Добрый день, Марат.
Спасибо, что обратили внимание на эксплуатацию уязвимостей (https://t.me/politjoystic/50748).
Если позволите, хочу внести некоторую ясность:
1) Мы работали совместно с коллегами из Positive;
2) Уязвимость была опубликована в БДУ ФСТЭК;
3) До этого, до того как информация об уязвимости стала публичной, мы выпутстили срочное обновление и распространили по всем возможным каналам связи с заказчиками;
4) Мы сделали обновление для текущей основной версии системы (TrueConf Server 5.0+), а также для двух предшествующих мажорных версий (TrueConf Server 5.4+ и 5.3+), чтобы покрытие составило >99.9% всех инсталляций системы, обновления абсолютно бесплатны и доступны для любой компании и любого пользователя, не требуют обращения в нашу компанию;
5) Наши сервера работают локально (on-premise) в инфраструктуре заказчиков, изначально они ставятся в закрытую сеть и только после реализуется подключение к публичному Интернету, если такой сценарий нужен заказчику, поэтому большинство серверов физически не могут пострадать от такой уязвимости, уязвимы только те, которые смотрят в публичный Интернет (коллеги из Poistive насчитали таких порядка 7000 в России);
6) По всем возможным каналам связи, включая:
— массовые E-mail рассылки,
— ресурсы отдела продаж и отдела технической поддержки,
— специальные нотификации для администраторов систем Труконф в панелях управления, мы сообщали заказчикам о необходимости обновления до выпущенных версий, и продолжаем об этом напоминать.
В наших сообществах и чатах также висят соответствующие нотификации:
— https://trueconf.ru/blog/update/trueconf-server-security-update-08-25;
— https://vk.com/trueconf_club?w=wall-25677287_4104;
— https://t.me/trueconf_talks/78358 (крупнейшее русскоязычное сообщество ВКС-администраторов).
Безопасность заказчиков — наш главный приоритет, поэтому указанные вами организации, как и многие другие, были нами оповещены о необходимости срочного обновления ещё в августе. Надеюсь на Ваше понимание. Спасибо, если дочитали. С уважением,
Арсен Мартиросян, Директор по связям с общественностью Труконф
