Securitylab: нет безопасных ОС
Securitylab представил статью по количеству обнаруженных и закрытых уязвимостей в популярных операционных системах в августе 2006 года и с начала года.
Следует учитывать, что прямое сравнение приведенных цифр некорректно, так как для правильного сравнения безопасности операционных систем нужно учитывать распространенность использования уязвимых приложений, конфигурацию по умолчанию, скорость устранения уязвимости с момента выхода информации о ее обнаружении и т.п. Следует также учитывать, что большинство производителей Linux систем включают огромное количество приложений в свои дистрибутивы, многие из которых используются на крайне малых инсталляциях. Также имейте ввиду, что в некоторых операционных системах (например в SuSe Linux) для удобства пользователей в одном патче присутствуют исправления для нескольких уязвимостей, что часто в статистике отражено как устранение одной уязвимости. Представлена информация об уязвимостях только в последних версиях ОС, хотя многие производители до сих пор поддерживают и обновляют старые версии своих операционных систем. Для простоты восприятия опасность делится на 3 группы ? критические, средние и некритические, однако для более точного понимания воздействия каждой уязвимости рекомендуется посмотреть соответствующие значения для каждой уязвимости в разделе nvd по классификации CVSS, в которой учитывается более 10 различных параметров для определения степени опасности той или иной уязвимости.
Apple Macintosh OS X
В Августе 2006 года компания Apple опубликовала 1 исправление, устраняющее 25 различных уязвимостей, многие из которых критические. Всего с начала года было опубликовано 9 исправлений, устраняющих 60 различных уязвимостей, 39 из которых были критическими, 8 средней степени опасности и 13 неопасных уязвимостей. 47 из обнаруженных уязвимостей могли эксплуатироваться удаленным пользователем и 19 из них могли привести к получению полного контроля над уязвимой системой. В настоящее время неизвестно о наличии незакрытых уязвимостей в Apple Macintosh OS X.
Debian Linux 3.1
В августе 2006 года производители Debial Linux опубликовали 34 уведомления, исправляющие уязвимости в sendmail, gtetrinet, libmusicbrainz, Ruby, KDE, Wiki, streamripper, ClamAV, heartbeat, shadow, ncompress, MIT Kerberos 5, Drupal, gallery, chmlib, freeradius, freeciv, gnupg, DHCP, GNUPG, xpdf, CFS, TIFF, libtunepimp, Mozilla Thunderbird, Mantis, Apache, Ethereal и других приложениях, поставляемых с операционной системой Debian Linux. Всего с начала года было выпущено 223 уведомления, которые устранили 33 критические уязвимости, 116 уязвимостей средней степени опасности, 74 неопасные уязвимости. 180 устраненных уязвимостей могли эксплуатироваться удаленным атакующим, 33 из локальной сети и 10 локальным пользователем. В настоящее время не устранена уязвимость ? небезопасные разрешения в /var/log/debian-installer/cdebconf (CVE-2006-1376) ? и для 18 уязвимостей предложены временные или частичные способы их закрытия.
FreeBSD 6.x
В Августе 2006 года FreeBSD опубликовало информацию об одной уязвимости в sppp драйвере при обработке LCP пакетов. Всего с начала года в FreeBSD было обнаружено 16 уязвимостей, 1 из которых была критическая (в sendmail), 6 средней степени опасности и 9 неопасных уязвимостей. 9 из обнаруженных уязвимостей могли эксплуатироваться удаленным пользователем, 2 из локальной сети и 5 только локальным пользователем. 2 уязвимости могли привести к получению полного контроля над уязвимой системой, 4 к DoS атаке, остальные к осуществлению других типов нападений. В настоящее время неизвестно о наличии незакрытых уязвимостей в FreeBSD.
