BDU:2026-15418
средний уровень опасности CVSS 6.8 · AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:NУязвимость сервера приложений Apache Tomcat, связанная с неверным сроком действия сеанса, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации
Рекомендуемый срок устранения — до 4 недель (пункт 6.4 Руководства по организации процесса управления уязвимостями, утверждённого ФСТЭК России 17.05.2023). Обязательный срок для этого уровня устанавливает внутренний регламент по защите информации. Вместо устранения допускается исключить возможность использования уязвимости компенсирующей мерой.
Отчёты сканеров говорят на языке CVE, требования регуляторов — на языке БДУ. Перевести список из отчёта →
Как эксплуатируется
Эксплуатируется по сети, но требуется учётная запись. Снаружи достижима — приоритет высокий.
- Способ доступа
- по сети
- Сложность эксплуатации
- высокая
- Нужны права
- права обычного пользователя
- Участие человека
- не требуется
- Область воздействия
- в пределах уязвимого компонента
- Конфиденциальность
- высокое
- Целостность
- высокое
- Доступность
- нет
Расшифровка вектора CVSS 3.x из записи банка данных.
Описание
Уязвимость сервера приложений Apache Tomcat связана с неверным сроком действия сеанса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации
Способ устранения
Использование рекомендаций: Для Apache Tomcat: https://github.com/advisories/GHSA-wrvx-pxxf-g8fg https://lists.apache.org/thread/3j15vztszpyqss253mjq5v1kp7s6hooq Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2026-73180 https://deb.freexian.com/extended-lts/tracker/CVE-2026-73180 Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/CVE-2026-73180 Для Ред ОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/ http://repo.red-soft.ru/redos/8.0/x86_64/updates/
Сведения записи
Уязвимое программное обеспечение
| Производитель | Название | Версия | Платформа |
|---|---|---|---|
| Apache Software Foundation | Tomcat | от 10.1.0-M1 до 10.1.59 | Не указана |
| Apache Software Foundation | Tomcat | от 11.0.0-M1 до 11.0.25 | Не указана |
| Apache Software Foundation | Tomcat | от 9.0.0.M1 до 9.0.121 | Не указана |
| Red Hat, Inc. | Red Hat Hardened Images | - | Не указана |
| Red Hat, Inc. | Red Hat JBoss Web Server | 6 | Не указана |
| Red Hat, Inc. | Red Hat JBoss Web Server | 7 | Не указана |
| ООО «Ред Софт» | РЕД ОС | 7.3 | Не указана |
| ООО «Ред Софт» | РЕД ОС | 8.0 | Не указана |
| Сообщество свободного программного обеспечения | Debian GNU/Linux | 10 | Не указана |
| Сообщество свободного программного обеспечения | Debian GNU/Linux | 11 | Не указана |
| Сообщество свободного программного обеспечения | Debian GNU/Linux | 12 | Не указана |
| Сообщество свободного программного обеспечения | Debian GNU/Linux | 13 | Не указана |
| Сообщество свободного программного обеспечения | Debian GNU/Linux | 9 | Не указана |
Что требуют по этой уязвимости
Уязвимости закрываются мерами анализа защищённости и управления уязвимостями. Название и код у каждого акта свои:
- АНЗ.1 — Выявление, анализ уязвимостей информационной системы и оперативное устранение вновь выявленных уязвимостей (приказ ФСТЭК России от 18.02.2013 № 21).
- АНЗ.2 — Контроль установки обновлений программного обеспечения, включая обновление программного обеспечения средств защиты информации (приказ ФСТЭК России от 18.02.2013 № 21).
- АУД.2 — Анализ уязвимостей и их устранение (приказ ФСТЭК России от 25.12.2017 № 239).
- КУ — управление уязвимостями: мониторинг уязвимостей и оценка их применимости, оценка уязвимостей, определение методов и приоритетов устранения, устранение и контроль устранения (методический документ ФСТЭК России от 12.04.2026, раздел 3.3 — к приказу от 11.04.2025 № 117).
- КО — управление обновлениями: контроль актуальности версий, получение обновлений из источников с проверкой подлинности и целостности, проверка и установка обновлений (методический документ ФСТЭК России от 12.04.2026, раздел 3.4 — к приказу от 11.04.2025 № 117).
Для государственных систем методический документ требует внутренний регламент по управлению уязвимостями. В нём должны быть:
- ответственные за организацию и контроль управления уязвимостями и участники процессов — с обязанностями и правами
- операции мониторинга уязвимостей и оценки их применимости: исполнители, продолжительность, входные и выходные данные
- операции оценки уязвимостей — так же по исполнителям, срокам и данным
- операции определения методов и приоритетов устранения
- операции устранения уязвимостей и контроля устранения
- схемы взаимодействия подразделений при выполнении этих операций
Чем это оформляется:
- Образец инструкции по контролю (анализу) защищённости ИСПДн (АНЗ) — порядок: кто, чем и как часто проверяет
- Образец акта контроля (анализа) защищённости ИСПДн — запись о проверке и найденных уязвимостях
- Образец регламента защиты информации (внутренние стандарты) государственной системы — для государственных систем: разделы «Управление уязвимостями» и «Управление обновлениями» и есть тот внутренний регламент, которого требует методический документ
В модели угроз уязвимость учитывается не сама по себе, а как способ реализации угрозы (методика оценки угроз безопасности информации ФСТЭК России от 05.02.2021). Угрозы по объекту воздействия:
Системное ПО и ОС (реестр, файловая система)Прикладное ПОСетевое ПО, узлы и трафик
Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →
Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 25.09.2026, записей в справочнике — 96422. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.