Уязвимости в 1С:Предприятие

Не так давно появилась новость о добавлении ФСТЭК России в Банк данных угроз безопасности информации уязвимости в системе программ 1С:Предприятие.

Мы проверили данную информацию и обнаружили что для 1С зарегистрированы уязвимости BDU:2025-10517 - BDU:2025-10523 с высоким уровнем опасности.

В описании уязвимостей нет подробностей, однако указано:

Непринятие мер по защите структуры веб-страницы (или \«Межсайтовая сценарная атака\») (CWE-79)

Данный тип атак, которые еще называются межсайтовый скриптинг (XSS) достаточно распространен и позволяет злоумышленнику выполнить произвольный код на веб-сервере прислав пользователю специальным образом подготовленную ссылку или внедрив в веб-страницу специально подготовленный код (например, в сообщении форума, комментарии или отзыве).

Следует понимать, что это уязвимость именно программного кода веб-приложения и от него нельзя закрыться, сменив веб-сервер или спрятавшись за прокси или дополнительную аутентификацию.

К уязвимым версиям относятся все релизы до 8.3.27.1644, также исследователи отмечают наличие готовых эксплойтов для этой группы уязвимостей.

Это ставит под потенциальный удар все веб-публикации, к которым есть доступ из внешней сети. И работающий вариант тут один – обновляться на 8.3.27.1644 и выше.

Если это невозможно, то следует ограничить доступ к веб-публикациям при помощи брандмауэра или убрать за VPN, также следует добавить аутентификацию средствами веб-сервера. Такая аутентификация не спасает от уязвимости, но ограничивает круг лиц имеющих доступ непосредственно к веб-приложению.

Также следует принять во внимание наличие еще одной уязвимости - BDU:2025-07182 тоже с высоким уровнем опасности.

Уязвимость технологической платформы «1С:Предприятие 8» связана с недостатками процедуры авторизации. Эксплуатация уязвимости, может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к системе от имени произвольного пользователя.

Данная уязвимость присутствует в выпусках платформы до 8.3.24.1624, 8.3.25.1336 и 8.3.23.1775 (z) включительно. Таким образом если вы используете указанные платформы для веб-публикаций, то получаете двойное комбо, когда злоумышленник может не только выполнить в системе произвольный код, но и повысить себе привилегии, что чревато самыми различными негативными последствиями.

​​1С:Предприятие на веб-сервере

В продолжение предыдущей заметки. Где бы у вас не был установлен север 1С:Предприятия мы не видим смысла устанавливать веб-сервер под Windows, для этих целей есть Linux и работает он превосходно.

Для начала воспользуйтесь этой статьей, там приведены все базовые вещи, которые не устаревают:

🔹 Публикация баз данных 1С:Предприятие 8.3 на веб-сервере Apache в Debian или Ubuntu

Если ваш веб-сервер смотрит во внешний мир, то имеет смысл дополнительно защитить его SSL-шифрованием и дополнительной парольной защитой, как это сделать рассказано в статье:

🔹 Защищаем веб-публикацию 1С:Предприятие при помощи SSL и аутентификации по паролю

Если же вы предпочитаете Windows, то у нас есть для вас два материала, они рассказывают, как поднять веб-сервер для 1С при помощи IIS или Apache со всеми современными средствами защиты:

🔹 Публикация баз данных 1С:Предприятие на веб-сервере IIS c защитой SSL и аутентификацией по паролю

🔹 Публикация баз данных 1С:Предприятие на веб-сервере Apache в Windows c защитой SSL и аутентификацией по паролю

Если же веб-серверов у вас несколько, то все их можно выставить во внешний мир через обратный прокси – NGINX, который при этом возьмет на себя шифрование и аутентификацию:

🔹 Настраиваем NGINX как обратный прокси для веб-публикации 1С:Предприятие

Надеемся, что все приведенные материалы будут вам полезны.

Ваш Linux – это черный экран и консоль, а то ли дело…

Да, то ли дело… Третьего дня выяснилось, что сразу на нескольких точках поломался Диспетчер служб IIS, это такая специальная графическая оснастка, позволяющая рулить веб-сервером мышкой, в непринужденной и расслабленной обстановке.

Именно графические инструменты являются «железобетонным» аргументом для многих Windows администраторов. Мол у нас все для человека, все понятно и дружелюбно, а не то, что эти ваши черные экраны.

Ладно, поверим, ну не может же быть что сломалось совсем и навсегда. Смотрим логи, ясности они не добавляют, но становится ясно что сломалось что-то в сборке ASP.NET…

А зачем нам эта ASP.NET? Нам тут только 1С опубликовать, да присматривать за ней время от времени.

Но назвался груздем – полезай в кузов. Проверили то, проверили это, восстановили, перерегистрировали – толку ноль.

