BDU:2025-06807
HashiCorp, ООО «Ред Софт» РЕД ОС, Nomad
2025-06-11
Уязвимость механизма поиска ACL-политик на основе префиксов оркестратора приложений Nomad связана с некорректным присваиванием правил контроля доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие механизмы безопасности путем создания задания со специальным префиксным именем
Технический анализ и план устранения
🇷🇺 Рекомендация ФСТЭК
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры: - использование средств межсетевого экранирования для ограничения удалённого доступа к уязвимому программному обеспечению; - сегментирование сети для ограничения доступа к уязвимому программному обеспечению из других подсетей; - ограничить доступ к уязвимому программному обеспечению, используя схему доступа по «белым спискам»; - использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей; - минимизация пользовательских привилегий; - отключение/удаление неиспользуемых учётных записей пользователей.
Использование рекомендаций: https://discuss.hashicorp.com/t/hcsec-2025-12-nomad-vulnerable-to-incorrect-acl-policy-lookup-attached-to-a-job/75396
Для РЕД ОС: https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-nomad-cve-2025-4922/?sphrase_id=1088641