Уведомления об уязвимостях

Дата публикации: 27.05.2025
Критичность: Средняя
Затронутый продукт: «Интеллект Х»
Затронутые версии: 5.0.4 и более ранние
Версия с исправлением: 5.0.5

В «Интеллект Х» использовались версии нескольких сторонних компонентов NuGet, содержащие известные уязвимости. Эксплуатация уязвимостей в таких зависимостях потенциально могла привести к выполнению произвольного кода или обходу механизмов безопасности.

В число затронутых компонентов входили Grpc.Tools, CefSharp, Google.Protobuf, DynamicData, System.Runtime.CompilerServices.Unsafe и другие зависимости.

Зависимости были обновлены до совместимых стабильных версий, включая:

• System.Runtime.CompilerServices.Unsafe 6.1.2;
• DynamicData 9.3.2;
• Google.Protobuf 3.31.0;
• обновленные версии CommandLineParser, Grpc.Tools, Microsoft.Bcl.AsyncInterfaces, CefSharp, prometheus-net и других компонентов.

Обновить «Интеллект Х» до версии 5.0.5 или более поздней.

Дата публикации: 01.05.2025
Критичность: Высокая
Затронутый продукт: «Интеллект Х»
Затронутые версии: 5.0.7 и более ранние с объектным архивом
Версия с исправлением: 5.0.8

В версиях «Интеллект Х» до 5.0.8 данные объектного архива хранились на носителе в незашифрованном виде. При получении доступа к накопителю или хранилищу это потенциально позволяло извлечь конфиденциальные данные архива.

Начиная с версии 5.0.8 для объектного архива доступно AES-256-шифрование. Оно включается в настройках архива и доступно в любой лицензии продукта, в том числе Демо. После включения отключить шифрование для этого архива нельзя.

Обновить «Интеллект Х» до версии 5.0.8 или более поздней и включить шифрование в настройках объектного архива.

Дата публикации: 08.03.2025
Критичность: Высокая
Затронутый продукт: «Интеллект Х»
Затронутые версии: 5.0.16 и более ранние с PostgreSQL 10.х
Версия с исправлением: «Интеллект Х» 5.5.0, PostgreSQL 17.4

Используемая версия PostgreSQL 10.x содержала несколько известных уязвимостей. В зависимости от конкретной уязвимости их эксплуатация могла приводить к повышению привилегий, выполнению произвольного кода или отказу в обслуживании.

Был выполнен переход на PostgreSQL 17.4 с проверкой встроенных и внешних конфигураций базы данных.

При установке новой системы использовать «Интеллект Х» 5.5.0 или выше. При обновлении системы с версии 5.0.16 или более ранней, а также администраторам, использующим внешние экземпляры СУБД, рекомендуется самостоятельно обновить PostgreSQL до версии 17.4 или выше.

Дата публикации: 19.01.2025
Критичность: Средняя
Затронутый продукт: «Интеллект Х»
Затронутые версии: 5.0.1 и более ранние
Версия с исправлением: 5.0.2

Механизм LDAP-аутентификации мог некорректно определять принадлежность пользователей к вложенным группам при сопоставлении с ролями. В результате пользователю могла быть назначена роль, которой у него не должно быть, и он мог получить доступ к данным и функциям за пределами настроенных администратором прав. В некоторых случаях, наоборот, легитимный пользователь мог не получить нужный доступ.

Алгоритм обработки LDAP-групп был обновлен с поддержкой рекурсивного разрешения структуры вложенных групп перед сопоставлением с ролями.

Обновить «Интеллект Х» до версии 5.0.2 или выше и регулярно проверять структуру групп и сопоставление ролей со внешним LDAP-каталогом.

Дата публикации: 01.11.2024
Критичность: Высокая
Затронутый продукт: «Интеллект Х»
Затронутые версии: 5.0.5 и более ранние
Версия с исправлением: 5.0.6

В модуле управления сессиями на базе OpenSSL могла возникать ошибка перераспределения памяти при обработке истекших сессионных ключей. При высокой нагрузке это потенциально могло приводить к аварийному завершению приложения или непредсказуемому поведению системы.

Механизм управления сессионными ключами и используемые привязки OpenSSL были переработаны. Используемая версия OpenSSL обновлена до 3.0.13.

Обновить «Интеллект Х» до версии 5.0.6 или более поздней.

Дата публикации: 12.10.2024
Критичность: Средняя
Затронутый продукт: «Интеллект Х»
Затронутые версии: 5.0.2 и более ранние
Версия с исправлением: 5.0.3

Если роль пользователя удалялась в тот момент, когда он уже был авторизован в веб-интерфейсе, текущая сессия пользователя не завершалась сразу. Выданный токен продолжал действовать, пока не истечет его срок или пользователь сам не выйдет из системы.

В результате пользователь в течение ограниченного времени мог продолжать использовать права, которые уже были отозваны администратором.

После изменения пользовательских ролей веб-интерфейс теперь принудительно завершает соответствующую активную сессию.

Обновить «Интеллект Х» до версии 5.0.3 или более поздней.

Дата публикации: 20.08.2024
Критичность: Высокая
Затронутый продукт: «Интеллект Х»
Затронутые версии: 5.0.4 и более ранние при включенном TRACE-логировании
Версия с исправлением: 5.0.5

При включенном TRACE-логировании компонент ARP Agent мог записывать в системные журналы учетные данные в открытом виде. Пароли могли присутствовать в сериализованных JSON-данных, создаваемых arpagent.exe. Пользователь, имеющий локальный доступ к соответствующим журналам, потенциально мог получить эти данные.

Механизм TRACE-логирования был изменен таким образом, чтобы поля с паролями не записывались в открытом виде.

Обновить «Интеллект Х» до версии 5.0.5 или более поздней. Не включать TRACE-логирование в производственной среде без необходимости. Если механизм TRACE ранее использовался, рекомендуется изменить затронутые учетные данные.

Дата публикации: 10.07.2024
Критичность: Средняя
Затронутый продукт: «Интеллект Х»
Затронутые версии: 5.0.0, 5.0.1
Версия с исправлением: 5.0.2

Диагностические файлы, создаваемые встроенным средством диагностики, могли содержать внутреннюю информацию, связанную с лицензированием: временные метки, состояние лицензии, значения реестра и другие служебные данные.

Прямого раскрытия учетных данных выявлено не было, однако содержащаяся в диагностических файлах информация потенциально могла быть доступна неавторизованному пользователю, получившему доступ к таким файлам.

Механизм формирования диагностических данных был изменен для исключения чувствительной служебной информации.

Обновить «Интеллект Х» до версии 5.0.2 или более поздней. Ранее созданные диагностические файлы рекомендуется проверить и при необходимости удалить.