Для человека знакомого с Linux это даже как-то дико становится. Система живет своей жизнью, чего ей надо – непонятно, на заклинания не реагирует…

Что там дальше советуют? Переустановить IIS, ну да иного мы и не ожидали, классика же…

Хотя погодите, а зачем его переустанавливать? Он же работает, сломался только диспетчер – инструмент по управлению. И все, что этот диспетчер делает – это изменения текстовых конфигурационных файлов. Да, IIS точно также использует текстовые конфиги.

Ну и нафига нам тогда диспетчер? Открываем старую добрую консоль, только разве что вместо черного окно тут может оказаться синим. Но принципиальной разницы нет.

И все прекрасно работает, настраивается, изменяется, перезапускается. Надо только немного вникнуть и разобраться.

Кстати, эта тенденция в Windows прослеживается уже достаточно давно и плотно. Попробуйте найти инструкцию по установке последних версий Exchange, думаете там Next-Next-Finish?

Не угадали, там будут некие заклинания белыми буквами по синему экрану. И никакого тыканья мышкой в кнопочки.

В целом администрирование вернулось к тому, от чего ушло (а в мире Linux никогда и не уходило) – командной строке и простым текстовым интерфейсам.

Да, Windows все еще остается системой, ориентированной на графику, но уже сегодня возможно то, что было немыслимым лет 20 назад – полноценное администрирование системы без графической оболочки, в т.ч. и удаленное.

Сегодня мы можем привычно подключиться через SSH, запустить PowerShell и спокойно работать. Хотя «привычно» — это не про традиционных Windows администраторов. К сожалению, многие из них остались в далеких и светлых нулевых и искренне считают, что «в ролях Windows Server ничего принципиально не изменилось».

На самом деле мир давно стал другим, равно как стал другим и Windows и для нормальной конкуренции нужно выходить из привычного комфорта графики и погружаться в суровую среду консоли.

Но суровая она только на первый взгляд. Когда вы поймете, что текстовый интерфейс предоставляет такие же, а то и более богатые возможности, но при этом гораздо более послушен чем графика вам не захочется в нее возвращаться.

А потом, может быть, и полностью откажетесь от графического окружения на своем Windows Server.

Я календарь переверну…

Сегодня многие отмечают известный день, в который надо переворачивать календари и жечь костры из рябин. Не меньшее количество товарищей настроены к этим многим негативно и с самого утра подвергают их обструкции.

Но мы не будем касаться этих народных развлечений и поговорим о вещах более серьезных.

Не так давно один наш коллега спросил, а как можно изменить триггер Zabbix, чтобы он срабатывал только в рабочее время.

На самом деле очень просто, добавляем к условию срабатывания:

and time()>=094500 and time()<=221500

В данном случае триггер будет срабатывать между 09:45 и 22:15, в остальное время тревожить он вас не будет.

Но оказалось, что триггер работает неправильно.

Первое, о чем тут хочется спросить – часовой пояс.

Да, с часовым поясом все нормально, Zabbix показывает события точно по времени, а вот триггер по времени работать не хочет.

А теперь вспоминаем, что веб-интерфейс Zabbix – это отдельное приложение, которое имеет собственные настройки часового пояса, в то время как сама система хранит все события с временной меткой UTC.

И вот здесь важно понимать, что аппаратные часы Linux идут в UTC, а уже потом система или отдельные приложения делают поправку на свой часовой пояс.

Что касается веб-интерфейса Zabbix, то там у каждого пользователя есть свои настройки часового пояса, так как пользователей у системы мониторинга может быть много и собирать события она может из разных часовых поясов.

Сам же сервер Zabbix работает в часовом поясе операционной системы на которой запущен и что там установлено в веб-интерфейсе его волнует мало.

Таким образом у нашего коллеги оказалось, что веб-интерфейс Zabbix имел правильные настройки пояса – MSK (UTC +3), а вот сам сервер работал, как и был из коробки – т.е. в UTC.

Поэтому события в интерфейсе показывались с правильным временем, а вот триггеры срабатывали с отставанием на 3 часа, потому как считали, что сервер находится в часовом поясе UTC (Гринвич).

Ошибка эта распространенная, можно сказать – типовая. Поэтому никогда не забывайте настраивать правильный часовой пояс в самой ОС, причем сразу после установки. Также как и рабочую локаль. Избежите многих потенциальных сложностей.

Куда катится этот мир? Аналоговые часы стали "проблемой" и утратили "информативность"... Да... 🤷‍♀️🤷‍♀️🤷‍♀️

​​Как на самом деле работает KSM sharing, ожидание и реальность.