Gentoo Linux 1.x
В августе 2006 года Gentoo опубликовал 28 уведомлений, в которых сообщалось об устранении уязвимостей в motor, wireshark, php, heimdal, heartbeat, rails, wordpress, libwmf, net-server, mit-krb5, dumb, clamav, x11vnc, webmin/usermin, gnupg, tiff, pike и нескольких других приложений. Всего с начала года Gentoo опубликовал 159 исправлений, устраняющих 40 критических уязвимостей, 80 уязвимостей средней степени опасности и 39 неопасных уязвимостей, 127 из которых могли эксплуатироваться удаленным пользователем. 56 из обнаруженных уязвимостей могли привести к получению полного контроля над уязвимой системой, 44 к DoS атаке, остальные к другим типам нападений. В настоящее время в Gentoo Linux не устранены 3 уязвимости ? в alsaplayer (CVE-2006-4089), warzone2100(CVE-2006-3849) и tunepimp (CVE-2006-3600).
HP-UX 11.x
В августе 2006 года в HP-UX было сообщено о наличии 5 уязвимостей в trusted mode, Support Tools Manager, LP Subsystem, Xserver и Sendmail. Всего с начала года было опубликовано 21 исправление, устраняющее 2 критические уязвимости, 4 уязвимости средней степени опасности и 15 некритических дыр, из которых 5 могли эксплуатироваться удаленным пользователем. 2 из обнаруженных уязвимостей могли привести к получению полного контроля над уязвимой системой, 8 для осуществление DoS атаки, остальные к другим типам нападений. В настоящее время неизвестно о наличии незакрытых уязвимостей в HP-UX 11.x.
Mandriva Linux 2006
В августе 2006 года было сообщено о наличии 3-х уязвимостей в Mandriva Linux 2006 -DoS атака в MySQL, несколько уязвимостей в sudo и несколько уязвимостей в xorg-x11. С апреля 2006 года (с первого релиза Mandriva Linux) было опубликовано 78 уведомлений, устраняющих 15 критических уязвимостей, 37 уязвимостей средней степени опасности и 26 некритических уязвимостей, 58 из которых могли эксплуатироваться удаленным пользователем. 25 из обнаруженных уязвимостей могли привести к получению полного контроля над уязвимой системой, 28 к DoS атаке, остальные к осуществленю других типов нападений. В настоящее время неизвестно о наличии незакрытых уязвимостей в Mandriva Linux 2006.
Microsoft Windows XP Professional
В августе 2006 года было обнаружено 4 новые уязвимости в Windows XP ? в службах Winlogon, Server, в Winsock API и обработке WMF файлов , и устранено несколько уязвимостей обнаруженных ранее. C начала года было обнаружено 26 уязвимостей, 10 из которых имели критическую степень опасности, 8 уязвимостей средней опасности и 8 неопасных уязвимостей. 15 из обнаруженных уязвимостей могут эксплуатироваться удаленным атакующим, 8 из локальной сети и 3 только локальным пользователем. 16 из обнаруженных уязвимостей могли привести к получению полного контроля над уязвимой системой, 4 к осуществлению DoS атаки, остальные к другим видам нападений. В настоящее время известно о 3-х незакрытых уязвимостей в операционной системе Windows XP ? DoS атака при обработке WMF файлов (CVE-2006-4071), DoS атака при обработке SMB сообщений (CVE-2006-3942) и DoS атака при обработке CMH файлов (CVE-2006-2297).
Microsoft Windows Server 2003
В августе 2006 года компания Microsoft сообщила об устранении 4-х уязвимостей в Microsoft Windows Server 2003. Всего с начала года было обнаружено 24 уязвимости в Windows 2003, 9 из которых были критические, 8 средней степени опасности и 7 неопасных уязвимостей. 13 из обнаруженных дыр могли эксплуатироваться удаленно, 8 из локальной сети и 2 только локальным пользователем. 14 из обнаруженных уязвимостей могли привести к получению полного контроля над уязвимой системой, 5 к осуществлению DoS атаки, остальные к другим видам нападений. В настоящее время известно о 2-х незакрытых уязвимостей в операционной системе Microsoft Windows Server 2003 ? DoS атака при обработке WMF файлов (CVE-2006-4071) и DoS атака при обработке SMB сообщений (CVE-2006-3942) в службе Server.
