BDU:2026-15383
средний уровень опасности CVSS 5.3 · AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:LУязвимость программного средства сборки контейнеров BuildKit, связанная с неограниченным распределением ресурсов, позволяющая нарушителю вызвать отказ в обслуживании
Рекомендуемый срок устранения — до 4 недель (пункт 6.4 Руководства по организации процесса управления уязвимостями, утверждённого ФСТЭК России 17.05.2023). Обязательный срок для этого уровня устанавливает внутренний регламент по защите информации. Вместо устранения допускается исключить возможность использования уязвимости компенсирующей мерой.
Отчёты сканеров говорят на языке CVE, требования регуляторов — на языке БДУ. Перевести список из отчёта →
Как эксплуатируется
Эксплуатируется по сети без учётной записи. Худшее сочетание признаков: закрывать в первую очередь.
- Способ доступа
- по сети
- Сложность эксплуатации
- низкая
- Нужны права
- не нужны
- Участие человека
- не требуется
- Область воздействия
- в пределах уязвимого компонента
- Конфиденциальность
- нет
- Целостность
- нет
- Доступность
- низкое
Расшифровка вектора CVSS 3.x из записи банка данных.
Описание
Уязвимость программного средства сборки контейнеров BuildKit связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании
Способ устранения
Использование рекомендаций: Для BuildKit: https://github.com/moby/BuildKit/commit/408266e4ba254cecabedaacdad6905de4d2a75a1 https://github.com/moby/BuildKit/commit/69a3924648e485acb3faad3081e03a8554431255 https://github.com/moby/BuildKit/releases/tag/v0.31.1 https://github.com/moby/BuildKit/security/advisories/GHSA-72x6-4j93-7w86 Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/CVE-2026-61712 Для Ред ОС: http://repo.red-soft.ru/redos/8.0/x86_64/updates/ http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Сведения записи
Уязвимое программное обеспечение
| Производитель | Название | Версия | Платформа |
|---|---|---|---|
| Docker Inc. | BuildKit | до 0.31.1 | Не указана |
| Red Hat, Inc. | Compliance Operator | - | Не указана |
| Red Hat, Inc. | Confidential Compute Attestation | - | Не указана |
| Red Hat, Inc. | Kernel Module Management Operator for Red Hat Openshift | - | Не указана |
| Red Hat, Inc. | Logical Volume Manager Storage | - | Не указана |
| Red Hat, Inc. | Migration Toolkit for Applications | 8 | Не указана |
| Red Hat, Inc. | Migration Toolkit for Containers | - | Не указана |
| Red Hat, Inc. | Migration Toolkit for Virtualization | - | Не указана |
| Red Hat, Inc. | OpenShift API for Data Protection | - | Не указана |
| Red Hat, Inc. | OpenShift Serverless | - | Не указана |
| Red Hat, Inc. | Openshift Service Mesh | 3 | Не указана |
| Red Hat, Inc. | Pen Drive Powered by Red Hat Lightspeed | - | Не указана |
| Red Hat, Inc. | Power monitoring for Red Hat OpenShift | - | Не указана |
| Red Hat, Inc. | Red Hat Advanced Cluster Management for Kubernetes 2 | - | Не указана |
| Red Hat, Inc. | Red Hat Ansible Automation Platform | 2 | Не указана |
| Red Hat, Inc. | Red Hat Build of Kueue | - | Не указана |
| Red Hat, Inc. | Red Hat Ceph Storage | 9 | Не указана |
| Red Hat, Inc. | Red Hat Certification Program for Red Hat Enterprise Linux | 9 | Не указана |
| Red Hat, Inc. | Red Hat Developer Hub | - | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 10 | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 9 | Не указана |
| Red Hat, Inc. | Red Hat OpenShift Container Platform | 4 | Не указана |
| Red Hat, Inc. | Red Hat OpenShift Dev Spaces | - | Не указана |
| Red Hat, Inc. | Red Hat OpenShift GitOps | - | Не указана |
| Red Hat, Inc. | Red Hat OpenShift Lightspeed | - | Не указана |
| Red Hat, Inc. | Red Hat OpenShift Virtualization | 4 | Не указана |
| Red Hat, Inc. | Red Hat OpenStack Platform | 18.0 | Не указана |
| Red Hat, Inc. | Red Hat Openshift Data Foundation | 4 | Не указана |
| Red Hat, Inc. | Red Hat Quay | 3 | Не указана |
| Red Hat, Inc. | Red Hat Trusted Artifact Signer | - | Не указана |
| Red Hat, Inc. | Red Hat Web Terminal | - | Не указана |
| Red Hat, Inc. | multicluster engine for Kubernetes | - | Не указана |
| ООО «Ред Софт» | РЕД ОС | 7.3 | Не указана |
| ООО «Ред Софт» | РЕД ОС | 8.0 | Не указана |
Что требуют по этой уязвимости
Уязвимости закрываются мерами анализа защищённости и управления уязвимостями. Название и код у каждого акта свои:
- АНЗ.1 — Выявление, анализ уязвимостей информационной системы и оперативное устранение вновь выявленных уязвимостей (приказ ФСТЭК России от 18.02.2013 № 21).
- АНЗ.2 — Контроль установки обновлений программного обеспечения, включая обновление программного обеспечения средств защиты информации (приказ ФСТЭК России от 18.02.2013 № 21).
- АУД.2 — Анализ уязвимостей и их устранение (приказ ФСТЭК России от 25.12.2017 № 239).
- КУ — управление уязвимостями: мониторинг уязвимостей и оценка их применимости, оценка уязвимостей, определение методов и приоритетов устранения, устранение и контроль устранения (методический документ ФСТЭК России от 12.04.2026, раздел 3.3 — к приказу от 11.04.2025 № 117).
- КО — управление обновлениями: контроль актуальности версий, получение обновлений из источников с проверкой подлинности и целостности, проверка и установка обновлений (методический документ ФСТЭК России от 12.04.2026, раздел 3.4 — к приказу от 11.04.2025 № 117).
Для государственных систем методический документ требует внутренний регламент по управлению уязвимостями. В нём должны быть:
- ответственные за организацию и контроль управления уязвимостями и участники процессов — с обязанностями и правами
- операции мониторинга уязвимостей и оценки их применимости: исполнители, продолжительность, входные и выходные данные
- операции оценки уязвимостей — так же по исполнителям, срокам и данным
- операции определения методов и приоритетов устранения
- операции устранения уязвимостей и контроля устранения
- схемы взаимодействия подразделений при выполнении этих операций
Чем это оформляется:
- Образец инструкции по контролю (анализу) защищённости ИСПДн (АНЗ) — порядок: кто, чем и как часто проверяет
- Образец акта контроля (анализа) защищённости ИСПДн — запись о проверке и найденных уязвимостях
- Образец регламента защиты информации (внутренние стандарты) государственной системы — для государственных систем: разделы «Управление уязвимостями» и «Управление обновлениями» и есть тот внутренний регламент, которого требует методический документ
В модели угроз уязвимость учитывается не сама по себе, а как способ реализации угрозы (методика оценки угроз безопасности информации ФСТЭК России от 05.02.2021). Угрозы по объекту воздействия:
Системное ПО и ОС (реестр, файловая система)Прикладное ПОСетевое ПО, узлы и трафик
Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →
Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 25.09.2026, записей в справочнике — 96422. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.