Сегодня с коллегой решали одну задачу, а именно уплотнение количества виртуальных машин на нодах. Временно понадобилось увеличить количество работающих виртуалок практически на половину, при условии использования наличных ресурсов.

Такая задача поставлена была не спроста, потому как уплотнение нужно на небольшой переходный период по переносу рабочей нагрузки со старых виртуалок на новые с последующим выводом старых из эксплуатации. После чего свободных ресурсов окажется снова более чем достаточно.

При расчетах исходили из того, что в среднем одна нода имеет 16 ГБ оперативной памяти и 6 виртуальных машин с потреблением ОЗУ примерно на уровне 10 ГБ. Все виртуальные машины однотипны.

Таким образом максимально мы можем поместить на ноду 9 виртуальных машин и память закончится, но у нас есть KSM sharing, и мы на него рассчитывали.

Сразу скажем – он не подвел и при запущенных 9 виртуальных машинах потребление памяти не превысило 12 ГБ при уплотненном объеме в районе 3 ГБ.

Результат неплохой, полностью соответствующий ожиданиям, но наш коллега остался несколько разочарованным. О чем мы его прямо и спросили.

Как выяснилось, он ожидал, что KSM sharing как сейчас все оптимизирует, да как все освободит, ну даром что ли у нас 9 одинаковых виртуалок. А он всего лишь поджал память к лимитам.

И это достаточно распространенные ожидания, которые не оправдываются реальной работой технологии. Но на самом деле все работает именно так, как задумывается.

Начнем с того, что свободная память – это не самоцель, а ресурс, который мы должны использовать наиболее выгодно. Уплотненная память ресурс гораздо более дорогой, чем обычная и если можно память не уплотнять, то уплотнять ее не нужно. ‼️

Поэтому KSM включается по умолчанию достаточно поздно, при превышении порога занятой памяти в 80%. Это некоторый критический порог, за которым начнется конкуренция за свободную память между приложениями и буферами / кешем, что ни к чему хорошему с точки зрения производительности и стабильности не приведет.
Поэтому система начинает уплотнять память, но делать это грамотно, стараясь использовать уплотненную память по минимуму.

При превышении заданного порога система добавляет к уплотнению некоторое количество страниц, добиваясь возвращения потребления памяти к заданному порогу. Если после этого свободной памяти окажется больше, то из уплотнения будет вычтено некоторое количество страниц.

При повторном превышении снова будут добавлены страницы, при понижении вычтены и через некоторое время система придет в некоторое положение равновесия, когда уплотнено будет ровно столько страниц, сколько нужно для удержания количества свободной памяти рядом с установленным порогом или чуть ниже.

Потому как нет смысла загонять процессы в уплотненную и дорогую память ради выделения неиспользуемой дешевой. Это глупое разбазаривание ценного ресурса, память должна работать.

И настройки KSM по умолчанию неплохо соответствуют этой парадигме. При желании изменить такое поведение и покрутить руками можете воспользоваться нашими рекомендациями из статьи:

https://interface31.ru/tech_it/2022/07/nastraivaem-ispolzovanie-ram-pri-rabote-s-zfs-v-proxmox-ve.html

Но будьте благоразумны и не один раз подумайте, а для чего вам свободная оперативная память.

А реальную работу KSM sharing можно посмотреть на скриншоте ниже, где видно как по мере ввода новой рабочей нагрузки производилась оптимизация и подбор количества уплотняемых страниц и как этот процесс стабилизировался на отметке близкой к порогу.

Закат 32-битной эпохи

Вышедший в августе Debian 13 расстроил ретроградов, один из последних оплотов 32-битной архитектуры отказался от ее полноценной поддержки и не выпустил 32-разрядной версии дистрибутива.

При этом сама архитектура остается доступной в целях обратной совместимости, т.е. вы можете подключить 32-битные репозитории к своей 32-битной системе и получить оттуда необходимые пакеты. Это может потребоваться для запуска устаревшего ПО, которое не имеет 64-битной версии.

Напомним, что до этого практически все ведущие дистрибутивы прекратили поддержку 32-битной архитектуры гораздо ранее, так для Ubuntu последним выпуском с поддержкой 32-бит был выпуск 18.04 LTS, а Fedora прекратила сборку 32-битных дистрибутивов начиная с выпуска 31 в 2019 году.

FreeBSD тоже решило нанести «удар в спину» и также отказывается от поддержки 32-битного дистрибутива начиная с 15 выпуска запланированного на конец этого года.

И это, в общем и целом, правильно. Сегодня уже практически не осталось адекватного современным требованиям железа, не поддерживающего 32-битные инструкции. Сегодня запускать 64-битный код может практически каждый чайник и утюг, особенно если мы говорим об архитектуре x86.