RedHat Enterprise Linux
В августе 2006 года Red Hat опубликовала 13 уведомлений, устраняющих различные уязвимости в libtiff, gnupg, seamonkey, krb5, apache, krb5, ntp, krb5, perl, ethereal, xorg-x11, kernel, ImageMagick. Всего с начала года было выпущено 74 исправления, устраняющих 14 критических уязвимостей, 44 уязвимостей средней степени опасности, 16 уязвимостей низкой опасности. 60 из устраненных уязвимостей могли эксплуатироваться удаленным атакующим, 3 из локальной сети и 11 локальным пользователем. 21 из закрытых дыр могла использоваться для получения полного контроля над уязвимой системой, 25 для осуществления DoS атаки и 5 уязвимостей для повышения локальных привилегий. В настоящее время в RedHat Enterprise Linux 4 полностью устранены все известные на сегодняшний день уязвимости.
Slackware Linux 10.x
В августе 2006 года было сообщено о наличии 2-х уязвимостей в Slackware Linux 10.x ? множественные уязвимости в LibTIFF и отказ в обслуживании в GnuPG. Всего с начала года было выпущено 20 исправлений, которые устраняли 4 критические уязвимости, 9 уязвимостей средней опасности и 7 некритических уязвимостей, 14 из которых могли эксплуатироваться удаленным пользователем. 5 из обнаруженных уязвимостей могли привести к получению полного контроля над уязвимой системой, 8 к осуществлению DoS атаки, остальные к другим типам нападений. В настоящее время неизвестно о наличии незакрытых уязвимостей в Slackware Linux 10.x.
Sun Solaris 10
В Августе 2006 года было сообщено о 6 дырах в операционной системе Sun Solaris 10 ? небезопасные разрешения в pkgadd, несколько уязвимостей в Mozilla, поднятие привилегий в RBAC, локальный DoS в обработке netstat или SNMP запросов и DoS при интенсивной сетевой активности. Всего с начала года в Sun Solaris 10 было обнаружено 30 уязвимостей, 12 из которых могли эксплуатироваться удаленным пользователем, 2 из локальной сети и 16 локальным пользователем. 2 уязвимости были критическими, 6 уязвимостей средней степени опасности и 22 неопасные уязвимости. 3 из обнаруженных уязвимости могли использоваться для получения полного контроля над уязвимой системой, 13 для осуществления DoS атаки, 2 для повышение локальных привилегий а остальные для осуществления других типов нападений. В настоящее время полностью устранены 26 уязвимостей, а 4 уязвимости устранены частично, либо предложено временное решение для их устранения.
SUSE Linux 10.1
В Августе 2006 Novell опубликовал информацию о 6 патчах в SuSe Linux 10 ? множественные ошибки в различных продуктах Mozilla, 11 уязвимостей в различных пакетах (CVE-2006-1168, CVE-2006-3083, CVE-2006-3084, CVE-2006-3627, CVE-2006-3628, CVE-2006-3629, CVE-2006-3630, CVE-2006-3631, CVE-2006-3632, CVE-2006-3746, CVE-2006-4020), 7 уязвимостей в различных пакетах (CVE-2006-1695, CVE-2006-3119, CVE-2006-3376, CVE-2006-3404, CVE-2006-3458, CVE-2006-3548, CVE-2006-3549), критическая уязвимость в clamav, переполнение буфера в libtiff и переполнение буфера в freetype2. Всего с июля 2006 года (первый релиз SUSE Linux 10.1) было опубликовано 14 уведомлений, 5 из которых устраняли критические уязвимости, 8 уязвимости средней опаснсности и 1 неопасная уязвимость. 13 из них могли эксплуатироваться удаленным пользователем и 1 локальным пользователем. 4 из них могли привести к получению полного доступа к системе, 5 к DoS атаке, остальные к осуществлению других типов нападений. В настоящее время в SUSE Linux 10.1 полностью устранены все известные на сегодняшний день уязвимости, специфичные для этой операционной системы.
Как видно из представленных данных, не существует абсолютно безопасных операционных систем. Даже одна вовремя незакрытая уязвимость может привести к печальным последствиям, поэтому необходимо регулярно следить за выходом новых обновлений операционной системы и оперативно устанавливать необходимые исправления.
