Банк данных угроз безопасности информации

Федеральная служба по техническому и экспортному контролю

ФСТЭК России

Государственный научно-исследовательский испытательный институт проблем технической защиты информации

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»

BDU:2018-00460: Уязвимость механизма загрузки DLL-файлов средства криптографической защиты ViPNet Client, позволяющая нарушителю выполнить произвольный код с привилегиями администратора

Основная информация
Подробнее

Описание уязвимости

Уязвимость механизма загрузки DLL-файлов средства криптографической защиты ViPNet Client связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код с привилегиями администратора при помощи специально сформированного DLL-файла, помещенного в каталог установки ViPNet Client

Вендор

ОАО «ИнфоТеКС»

Наименование ПО

VipNet Client из состава ПКЗИ ViPNet 4 (запись в едином реестре российских программ №778)

Версия ПО

Тип ПО

Программное средство защиты

Операционные системы и аппаратные платформы

Microsoft Corp. Windows . 64-bit
Microsoft Corp. Windows . 32-bit

Тип ошибки

Разрешения, привилегии и средства управления доступом

Идентификатор типа ошибки

CWE-264

Класс уязвимости

Уязвимость кода

Дата выявления

11.12.2017

Базовый вектор уязвимости

CVSS 2.0: AV:L/AC:M/Au:S/C:C/I:C/A:C

CVSS 3.0: AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,6)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,6)

Возможные меры по устранению уязвимости

Установка системы защиты среды функционирования ViPNet EPS:
https://infotecs.ru/downloads/all/vipnet-client-.html?arrFilter_93=3868181484&set_filter=Y

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Способ эксплуатации

Нарушение авторизации

Способ устранения

Организационные меры

Информация об устранении

Уязвимость устранена

Ссылки на источники

Данные уточняются

Идентификаторы других систем описаний уязвимостей

Данные уточняются

Прочая информация

Сведения об уязвимости предоставлены ОАО «ИнфоТеКС»

Последние изменения