Банк данных угроз безопасности информации

Федеральная служба по техническому и экспортному контролю

ФСТЭК России

Государственный научно-исследовательский испытательный институт проблем технической защиты информации

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»

BDU:2019-02442: Уязвимость оконного менеджера fly-wm операционной системы Astra Linux, позволяющая нарушителю получить доступ к конфиденциальным данным

Описание уязвимости	Уязвимость оконного менеджера fly-wm операционной системы Astra Linux связана с ошибками в алгоритме пересчета разрешения при изменении размера окна встроенного блокировщика экрана, что приводит к возможности отобразить конфиденциальные данные в запущенной виртуальной машине или во вложенной сессии после блокировки экрана внутри гостевой машины, функционирующей под управлением ОС Astra Linux. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, находящимся на рабочем столе гостевой машины, путем манипулирования разрешением экрана
Вендор	ООО «РусБИТех-Астра»
Наименование ПО	Astra Linux Special Edition (запись в едином реестре российских программ №369), Astra Linux Common Edition (запись в едином реестре российских программ №4433)
Версия ПО	1.5 «Смоленск» (Astra Linux Special Edition) 1.6 «Смоленск» (Astra Linux Special Edition) 2.12 «Орёл» (Astra Linux Common Edition)
Тип ПО	Операционная система
Операционные системы и аппаратные платформы	Данные уточняются
Тип ошибки	Раскрытие информации, Элементы безопасности
Идентификатор типа ошибки	CWE-200 CWE-254
Класс уязвимости	Уязвимость кода
Дата выявления	09.07.2019
Базовый вектор уязвимости	CVSS 2.0: AV:L/AC:L/Au:N/C:C/I:N/A:N CVSS 3.0: AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Уровень опасности уязвимости	Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,9) Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4)
Возможные меры по устранению уязвимости	Уязвимость будет устранена в версиях: для 1.6 «Смоленск»: fly-wm_2.23.14se_amd64.deb; для 1.5 «Смоленск»: fly-wm_2.5.68se_amd64.deb; для 2.12 «Орел»: fly-wm_2.23.14_amd64.deb Бюллетень будет доступен на сайте www.astralinux.ru до 15.07.19. Компенсирующие меры: в гостевой машине (либо во вложенной сессии) у пользователя отключить блокировку экрана. Например, в командной строке у пользователя выполнить такие команды: sed -i 's\|.ScreenSaverDelay.\|ScreenSaverDelay=0\|' /home/"${USERNAME}"/.fly/theme/* sed -i 's\|.LockerOnSleep.\|LockerOnSleep=false\|' /home/"${USERNAME}"/.fly/theme/* sed -i 's\|.LockerOnSwitch.\|LockerOnSwitch=false\|' /home/"${USERNAME}"/.fly/theme/* sed -i 's\|.LockerOnDPMS.\|LockerOnDPMS=false\|' /home/"${USERNAME}"/.fly/theme/* sed -i 's\|.LockerOnLid.\|LockerOnLid=false\|' /home/"${USERNAME}"/.fly/theme/*
Статус уязвимости	Подтверждена производителем
Наличие эксплойта	Данные уточняются
Способ эксплуатации	Нарушение авторизации
Способ устранения	Организационные меры
Информация об устранении	Информация об устранении отсутствует
Ссылки на источники	https://habr.com/ru/post/459274/
Идентификаторы других систем описаний уязвимостей	Данные уточняются
Прочая информация	Версии пакетов с ошибкой: для 1.6 «Смоленск»: до fly-wm_2.17.51se_amd64.deb включительно; для 1.5 «Смоленск»: до fly-wm_2.5.62se_amd64.deb включительно; для 2.12 «Орел»: до fly-wm_2.22.7_amd64.deb включительно

Последние изменения