Следует учитывать, что прямое сравнение приведенных цифр некорректно, так как для правильного сравнения безопасности операционных систем нужно учитывать распространенность использования уязвимых приложений, конфигурацию по умолчанию, скорость устранения уязвимости с момента выхода информации о ее обнаружении и т.п. Следует также учитывать, что большинство производителей Linux систем включают огромное количество приложений в свои дистрибутивы, многие из которых используются на крайне малых инсталляциях. Также имейте ввиду, что в некоторых операционных системах (например в SuSe Linux) для удобства пользователей в одном патче присутствуют исправления для нескольких уязвимостей, что часто в статистике отражено как устранение одной уязвимости. Представлена информация об уязвимостях только в последних версиях ОС, хотя многие производители до сих пор поддерживают и обновляют старые версии своих операционных систем. Для простоты восприятия опасность делится на 3 группы ? критические, средние и некритические, однако для более точного понимания воздействия каждой уязвимости рекомендуется посмотреть соответствующие значения для каждой уязвимости в разделе nvd по классификации CVSS, в которой учитывается более 10 различных параметров для определения степени опасности той или иной уязвимости.
Apple Macintosh OS X
В Августе 2006 года компания Apple опубликовала 1 исправление, устраняющее 25 различных уязвимостей, многие из которых критические. Всего с начала года было опубликовано 9 исправлений, устраняющих 60 различных уязвимостей, 39 из которых были критическими, 8 средней степени опасности и 13 неопасных уязвимостей. 47 из обнаруженных уязвимостей могли эксплуатироваться удаленным пользователем и 19 из них могли привести к получению полного контроля над уязвимой системой. В настоящее время неизвестно о наличии незакрытых уязвимостей в Apple Macintosh OS X.
Debian Linux 3.1
В августе 2006 года производители Debial Linux опубликовали 34 уведомления, исправляющие уязвимости в sendmail, gtetrinet, libmusicbrainz, Ruby, KDE, Wiki, streamripper, ClamAV, heartbeat, shadow, ncompress, MIT Kerberos 5, Drupal, gallery, chmlib, freeradius, freeciv, gnupg, DHCP, GNUPG, xpdf, CFS, TIFF, libtunepimp, Mozilla Thunderbird, Mantis, Apache, Ethereal и других приложениях, поставляемых с операционной системой Debian Linux. Всего с начала года было выпущено 223 уведомления, которые устранили 33 критические уязвимости, 116 уязвимостей средней степени опасности, 74 неопасные уязвимости. 180 устраненных уязвимостей могли эксплуатироваться удаленным атакующим, 33 из локальной сети и 10 локальным пользователем. В настоящее время не устранена уязвимость ? небезопасные разрешения в /var/log/debian-installer/cdebconf (CVE-2006-1376) ? и для 18 уязвимостей предложены временные или частичные способы их закрытия.
FreeBSD 6.x
В Августе 2006 года FreeBSD опубликовало информацию об одной уязвимости в sppp драйвере при обработке LCP пакетов. Всего с начала года в FreeBSD было обнаружено 16 уязвимостей, 1 из которых была критическая (в sendmail), 6 средней степени опасности и 9 неопасных уязвимостей. 9 из обнаруженных уязвимостей могли эксплуатироваться удаленным пользователем, 2 из локальной сети и 5 только локальным пользователем. 2 уязвимости могли привести к получению полного контроля над уязвимой системой, 4 к DoS атаке, остальные к осуществлению других типов нападений. В настоящее время неизвестно о наличии незакрытых уязвимостей в FreeBSD.
