сервісу, тому ймовірність того, що вона буде працювати в момент, коли хтось намагається скористатися її вразливістю, вкрай мала. Якщо з цієї причини знизити серйозність зазначених вразливостей до Важлива, то тільки 5% з 40 останніх попереджень слід вважати Критичними. p> Уразливості в сервісах IPSEC і Kerberos більш обгрунтовано оцінені як Критичні, оскільки ці сервіси функціонують на постійній основі. p> Лише деякі уразливості дозволяють зловмисникові діяти на рівні адміністратора. Однак навіть у цих рідкісних випадках, як правило, є фактори, що зменшують небезпеку. Наприклад, уразливість в Samba (Лип 22, 2004, RHSA-2004 :259-23) можна використовувати тільки в тому випадку, якщо хто-небудь сконфігурує inetd (через файл hosts.allow) так, що відомому користувачеві і комп'ютеру дозволяється доступ до цього сервісу. Якщо система сконфигурирована правильно, то ніхто, крім авторизованого відомого користувача, не може отримати доступ до програми конфігурації Samba, щоб використовувати дану вразливість. В іншому випадку серйозність цієї уразливості слід було б оцінити як Критичну. Для використання інших проломів, що дозволяють отримати адміністративний доступ, також необхідно бути відомим користувачем з чинним ідентифікатором. Це зменшує загрозу і знижує серйозність, оскільки значно збільшується вірогідність упіймання зловмисника. p>
Таблиця 2. Програмні корекції та вразливості Red Hat Enterprise Linux AS v.3
Результати запитів до бази даних CERT по вразливостям
Американська група Computer Emergency Readiness Team (CERT) використовує свій власний набір показників для оцінки серйозності проломів в захисті. Результат виражається числом в діапазоні від 0 до 180, причому значення 180 означає найсерйознішу вразливість. Шкала є нелінійної. Інакше кажучи, вразливість з оцінкою 100 не є в два рази більш серйозною, ніж вразливість з оцінкою 50. p> CERT вважає будь-яку вразливість з оцінкою 40 або вище достатньо серйозної, щоб включити її в спеціальне технічне попередження, випускається CERT Advisory і US-CERT. p> Ми зробили запити до бази даних CERT за ключовими словами "Microsoft", "Red Hat" і "Linux". На жаль, засоби web-пошуку на сайті CERT не дозволяють забезпечити повною мірою бажану деталізацію і довговічність результатів. Особливо це вірно для результатів пошуку по "Red Hat" і "Linux". Результати пошуку по "Linux" включають в себе декілька вразливостей Oracle, загальних для Linux, UNIX та Windows. Результат по "Red Hat" з даними про саму серйозної уразливості навіть не містить серед подробиць вказівки на Red Hat як на вразливу систему. Результати пошуку по "Microsoft" представляються цілком точними, так як і в подробицях, і в самих записах вказані проломи саме в програмному забезпеченні Microsoft. Внаслідок цього результати дещо спотворюються не на користь Linux і Red Hat. Тим не менше, навіть якщо прийняти ці результати, проігнорувавши спотворення для Linux і Red Hat, всі одно виходить, що ...
