BDU:2025-01619
АО «НТЦ ИТ РОСА», ООО «РусБИТех-Астра», ООО «Ред Софт», OpenSC Project ROSA Virtualization 3.0, Astra Linux Special Edition, РЕД ОС, PAM-PKCS#11
2024-11-06
Уязвимость функции pam_sm_authenticate() модуля аутентификации PAM-PKCS#11 операционных систем Linux связана с ошибками аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти процедуру аутентификации и получить несанкционированный доступ к защищаемой информации
Технический анализ и план устранения
🇷🇺 Рекомендация ФСТЭК
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры: - использование многофакторной аутентификации; - использование систем мониторинга событий для отслеживания попыток аутентификации.
Использование рекомендаций производителя: https://github.com/OpenSC/pam_pkcs11/commit/2ecba68d404c3112546a9e802e3776b9f6c50a6a https://github.com/OpenSC/pam_pkcs11/releases/tag/pam_pkcs11-0.6.13
Для РЕД ОС: https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-pam-pkcs11-cve-2025-24531/?sphrase_id=835068
Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2822
Для ОС Astra Linux: обновить пакет pam-pkcs11 до 0.6.12-1+deb12u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0811SE18