При этом полностью от поддержки 32-битных приложений пока никто не отказывается, вы можете их спокойно запускать на своих 64-битных системах и даже подключать репозитории с 32-битными пакетами.

Но они, честно говоря, не являются «настоящими» 32-битными, если мы подразумеваем под этим классические архитектуры i586/686. Данные пакеты собраны в среде современных ОС и требуют поддержки инструкций присутствующих в современных процессорах.

Но это, как раз понятно, потому как их цель не поддержка устаревших процессоров, а продление жизни старого ПО, не имеющего 64-битных версий при обеспечении для него нормального быстродействия и максимального использования всех преимуществ современных платформ.

И тем удивительнее сегодня слышать просьбы найти именно 32-битный пакет для того или иного ПО. Потому как никакого практического смысла сегодня это не имеет. Платформ не поддерживающих 64-бита (не считая какой-нибудь экзотики или промышленного оборудования) в широкой эксплуатации нет. Поэтому и нет смысла держаться за старое. Ведь никто же сегодня не сетует на отсутствие поддержки 16-бит?

Профессия – программист

Сегодня пятница, поэтому, как это уже принято, поговорим на околотехнические темы. Тем более что есть определенная фактура, как говорится, из первых рук.

В этом году мой сын закончил 9 классов и успешно поступил в Колледж высоких технологий местного Университета на программирование. Но поступление было далеко не простым.

Дело в том, что наш регион как приграничный и прифронтовой (Белгородская область) выпускались по упрощенной схеме – без ЕГЭ и ОГЭ, по среднему баллу, а поступление осуществлялось на основе «конкурса аттестатов».

Что это значит? А это значит, что при поступлении имеет значение только средний балл аттестата. При этом если на программирование поступает ребенок, у которого пятерки по математике и информатике, но посредственные оценки по литературе, русскому, химии, географии и т.д., а вместе с ним подал документы троечник по математике/информатике, но отличник по гуманитарным наукам, то пройдет гуманитарий, так как балл его аттестата выше.

Добавляем туда любимчиков, активистов, личные приятственные или неприязненные отношения учителей и многое другое. Тем более что из школ в колледжи побежало в этом году практически 90-95% детей. Потому как потенциальное ЕГЭ через два года мало кого прельщает.

В итоге такой конкурс аттестатов мог спокойно перекрыть дорогу на «престижные» специальности действительно увлеченным детям, вместо которых возьмут тех, у кого аттестат лучше.

К счастью, наш колледж основан на базе Университета, который обладает определенной автономией, поэтому при приеме учитывали не только средний балл аттестата, но и реальные заслуги на профессиональном поприще.

А так как у сына были грамоты и дипломы от разных городских конкурсов по IT, программированию и робототехнике, в т.ч. и проводимых Университетом, то он уверенно прошел, несмотря на достаточно низкий балл аттестата (потому что забивал в школе на гуманитарку).

После поступления сходили познакомились с куратором, преподавателями и узнали много интересного. Но ничего нового я не услышал. История повторяется.

Сегодня на IT-специальности в целом и программирование в частности конкурс очень дикий. В сознании родителей эта сфера представляется некоторой синекурой, где достаточно иметь нужный диплом, и легкая обеспеченная жизнь гарантируется по умолчанию.

Кстати, наш куратор была в приемной комиссии и побеседовав с сыном тет-а-тет сказала: этого беру к себе и пофиг на балл в аттестате. Потому что опять наберем больше половины идиотов.

И это не фигура речи, потому что как можно поступать на программирование не умея сканировать и присылая фото с мобилы в документе Word?

Посему к Университету и его преподавателям поклон и уважение, что они стараются отбирать действительно увлеченных ребят и давать им возможность получить образование по выбранному профилю.

А остальные? Тут я хочу вернуться на 25-30 лет назад, в далекие и светлые, для кого-то «святые». Тогда было очень популярно учиться на юриста.

Юристов готовили юридические ВУЗы, гуманитарные, технические и даже сельскохозяйственные.

Для самой профессии пророчили упадок и замещение дешевыми кадрами, ну все это мы слышим и сейчас.

И что изменилось? Хорошие юристы как были поштучно, так и остались. Доходы их как были высокими, так и остались. Их как искали днем с огнем, так и ищут.

А куда делись все эти стада с «юридическим» образованием? Осели по «Пятерочкам» того времени и тому подобным организациям. Максимум в ИП Джамшут юристом, чисто потешить этого самого Джамшута эго, на зарплате продавца из «Пятерочки».

Точно также будет и с «программистами», жаль только тех ребят, которые действительно хотят, горят и желают, но не смогут пройти по чистой формальности, наподобие конкурса аттестатов.

Ну и родителям тоже надо задуматься. Хороший сантехник сегодня тоже на вес золота и зарабатывает не хуже, чем программист.