/blog/vulnerability/october-2026-security-releases#nodejs-brotli-decoder-out-of-bounds-write-permits-remote-code-execution-cve-2026-111497---high Для Brotli: https://github.com/google/brotli/releases#release-v1.0.10 https://github.com/google/brotli/releases#release-v1.1.1 https://github.com/google/brotli/releases#release-v1.2.1

Обновление БДУ Обновлены сведения об уязвимостях программного обеспечения Добавлена информация о 215 уязвимостях программного обеспечения Внесены изменения в 1009 записей об уязвимостях программного обеспечения 🔶БДУ ФСТЭК России в MAX

Уязвимость программной платформы на базе git для совместной работы над кодом GitLab связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код BDU:2026-17391 CVE-2026-110264 Использование рекомендаций производителя: https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/

Уязвимость сценария activate.sh (src/virtualenv/activation/bash/activate.sh) инструмента для создания изолированных виртуальных окружений в Python virtualenv связана с непринятием мер по нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю выполнить произвольные команды BDU:2026-17370 CVE-2026-113725 Использование рекомендаций: https://github.com/pypa/virtualenv/releases/tag/21.14.7 https://github.com/pypa/virtualenv/commit/c3104e02474b652832a9bbaae79f6e1696296932

Уязвимость модуля Node.js follow-redirects связана с перенаправлением конфиденциальных заголовков учетных данных без процедуры удаления. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации BDU:2026-17367 CVE-2026-111756 Использование рекомендаций: https://github.com/follow-redirects/follow-redirects/commit/844c4d3

Обновление БДУ Обновлены сведения об уязвимостях программного обеспечения Добавлена информация о 32 уязвимостях программного обеспечения Внесены изменения в 9 записей об уязвимостях программного обеспечения 🔶БДУ ФСТЭК России в MAX

Опубликованы новые результаты тестирования обновлений ПО 🔶БДУ ФСТЭК России в MAX

Уязвимость редактора исходного кода Microsoft Visual Studio Code связана с непринятием мер по очистке данных на управляющем уровне. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код BDU:2026-17365 CVE-2026-69370 Использование рекомендаций производителя: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-69370

Уязвимость компонента session.upload_progress ядра интерпретатора языка программирования PHP связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированного POST-запроса BDU:2026-17192 CVE-2026-109619 Использование рекомендаций: https://cert.europa.eu/publications/security-advisories/2026-018 https://github.com/php/php-src/releases#release-php-8.2.35 https://github.com/php/php-src/releases#release-php-8.3.36 https://github.com/php/php-src/releases#release-php-8.4.27 https://github.com/php/php-src/releases#release-php-8.5.12 Для программных продуктов Palo Alto Networks Inc.: https://security.paloaltonetworks.com/CVE-2026-109619 Компенсирующие меры: - для PHP 8.5 отключить формирование трассировок фатальных ошибок: fatal_error_backtraces = 0; - исключить некорректные и устаревшие параметры конфигурации PHP, вызывающие диагностические сообщения перед инициализацией запроса; - установить pm.max_requests = 1 для менеджера процессов PHP-FPM, учитывая влияние на производительность; - отключение функции отслеживания прогресса загрузки файлов путем установления значения «Off» параметра session.upload_progress.enabled в конфигурационном файле php.ini; - использование средств межсетевого экранирования уровня веб-приложений (WAF) для фильтрации сетевого трафика; - ограничение доступа к уязвимому программному обеспечению, используя схему доступа по «белым спискам»; - использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей; - ограничение доступа из внешних сетей (Интернет).

Уязвимость функции longjmp() компонента session.upload_progress ядра интерпретатора языка программирования PHP связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированного POST-запроса BDU:2026-17191 CVE-2026-109618 Использование рекомендаций: https://cert.europa.eu/publications/security-advisories/2026-018 https://github.com/php/php-src/releases#release-php-8.2.35 https://github.com/php/php-src/releases#release-php-8.3.36 https://github.com/php/php-src/releases#release-php-8.4.27 https://github.com/php/php-src/releases#release-php-8.5.12 Для программных продуктов Palo Alto Networks Inc.: https://security.paloaltonetworks.com/CVE-2026-109618 Компенсирующие меры: - установка настройки memory_limit = -1 на административном уровне, исключив возможность переопределения приложением; - ограничение параметров конфигурации PHP файла php.ini post_max_size, upload_max_filesize, количество параметров и глубину вложенности входных данных; - ограничение количества частей и заголовков multipart-запросов на уровне веб-сервера; - настройка ограничений потребления памяти через cgroups или контейнеры; - использование средств межсетевого экранирования уровня веб-приложений (WAF) для фильтрации сетевого трафика; - ограничение доступа к уязвимому программному обеспечению, используя схему доступа по «белым спискам»; - использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей; - ограничение доступа из внешних сетей (Интернет).

Обновление БДУ Обновлены сведения об уязвимостях программного обеспечения Добавлена информация о 114 уязвимостях программного обеспечения Внесены изменения в 26 записей об уязвимостях программного обеспечения 🔶БДУ ФСТЭК России в MAX

Уязвимость компонента Desktop браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально созданной HTML-страницы BDU:2026-17151 CVE-2026-110916 Использование рекомендаций производителя: https://chromereleases.googleblog.com/2026/10/stable-channel-update-for-desktop_01886704284.html