Gentoo Linux 1.x
В августе 2006 года Gentoo опубликовал 28 уведомлений, в которых сообщалось об устранении уязвимостей в motor, wireshark, php, heimdal, heartbeat, rails, wordpress, libwmf, net-server, mit-krb5, dumb, clamav, x11vnc, webmin/usermin, gnupg, tiff, pike и нескольких других приложений. Всего с начала года Gentoo опубликовал 159 исправлений, устраняющих 40 критических уязвимостей, 80 уязвимостей средней степени опасности и 39 неопасных уязвимостей, 127 из которых могли эксплуатироваться удаленным пользователем. 56 из обнаруженных уязвимостей могли привести к получению полного контроля над уязвимой системой, 44 к DoS атаке, остальные к другим типам нападений. В настоящее время в Gentoo Linux не устранены 3 уязвимости ? в alsaplayer (CVE-2006-4089), warzone2100(CVE-2006-3849) и tunepimp (CVE-2006-3600).
HP-UX 11.x
В августе 2006 года в HP-UX было сообщено о наличии 5 уязвимостей в trusted mode, Support Tools Manager, LP Subsystem, Xserver и Sendmail. Всего с начала года было опубликовано 21 исправление, устраняющее 2 критические уязвимости, 4 уязвимости средней степени опасности и 15 некритических дыр, из которых 5 могли эксплуатироваться удаленным пользователем. 2 из обнаруженных уязвимостей могли привести к получению полного контроля над уязвимой системой, 8 для осуществление DoS атаки, остальные к другим типам нападений. В настоящее время неизвестно о наличии незакрытых уязвимостей в HP-UX 11.x.
Mandriva Linux 2006
В августе 2006 года было сообщено о наличии 3-х уязвимостей в Mandriva Linux 2006 -DoS атака в MySQL, несколько уязвимостей в sudo и несколько уязвимостей в xorg-x11. С апреля 2006 года (с первого релиза Mandriva Linux) было опубликовано 78 уведомлений, устраняющих 15 критических уязвимостей, 37 уязвимостей средней степени опасности и 26 некритических уязвимостей, 58 из которых могли эксплуатироваться удаленным пользователем. 25 из обнаруженных уязвимостей могли привести к получению полного контроля над уязвимой системой, 28 к DoS атаке, остальные к осуществленю других типов нападений. В настоящее время неизвестно о наличии незакрытых уязвимостей в Mandriva Linux 2006.
Microsoft Windows XP Professional
В августе 2006 года было обнаружено 4 новые уязвимости в Windows XP ? в службах Winlogon, Server, в Winsock API и обработке WMF файлов , и устранено несколько уязвимостей обнаруженных ранее. C начала года было обнаружено 26 уязвимостей, 10 из которых имели критическую степень опасности, 8 уязвимостей средней опасности и 8 неопасных уязвимостей. 15 из обнаруженных уязвимостей могут эксплуатироваться удаленным атакующим, 8 из локальной сети и 3 только локальным пользователем. 16 из обнаруженных уязвимостей могли привести к получению полного контроля над уязвимой системой, 4 к осуществлению DoS атаки, остальные к другим видам нападений. В настоящее время известно о 3-х незакрытых уязвимостей в операционной системе Windows XP ? DoS атака при обработке WMF файлов (CVE-2006-4071), DoS атака при обработке SMB сообщений (CVE-2006-3942) и DoS атака при обработке CMH файлов (CVE-2006-2297).
Microsoft Windows Server 2003
В августе 2006 года компания Microsoft сообщила об устранении 4-х уязвимостей в Microsoft Windows Server 2003. Всего с начала года было обнаружено 24 уязвимости в Windows 2003, 9 из которых были критические, 8 средней степени опасности и 7 неопасных уязвимостей. 13 из обнаруженных дыр могли эксплуатироваться удаленно, 8 из локальной сети и 2 только локальным пользователем. 14 из обнаруженных уязвимостей могли привести к получению полного контроля над уязвимой системой, 5 к осуществлению DoS атаки, остальные к другим видам нападений. В настоящее время известно о 2-х незакрытых уязвимостей в операционной системе Microsoft Windows Server 2003 ? DoS атака при обработке WMF файлов (CVE-2006-4071) и DoS атака при обработке SMB сообщений (CVE-2006-3942) в службе Server.
RedHat Enterprise Linux
В августе 2006 года Red Hat опубликовала 13 уведомлений, устраняющих различные уязвимости в libtiff, gnupg, seamonkey, krb5, apache, krb5, ntp, krb5, perl, ethereal, xorg-x11, kernel, ImageMagick. Всего с начала года было выпущено 74 исправления, устраняющих 14 критических уязвимостей, 44 уязвимостей средней степени опасности, 16 уязвимостей низкой опасности. 60 из устраненных уязвимостей могли эксплуатироваться удаленным атакующим, 3 из локальной сети и 11 локальным пользователем. 21 из закрытых дыр могла использоваться для получения полного контроля над уязвимой системой, 25 для осуществления DoS атаки и 5 уязвимостей для повышения локальных привилегий. В настоящее время в RedHat Enterprise Linux 4 полностью устранены все известные на сегодняшний день уязвимости.
Slackware Linux 10.x
В августе 2006 года было сообщено о наличии 2-х уязвимостей в Slackware Linux 10.x ? множественные уязвимости в LibTIFF и отказ в обслуживании в GnuPG. Всего с начала года было выпущено 20 исправлений, которые устраняли 4 критические уязвимости, 9 уязвимостей средней опасности и 7 некритических уязвимостей, 14 из которых могли эксплуатироваться удаленным пользователем. 5 из обнаруженных уязвимостей могли привести к получению полного контроля над уязвимой системой, 8 к осуществлению DoS атаки, остальные к другим типам нападений. В настоящее время неизвестно о наличии незакрытых уязвимостей в Slackware Linux 10.x.
Sun Solaris 10
В Августе 2006 года было сообщено о 6 дырах в операционной системе Sun Solaris 10 ? небезопасные разрешения в pkgadd, несколько уязвимостей в Mozilla, поднятие привилегий в RBAC, локальный DoS в обработке netstat или SNMP запросов и DoS при интенсивной сетевой активности. Всего с начала года в Sun Solaris 10 было обнаружено 30 уязвимостей, 12 из которых могли эксплуатироваться удаленным пользователем, 2 из локальной сети и 16 локальным пользователем. 2 уязвимости были критическими, 6 уязвимостей средней степени опасности и 22 неопасные уязвимости. 3 из обнаруженных уязвимости могли использоваться для получения полного контроля над уязвимой системой, 13 для осуществления DoS атаки, 2 для повышение локальных привилегий а остальные для осуществления других типов нападений. В настоящее время полностью устранены 26 уязвимостей, а 4 уязвимости устранены частично, либо предложено временное решение для их устранения.
SUSE Linux 10.1
В Августе 2006 Novell опубликовал информацию о 6 патчах в SuSe Linux 10 ? множественные ошибки в различных продуктах Mozilla, 11 уязвимостей в различных пакетах (CVE-2006-1168, CVE-2006-3083, CVE-2006-3084, CVE-2006-3627, CVE-2006-3628, CVE-2006-3629, CVE-2006-3630, CVE-2006-3631, CVE-2006-3632, CVE-2006-3746, CVE-2006-4020), 7 уязвимостей в различных пакетах (CVE-2006-1695, CVE-2006-3119, CVE-2006-3376, CVE-2006-3404, CVE-2006-3458, CVE-2006-3548, CVE-2006-3549), критическая уязвимость в clamav, переполнение буфера в libtiff и переполнение буфера в freetype2. Всего с июля 2006 года (первый релиз SUSE Linux 10.1) было опубликовано 14 уведомлений, 5 из которых устраняли критические уязвимости, 8 уязвимости средней опаснсности и 1 неопасная уязвимость. 13 из них могли эксплуатироваться удаленным пользователем и 1 локальным пользователем. 4 из них могли привести к получению полного доступа к системе, 5 к DoS атаке, остальные к осуществлению других типов нападений. В настоящее время в SUSE Linux 10.1 полностью устранены все известные на сегодняшний день уязвимости, специфичные для этой операционной системы.
Как видно из представленных данных, не существует абсолютно безопасных операционных систем. Даже одна вовремя незакрытая уязвимость может привести к печальным последствиям, поэтому необходимо регулярно следить за выходом новых обновлений операционной системы и оперативно устанавливать необходимые исправления.
Ещё новости по теме:
18:20